Google: automatische router-updates erg belangrijk
Een ernstig beveiligingslek in de OnHub-router van Google dat eerder dit jaar werd ontdekt kon binnen een paar dagen bij alle gebruikers worden gepatcht doordat het apparaat over een automatische updatefunctie beschikt, wat volgens Google het belang van automatische router-updates aantoont.
Veel routers kampen namelijk met beveiligingsproblemen en zelfs als de fabrikant een update hiervoor uitbrengt, wordt die vaak niet door gebruikers geïnstalleerd. "Als het updaten niet automatisch gebeurt, doen veel mensen geen moeite", zegt Chris Millikin van Google. Daardoor zijn er inmiddels zeer grote botnets van gehackte routers die worden gebruikt voor het uitvoeren van grootschalige ddos-aanvallen. Waar computers, programma's en smartphones in steeds meer gevallen automatisch worden bijgewerkt, geldt dat nog altijd niet voor apparaten zoals routers.
De OnHub-router beschikt hier wel over en dat maakt een groot verschil, stelt Millikin. Eerder dit jaar werd er een ernstige kwetsbaarheid in de GNU C-softwarebibliotheek ontdekt die ook in het apparaat aanwezig is. Door de automatische updatefunctie kon het probleem bij alle OnHub-routers in een paar dagen worden gepatcht. "De meeste routers vereisen actieve tussenkomst van de gebruiker om tegen dit soort dreigingen te beschermen", gaat Millikin verder. Dat automatische updates een "unique selling point" van een router kunnen zijn bleek ook eind vorig jaar bij de aankondiging van de Turris Omnia. Deze router beschikt namelijk ook over automatische updates en zal in oktober worden geleverd.
Automatisch aanbieden van updates helemaal voor. Echter het door laten voeren zonder dat de eindgebruiker (eigenaar) er van weet is weer een stap te ver. Zou een gebruiker/eigenaar bijvoorbeeld een bepaalde configuratie er op na willen houden dan is dit het recht van de gebruiker/eigenaar dit te kunnen willen behouden.
Automatisch updating kan ook worden aangeboden met een opt-in voor het ook uitvoeren van het firmware.
Router fabrikanten halen nog wel eens bestaande features weg met motivaties als "wettelijke bepalingen", claims
van anderen (rechten op software of protocollen), of domweg omdat er niet genoeg geheugen meer is nadat er andere
features zijn toegevoegd.
Als een bestaande gebruiker een update installeert moet die wel de kans krijgen om de release notes te lezen en af
te wegen of deze update wel geinstalleerd moet worden of dat dit moet worden uitgesteld tot er andere maatregelen
genomen zijn of de hele router vervangen kan worden.
Een automatische update functie moet minstens optioneel zijn.
Met het toenemen van internet apparaten (IoT), waar routers ook toe behoren, lukt het de normale sterveling het echt niet om dit allemaal up to date te houden. Het is te complex. En het zijn teveel apparaten op den duur.
Twee dingen zijn nodig:
1. Het vertrouwen in de fabrikant dat hij het ook goed doet. Dus geen backdoors, en geen rare fratsen zoals HP deed.
2. De termijn waarop je over updates kunt beschikken. Dat is dan gelijk aan de veilige levensduur, je moet weten waar je aan toe bent. Ter plekke verzonnen idee nog: Een verplicht rood ledje dat gaat branden als de ondersteuning opgehouden is, zou een goed plan kunnen zijn.
Ik gebruik graag DD-WRT op routers. Geweldig besturingssysteem voor routers is dat. Maar helaas het updaten gaat niet automatisch. Dat is echt een tekortkoming.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?