Firmware in veel breedbandrouters oud en onveilig
De firmware in veel breedbandrouters is jaren oud en bevat allerlei kwetsbaarheden, zo blijkt uit onderzoek van onderzoekers van de Edith Cowan University. De onderzoekers analyseerden de firmware van 37 breedbandrouters, de software die het hart van het apparaat is.
Van de firmware werden het besturingssysteem, softwarebibliotheken en uitvoerbare bestanden onderzocht. Met deze gegevens konden de onderzoekers een database van apparaten, softwareversies en bekende kwetsbaarheden aanleggen. Ze ontdekten dat 90% van de onderzochte onderdelen meer dan 6 jaar oud is. In elke firmware werd verouderde software met bekende beveiligingsproblemen aangetroffen, ongeacht fabrikant of de datum dat de router op de markt verscheen.
"Oude software lijkt misschien niet zo belangrijk, maar beveiligingsexperts zijn het erover eens dat ontwikkelaars met een solide basis moeten beginnen, en er met softwareonderdelen moet worden gewerkt die worden ondersteund en up-to-date zijn", aldus de onderzoekers. Toch bleken 7 breedbandrouters een versie van OpenSSL te gebruiken met kwetsbaarheden die uit 2005 stammen. Beveiligingsproblemen in verouderde software zijn vaak zo bekend, dat er allerlei 'hackprogramma's' zijn die hier eenvoudig misbruik van kunnen maken. "Oude ifrmware-onderdelen zijn dus een groot probleem", zo waarschuwen de onderzoekers.
Ze adviseren consumenten om firmware-updates tijdig te installeren, maar merken op dat het probleem uiteindelijk alleen door fabrikanten kan worden opgelost. "Consumenten en IT-professionals moeten betere veiligheid eisen, maar zonder onafhankelijk onderzoek van apparaten zullen voor veel mensen de beveiligingsproblemen of gevolgen onduidelijk zijn. Dit is een gebied dat meer aandacht vereist", zo laten de onderzoekers weten. Om het probleem aan te pakken stellen ze onder andere een beoordelingssysteem voor waarbij routers afhankelijk van de veiligheid een aantal sterren krijgen.
Wetgeving zal de enige oplossing zijn. De "markt" beweegt niet uit zichzelf en heeft zelfs een financieel voordeel bij het sneller moeten vervangen van producten die onveilig zijn (zie ook Android telefoons). Het is maar weer wachten op 1 of andere politicus die hier brood in ziet en het ellendig lange traject van wetgeving creeren wil inslaan. Tot die tijd zijn we overgeleverd aan de zogenaamd "zelfregulerende" markt-ideologie van de liberalen....
Dat is niet altijd mogelijk, en vaak als er in optie is om dat te doen, blijft het toch gewoon actief en benaderbaar. Vaak is alleen het remote management via https uit te schakelen terwijl management via tr069 gewoon enabled blijft.
Met andere woorden je kan beter die router bij het afval gooien en iets fatsoendelijks aanschaffen of bouwen. En management alleen via een specifiek lokaal poortje mogelijk maken waar niets op aangesloten zit. Dan maakt het zoveelste ssl lek ook niet zoveel meer uit.
Lekker gemakkelijk altijd, dat remote management... :|
Welke backdoor heb jij het over? TR069 is nou niet echt een backdoor te noemen, bovendien kun je dit bij de meeste door ISP geleverde modems niet uitschakelen. (Ja misschien als je er een andere firmware in hackt)
Een geschiedenisles die keer op keer geleerd moet worden.
Een eeuw of wat geleden in de auto industrie (af en toe een dode klant is voor ons goedkoper dan veiligheidsgordels en dergelijke inbouwen).
De smog in beginnend industrieel London.
Lood in brandstoffen.
Kwik in vullingen.
Zelfregulatie boven onafhankelijke veiligheidsinspecties met tanden.
Pas na 6 doodgereden kinderen eindelijk straatverlichting plaatsen voor een donkere, druk bereden, weg door gemeente X.
Enzovoorts.
De praktijk leert dat eerst een paar commercieel belanghebbenden winnen, en pas veel later het gezond verstand waar het algemeen belang mee gediend is. En dan nog enkel door schade en schande. Als het echt niet meer te ontkennen valt.
Juist niet!! De ISP de firmware te laten updaten is de enige in de praktijk werkbare manier om te zorgen dat routers
uptodate blijven. Je kunt echt niet verwachten dat de gebruikers dat zelf gaan regelen.
De praktijk leert dat eerst een paar commercieel belanghebbenden winnen, en pas veel later het gezond verstand waar het algemeen belang mee gediend is. En dan nog enkel door schade en schande. Als het echt niet meer te ontkennen valt.
Nu wijzen hier naar het routertje (dat goedkope bakje) dat thuis neergezet wordt. Makkelijk het is is zichtbaar. Dat routertje maakt verbinding met het netwerk (de echte wereld waar het gebeurt) van je ISP provider. Wat daar gebeurt zie je niet maar is veel wezenlijker voor al het dataverkeer. Dat is de voordeur voor je gegevens waar je je zorgen over moet maken.
Een geschiedenisles die keer op keer geleerd moet worden.
Een eeuw of wat geleden in de auto industrie (af en toe een dode klant is voor ons goedkoper dan veiligheidsgordels en dergelijke inbouwen).
De smog in beginnend industrieel London.
Lood in brandstoffen.
Kwik in vullingen.
Zelfregulatie boven onafhankelijke veiligheidsinspecties met tanden.
Pas na 6 doodgereden kinderen eindelijk straatverlichting plaatsen voor een donkere, druk bereden, weg door gemeente X.
Enzovoorts.
De praktijk leert dat eerst een paar commercieel belanghebbenden winnen, en pas veel later het gezond verstand waar het algemeen belang mee gediend is. En dan nog enkel door schade en schande. Als het echt niet meer te ontkennen valt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?