Duitse overheid zet laatste stap richting veiligheidskeurmerk voor routers
De Duitse overheid heeft een specificatie opgesteld om de veiligheid van routers te testen, waarmee de laatste stap richting een veiligheidskeurmerk voor routers is gezet. Twee jaar geleden publiceerde het Bundesamt für Sicherheit in der Informationstechnik (BSI), onderdeel van het Duitse ministerie van Binnenlandse Zaken, technische beveiligingsrichtlijnen voor routers voor particulieren.
Routers spelen een steeds grotere rol in de digitalisering van het huishouden en zijn daarmee een aantrekkelijk doelwit voor aanvallers, aldus het BSI. Met de publicatie van de richtlijn hoopt het BSI om routers beter bestand tegen aanvallen te maken. Zo moeten routers updates kunnen ontvangen. Verder moeten fabrikanten melden hoelang ze de router blijven ondersteunen en moeten ze ernstige kwetsbaarheden patchen. Ook moet de router over een firewall beschikken, geen onnodige diensten draaien en moet elke router een eigen uniek "preset" wachtwoord krijgen.
In samenwerking met testcentra, fabrikanten, telecomproviders en maatschappelijke organisaties is er nu een specificatie opgesteld waarmee kan worden getest of routers aan de richtlijnen van het BSI voldoen. Het opstellen van de testspecificatie was ook de laatste stap om een veiligheidscertificering voor routers mogelijk te maken. De Duitse overheid wil straks een veiligheidskeurmerk introduceren waarmee gebruikers eenvoudig kunnen zien dat het apparaat aan de veiligheidseisen voldoet. Het BSI roept nu testcentra en beveiligingsproviders op om hun medewerkers te laten erkennen als examinator van de beveiligingsrichtlijn.
Mooi stukje nog: "To prevent attacks on secured connections and on the router itself all (private) cryptographic keys and secrets MUST NOT be shared by multiple devices in the factory setting and initialized state." Daar kunnen ze bij KPN nog wat van leren, als je het verlopen certificaat (mijnmodem.kpn) debacle hebt meegekregen van vandaag.
Nb. verderop in TR03148.pdf wordt er verwezen naar TR-02102-2 (te vinden in https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Publications/TechGuidelines/TG02102/BSI-TR-02102-2.html) maar daarin staan geen eisen aan het soort certificaten dat je zou moeten gebruiken.
Als authenticatie van de router niet goed geregeld is, kan een MITM de gebruiker laten denken dat hij zijn wachtwoord invoert op de inlogpagina van de router, terwijl het gaat om een device waar de aanvaller toegang tot heeft. Met het zo verkregen wachtwoord kan de aanvaller vervolgens op de echte router inloggen.
Zie ook https://security.nl/posting/640348/IoT+authenticiteit en mijn bijdrage https://security.nl/posting/663515 over KPN die in al haar Experiabox V10A modems dezelfde private key en (recentelijk verlopen) PKI-overheid certificaat inzet. Zo moet het dus niet wat mij betreft, het BSI zou hier verstandige eisen voor moeten bedenken en opnemen.
Aanvulling:
Over je eerdere opmerking: wat is "hoog"? Ik denk dat deze standaard ervoor gaat zorgen dat het merendeel van de routers af gaat vallen en daarmee op den duur de veiligheid omhoog gaat. Zo moeten de gecertificeerde routers (naast veilige basis instellingen) nu patched krijgen, en dat die voor een "high severity" issue (CVSS van >6.0) snel een patch moet komen (snel als in: "without undue delay", en dat van te voren bekend is tot hoe lang die patches geleverd gaan worden.
Kortom: iedereen die daarna een niet-gecertificeerde router koopt weet dat hij daarmee een probleem heeft. Wat mij betreft een verbod op dat soort routers.
Rekening houdend met het risico van DNS rebinding attacks zie ik ook niet zo snel hoe dit veilig zou kunnen zijn voor routers met uitsluitend beheertoegang aan LAN/WLAN zijde.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
