1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Angriff von innen: Router per E-Mail…

Blöder Artikel

Anzeige
  1. Thema

Neues Thema Ansicht wechseln


  1. Blöder Artikel

    Autor: TechnicalCE 30.11.12 - 09:06

    Also wenn ich mich mit einem Benutzernamen und Passwort bei einem Router "einloggen" kann handelt es sich doch nicht um einen Hack da keine Sicherheitslücke ausgenutzt wird da ich mit Wisser der Zugangsdaten immer etwas manipulieren kann.

    Wie kann man so einen Artikel auf die Menschheit loslassen?

    Benutzer wird von Ihnen ignoriert. Anzeigen

  2. Re: Blöder Artikel

    Autor: theodore 30.11.12 - 09:12

    Den Angriff heisst CSRF und es ist eine Sicherheitslücke. Man nutzt eigentlich Challenges in den Webapplikationen um das zu unterbinden. Mein Lieblings CSRF hat eine Weiterleitung aller Emails für OWA eingerichtet, einfach durch einbinden eines IFRAME. Verstehst Du jetzt das Problem?

    Benutzer wird von Ihnen ignoriert. Anzeigen

  3. Re: Blöder Artikel

    Autor: TechnicalCE 30.11.12 - 09:26

    Das ganze funktioniert mit jeder webbasierten Schnittstelle wenn ich die Zugangsdaten habe, das ist keine grosse Kunst und stellt in meinen Augen keine grosse Leistung dar...und erstrecht keinen Hack da ich ja noch nicht mal die Sicherheitsmechansimen umgehen muss.

    Benutzer wird von Ihnen ignoriert. Anzeigen

  4. Re: Blöder Artikel

    Autor: MrT 30.11.12 - 09:49

    Es geht bei der ganzen Sache darum, dass du auf den Router kommst, selbst wenn bei diesem das managen nur über lokales Netzwerk erlaubt ist - was meines Wissens nach standardmäßig eingestellt ist.

    Öffnet dann der angegriffene die Email im Heimnetz - z.B. weil das Handy per Wlan eingeloggt ist, so kann der Router von innen umkonfiguriert werden.

    Aus diesem Grund ist es schon eine Sicherheitslücke.

    Wobei die Lösung wohl eher darin bestehen kann, dass man keine Standardpasswörter einsetzt, da die Leute, die noch nicht einmal wissen, das "diese Internetkiste da" ein Webinterface mit Passwort hat werden wohl immer in der Überzahl sein werden...

    Benutzer wird von Ihnen ignoriert. Anzeigen

  5. Re: Blöder Artikel

    Autor: AntiMac 30.11.12 - 09:55

    MrT schrieb:
    --------------------------------------------------------------------------------
    > Es geht bei der ganzen Sache darum, dass du auf den Router kommst, selbst
    > wenn bei diesem das managen nur über lokales Netzwerk erlaubt ist - was
    > meines Wissens nach standardmäßig eingestellt ist.
    Was ein ganz klar eklatantes Sicherheitsrisiko ist.

    >
    > Öffnet dann der angegriffene die Email im Heimnetz - z.B. weil das Handy
    > per Wlan eingeloggt ist, so kann der Router von innen umkonfiguriert
    > werden.
    Das kann dann nicht nur von der Mail ausgenutzt werden, sondern auch von vielen "Apps" die im Browser laufen.
    >
    > Aus diesem Grund ist es schon eine Sicherheitslücke.
    Na dann viel Spass alle Möglichkeiten zu beseitigen.
    >
    > Wobei die Lösung wohl eher darin bestehen kann, dass man keine
    > Standardpasswörter einsetzt, da die Leute, die noch nicht einmal wissen,
    > das "diese Internetkiste da" ein Webinterface mit Passwort hat werden wohl
    > immer in der Überzahl sein werden...
    Stimmt absolut

    Benutzer wird von Ihnen ignoriert. Anzeigen

  6. Re: Blöder Artikel

    Autor: zweckform 30.11.12 - 10:03

    Der Artikel behandelt nicht, dass man sich mit einem Passwort auf einem Router einloggen kann. Es geht darum, dass man als Angreifer nicht an den in der Regel nach außen abgeschotteten Router direkt angreift, sondern per einfacher E-Mail diese Hürde nimmt - also im Zielnetz ist - und gleichzeitig eine Kombination aus schwachen E-Mail-Clients und fehlenden Challenge-Response-Verfahren im Router kombiniert. Hier wird also Technologie zweckentfremdet und schlechte Implementationen genutzt, um - ja, auf gut Glück - in Router einzudringen. Es ist damit ein "Hack" wie aus dem Bilderbuch.

    Benutzer wird von Ihnen ignoriert. Anzeigen

  7. Re: Blöder Artikel

    Autor: ji (Golem.de) 30.11.12 - 10:04

    TechnicalCE schrieb:
    --------------------------------------------------------------------------------
    > Also wenn ich mich mit einem Benutzernamen und Passwort bei einem Router
    > "einloggen" kann handelt es sich doch nicht um einen Hack da keine
    > Sicherheitslücke ausgenutzt wird da ich mit Wisser der Zugangsdaten immer
    > etwas manipulieren kann.

    Ja, das steht auch sehr deutlich im Artikel. Das Problem: Viele halten ihren Router von innen für nicht gefährdet und nutzen da schwache Passwörter. Der Angriff macht deutlich, dass das keine gute Idee ist. Das ist sicher kein großer Hack, aber doch etwas, an das viele nicht denken, wenn sie glauben, dass außer ihnen ja eh niemand an ihren Router herankommt.

    Jens Ihlenfeld
    (Golem.de)

    Benutzer wird von Ihnen ignoriert. Anzeigen

  8. Re: Blöder Artikel

    Autor: a user 30.11.12 - 10:25

    es geht doch nicht darum ob das eine große leistung ist oder nicht >.>

    Benutzer wird von Ihnen ignoriert. Anzeigen

  9. Re: Blöder Artikel

    Autor: Hacker Harry 30.11.12 - 10:26

    ji (Golem.de) schrieb:
    --------------------------------------------------------------------------------
    > TechnicalCE schrieb:
    > ---------------------------------------------------------------------------
    > -----
    > > Also wenn ich mich mit einem Benutzernamen und Passwort bei einem Router
    > > "einloggen" kann handelt es sich doch nicht um einen Hack da keine
    > > Sicherheitslücke ausgenutzt wird da ich mit Wisser der Zugangsdaten
    > immer
    > > etwas manipulieren kann.
    >
    > Ja, das steht auch sehr deutlich im Artikel. Das Problem: Viele halten
    > ihren Router von innen für nicht gefährdet und nutzen da schwache
    > Passwörter. Der Angriff macht deutlich, dass das keine gute Idee ist. Das
    > ist sicher kein großer Hack, aber doch etwas, an das viele nicht denken,
    > wenn sie glauben, dass außer ihnen ja eh niemand an ihren Router
    > herankommt.
    >
    > Jens Ihlenfeld
    > (Golem.de)

    tja.
    ein irrglaube, den Sie da beschreiben, der aber, wie Sie richtig
    bemerken, weit verbreitet ist.

    auf der anderen seite sind das ganz schön viele "IFs" die dort
    erfüllt sein müssen.

    Best Bytes®,
    Harry

    Benutzer wird von Ihnen ignoriert. Anzeigen

  10. Re: Blöder Artikel

    Autor: IpToux 30.11.12 - 13:09

    Ich muss da recht geben, es ist kein wirklicher hack... theoretisch könnte jede website einen iFrame einbinden.....

    Benutzer wird von Ihnen ignoriert. Anzeigen

  11. "managen nur über lokales Netzwerk erlaubt ist"

    Autor: fratze123 30.11.12 - 13:23

    deswegen baut man als bösewicht dann dieses zeug per javascript. läuft auf'm client und ist damit "lokales netzwerk".

    Benutzer wird von Ihnen ignoriert. Anzeigen

  12. iframe, javascript... was auch immer.

    Autor: fratze123 30.11.12 - 13:26

    die problematik ist schon länger bekannt.

    Benutzer wird von Ihnen ignoriert. Anzeigen

  13. Re: Blöder Artikel

    Autor: SoniX 30.11.12 - 13:41

    MrT schrieb:
    --------------------------------------------------------------------------------
    > Es geht bei der ganzen Sache darum, dass du auf den Router kommst, selbst
    > wenn bei diesem das managen nur über lokales Netzwerk erlaubt ist - was
    > meines Wissens nach standardmäßig eingestellt ist.

    Ja, man ist dann ja im lokalen Netz.

    > Öffnet dann der angegriffene die Email im Heimnetz - z.B. weil das Handy
    > per Wlan eingeloggt ist, so kann der Router von innen umkonfiguriert
    > werden.

    Ja. Genauso wie ich ihn per Weboberfläche oder auch per zB Telnet aufrufen kann.

    > Aus diesem Grund ist es schon eine Sicherheitslücke.

    Sehe ich nicht so. Ein Router soll ja konfigurierbar sein.

    > Wobei die Lösung wohl eher darin bestehen kann, dass man keine
    > Standardpasswörter einsetzt, da die Leute, die noch nicht einmal wissen,
    > das "diese Internetkiste da" ein Webinterface mit Passwort hat werden wohl
    > immer in der Überzahl sein werden...

    Naja, dann müssen sies eben lernen.

    Wenn man ein Gerät kauft wird als erstes das Passwort gewechselt. Das kann sich jeder merken und hilft ungemein. Würde ja auch niemand einen Safe kaufen und dann die Standardkombination "0000" drinlassen; da würde auch jeder nachdenken und etwas anderes vergeben.

    Benutzer wird von Ihnen ignoriert. Anzeigen

Neues Thema Ansicht wechseln


Entschuldigung, nur registrierte Benutzer dürfen in diesem Forum schreiben. Klicken Sie hier um sich einzuloggen

Raspberry Pi im Garteneinsatz: Wasser marsch!
Raspberry Pi im Garteneinsatz
Wasser marsch!
  1. Hummingboard angetestet Heiß und anschlussfreudig
  2. Onion Omega Preiswertes Bastelboard für OpenWrt
  3. GCHQ Bastelnde Spione bauen Raspberry-Pi-Cluster

Flex Shape Gripper: Zuschnappen wie ein Chamäleon
Flex Shape Gripper
Zuschnappen wie ein Chamäleon
  1. Windkraftwerke Kletterroboter überprüft Windräder
  2. Care-O-bot Der Gentleman-Roboter gibt sich die Ehre
  3. Roboter Festos Falter fliegen fleißig

Fuzzing: Wie man Heartbleed hätte finden können
Fuzzing
Wie man Heartbleed hätte finden können
  1. Fehlersuche LLVM integriert eigenes Fuzzing-Werkzeug
  2. Mozilla Firefox 37 bringt Zertifikatsperren und Nutzerfeedback
  3. IT-Sicherheit Regierung fördert Forschung mit 180 Millionen Euro

  1. Dirt Rally: Klassischer Motorsport im Early Access
    Dirt Rally
    Klassischer Motorsport im Early Access

    Codemasters geht mit der nächsten PC-Rennsimulation der Dirt-Serie ungewöhnliche Wege: Sie ist im Early Access auf Steam in schon gut spielbarer Version erhältlich. Gemeinsam mit der Community soll der Titel voraussichtlich bis Ende 2015 fertig entwickelt werden.

  2. Netzpolitik: Oettinger forciert Vorratsdatenspeicherung auf EU-Ebene
    Netzpolitik
    Oettinger forciert Vorratsdatenspeicherung auf EU-Ebene

    Oettingers netzpolitisches Kuriositätenkabinett: In einem Interview hat sich der EU-Digitalkommissar zu wichtigen Themen geäußert. Und Kritiker erneut des Extremismus bezichtigt.

  3. KDE Plasma 5.3 im Test: Ein Desktop, der Energie versprüht
    KDE Plasma 5.3 im Test
    Ein Desktop, der Energie versprüht

    Mit Plasma 5.3 haben die KDE-Entwickler einige wichtige Neuerungen zur Energieverwaltung hinzugefügt. Zusätzlich zu neuen Einstellungsoptionen und portierten Widgets kann auch erstmals das Mediacenter getestet werden - eine zweite Oberfläche der Plasmashell.


  1. 15:40

  2. 14:03

  3. 14:00

  4. 13:17

  5. 13:00

  6. 12:21

  7. 12:03

  8. 11:00