Expert: router van provider is beveiligingsrisico
De router die internetproviders aan hun abonnees geven zijn niet veilig en consumenten kunnen dan ook beter zelf een model kopen. Dat stelt Raymond Lewis van beveiligingsbedrijf Webroot. Lewis wijst naar modems waarvan de DNS-instellingen door aanvallers zijn aangepast en waardoor gebruikers allerlei advertenties te zien krijgen. Webroot stelt dat het steeds meer meldingen over dit probleem ontvangt.
Volgens Lewis heeft de router die internetproviders uitdelen een aantal voordelen, maar brengt het ook risico's met zich mee. Technici kunnen vaak via een 'backdoor' account op afstand op de router inloggen om problemen op te lossen. Ook kunnen ze ondersteuning bij het apparaat bieden. Deze backdoors kunnen echter ook door anderen worden gebruikt, stelt Lewis. Vervolgens is het bijvoorbeeld mogelijk voor een aanvaller om de DNS-instellingen te wijzigen, zodat het verkeer van gebruikers via andere servers loopt.
"Als je een eigen router koopt is er geen backdoor voor de helpdesk van de provider. De routers die jezelf koopt gaan meestal langer mee en hebben betere configuraties", aldus de expert. Hij waarschuwt wel dat gebruikers in dit geval de modem zelf moeten instellen, omdat in ieder geval grote Amerikaanse providers routers van derden niet ondersteunen. Een andere oplossing is dat klanten in het geval ze weten dat er in hun standaard meegeleverde router een beveiligingslek zit ze de provider vragen dit op te lossen of om een niet kwetsbare router vragen.
modem in bridge modus, en je eigen Linux bak als router instellen.... laat ze dan maar eens mijn DNS settings te spoofen.
Vanaf dag 1 draai ik altijd alle providers modems in bridge modus met een eigen linux router er achter. Dit omdat ik de modems niet vertrouw, en dan Linux OS dat wel bijgehouden wordt met updates, een stuk veiliger is.
TheYOSH
Ook zit ik nog eens in een vpn.
Ik snap werkelijk niet wat een dergelijk generaliserend (alle apparatuur van alle providers), slecht onderbouwd (betreft ineens enkel "Arris") en partijdig (hardcoded admin-pw's in vrij verkrijgbare modellen, iemand?) stuk onzin op deze site moet.
Overigens betreft het onderzoek enkel de Amerikaanse markt, en dan ook nog enkel de kabelmarkt.
Clickbait dus. En daarvoor kom ik hier niet.
Als je die voordeur niet vertrouwt kun je beter de hele tent opdoeken. (kap met internet / communicatie gebruik)
Je kunt je wel zorgen maken over de kwaliteit van de voordeur. Dat moet je niet laten blijken door een paar dns servers van ze te DDossen.
modem in bridge modus, en je eigen Linux bak als router instellen.... laat ze dan maar eens mijn DNS settings te spoofen.
Vanaf dag 1 draai ik altijd alle providers modems in bridge modus met een eigen linux router er achter. Dit omdat ik de modems niet vertrouw, en dan Linux OS dat wel bijgehouden wordt met updates, een stuk veiliger is.
TheYOSH
Dit is niks voor de consumenten, je wilt dan ook alles van top kwaliteit ( supermicro bordje, jetway? + intel / broadcom nic(s) en dat kost aardig wat wil je hogere snelheden halen en betrouwbaar kunnen filteren zonder haperingen )
En meeste opensource router OSs draait op *BSDs en niet linux, het is makkelijker om je providers modem gewoon weg te halen en een betrouwbare router/DIY router er neerhangen met firewalling erna of op de zelfde machine (VMs) als je teminste betrouwbaarheid wilt en het zelf kan.
Hiernaast zijn er meerdere dingen die een netwerk veilig kunnen maken voor thuis ( denk aan VLANs, en MAC filtering en strict firewall rules ) je kunt het zelf zo gek maken als je zou willen, maar om nou te zeggen dat iedereen zelf een router of een router moet instellen die er geen verstand van hebben ( ja pfsense is niet moeilijk maar strict firewalling, vlans(trunking ect) en dat soort koek is een ander heel ander verhaal )
Daarom is het afgeraden om een bridge modus te gebruiken, zelfs bij KPN is het mogenlijk om een router van jezelf neer te zetten en evt Experiabox voor telefonie maar hier moet je wel verstand van hebben (vlans, en hoe een netwerk werkt en is opgebouwd ) maar als je dat begrijpt hoef je nooit een bridged router te gebruiken ( ja zelfs met IPTV )
Je hebt ook meteen een DMZ, mensen die niet bij het gezin horen, krijgen alleen toegang via het modem van de provider.
Hoeveel routers volgen in het pad vanaf je thuisadres via providers naar de bestemming?
En vrf-also is op veel plaatsen actief.
Je zou je kunnen afvragen waarom Xs4all toegang moet hebben tot je volledige LAN, maar je kan je ook afvragen wat er gebeurd als het lukt om bij Xs4all in te breken. Dan heb je onbekerkte toegang tot de lokale netwerken van bijna alle klanten.
Aan de andere kant zijn er ook heel veel klanten die totaal niet snappen wat een residential gateway is en daarvoor is een vorm van remote beheer wel een uitkomst.
Maar het blijft een risico; als het mis gaat, dan gaat het ook echt goed mis.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
