1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Angriff von innen: Router per E-Mail…

Blöder Artikel

Anzeige
  1. Thema

Neues Thema Ansicht wechseln


  1. Blöder Artikel

    Autor: TechnicalCE 30.11.12 - 09:06

    Also wenn ich mich mit einem Benutzernamen und Passwort bei einem Router "einloggen" kann handelt es sich doch nicht um einen Hack da keine Sicherheitslücke ausgenutzt wird da ich mit Wisser der Zugangsdaten immer etwas manipulieren kann.

    Wie kann man so einen Artikel auf die Menschheit loslassen?

    Benutzer wird von Ihnen ignoriert. Anzeigen

  2. Re: Blöder Artikel

    Autor: theodore 30.11.12 - 09:12

    Den Angriff heisst CSRF und es ist eine Sicherheitslücke. Man nutzt eigentlich Challenges in den Webapplikationen um das zu unterbinden. Mein Lieblings CSRF hat eine Weiterleitung aller Emails für OWA eingerichtet, einfach durch einbinden eines IFRAME. Verstehst Du jetzt das Problem?

    Benutzer wird von Ihnen ignoriert. Anzeigen

  3. Re: Blöder Artikel

    Autor: TechnicalCE 30.11.12 - 09:26

    Das ganze funktioniert mit jeder webbasierten Schnittstelle wenn ich die Zugangsdaten habe, das ist keine grosse Kunst und stellt in meinen Augen keine grosse Leistung dar...und erstrecht keinen Hack da ich ja noch nicht mal die Sicherheitsmechansimen umgehen muss.

    Benutzer wird von Ihnen ignoriert. Anzeigen

  4. Re: Blöder Artikel

    Autor: MrT 30.11.12 - 09:49

    Es geht bei der ganzen Sache darum, dass du auf den Router kommst, selbst wenn bei diesem das managen nur über lokales Netzwerk erlaubt ist - was meines Wissens nach standardmäßig eingestellt ist.

    Öffnet dann der angegriffene die Email im Heimnetz - z.B. weil das Handy per Wlan eingeloggt ist, so kann der Router von innen umkonfiguriert werden.

    Aus diesem Grund ist es schon eine Sicherheitslücke.

    Wobei die Lösung wohl eher darin bestehen kann, dass man keine Standardpasswörter einsetzt, da die Leute, die noch nicht einmal wissen, das "diese Internetkiste da" ein Webinterface mit Passwort hat werden wohl immer in der Überzahl sein werden...

    Benutzer wird von Ihnen ignoriert. Anzeigen

  5. Re: Blöder Artikel

    Autor: AntiMac 30.11.12 - 09:55

    MrT schrieb:
    --------------------------------------------------------------------------------
    > Es geht bei der ganzen Sache darum, dass du auf den Router kommst, selbst
    > wenn bei diesem das managen nur über lokales Netzwerk erlaubt ist - was
    > meines Wissens nach standardmäßig eingestellt ist.
    Was ein ganz klar eklatantes Sicherheitsrisiko ist.

    >
    > Öffnet dann der angegriffene die Email im Heimnetz - z.B. weil das Handy
    > per Wlan eingeloggt ist, so kann der Router von innen umkonfiguriert
    > werden.
    Das kann dann nicht nur von der Mail ausgenutzt werden, sondern auch von vielen "Apps" die im Browser laufen.
    >
    > Aus diesem Grund ist es schon eine Sicherheitslücke.
    Na dann viel Spass alle Möglichkeiten zu beseitigen.
    >
    > Wobei die Lösung wohl eher darin bestehen kann, dass man keine
    > Standardpasswörter einsetzt, da die Leute, die noch nicht einmal wissen,
    > das "diese Internetkiste da" ein Webinterface mit Passwort hat werden wohl
    > immer in der Überzahl sein werden...
    Stimmt absolut

    Benutzer wird von Ihnen ignoriert. Anzeigen

  6. Re: Blöder Artikel

    Autor: zweckform 30.11.12 - 10:03

    Der Artikel behandelt nicht, dass man sich mit einem Passwort auf einem Router einloggen kann. Es geht darum, dass man als Angreifer nicht an den in der Regel nach außen abgeschotteten Router direkt angreift, sondern per einfacher E-Mail diese Hürde nimmt - also im Zielnetz ist - und gleichzeitig eine Kombination aus schwachen E-Mail-Clients und fehlenden Challenge-Response-Verfahren im Router kombiniert. Hier wird also Technologie zweckentfremdet und schlechte Implementationen genutzt, um - ja, auf gut Glück - in Router einzudringen. Es ist damit ein "Hack" wie aus dem Bilderbuch.

    Benutzer wird von Ihnen ignoriert. Anzeigen

  7. Re: Blöder Artikel

    Autor: ji (Golem.de) 30.11.12 - 10:04

    TechnicalCE schrieb:
    --------------------------------------------------------------------------------
    > Also wenn ich mich mit einem Benutzernamen und Passwort bei einem Router
    > "einloggen" kann handelt es sich doch nicht um einen Hack da keine
    > Sicherheitslücke ausgenutzt wird da ich mit Wisser der Zugangsdaten immer
    > etwas manipulieren kann.

    Ja, das steht auch sehr deutlich im Artikel. Das Problem: Viele halten ihren Router von innen für nicht gefährdet und nutzen da schwache Passwörter. Der Angriff macht deutlich, dass das keine gute Idee ist. Das ist sicher kein großer Hack, aber doch etwas, an das viele nicht denken, wenn sie glauben, dass außer ihnen ja eh niemand an ihren Router herankommt.

    Jens Ihlenfeld
    (Golem.de)

    Benutzer wird von Ihnen ignoriert. Anzeigen

  8. Re: Blöder Artikel

    Autor: a user 30.11.12 - 10:25

    es geht doch nicht darum ob das eine große leistung ist oder nicht >.>

    Benutzer wird von Ihnen ignoriert. Anzeigen

  9. Re: Blöder Artikel

    Autor: Hacker Harry 30.11.12 - 10:26

    ji (Golem.de) schrieb:
    --------------------------------------------------------------------------------
    > TechnicalCE schrieb:
    > ---------------------------------------------------------------------------
    > -----
    > > Also wenn ich mich mit einem Benutzernamen und Passwort bei einem Router
    > > "einloggen" kann handelt es sich doch nicht um einen Hack da keine
    > > Sicherheitslücke ausgenutzt wird da ich mit Wisser der Zugangsdaten
    > immer
    > > etwas manipulieren kann.
    >
    > Ja, das steht auch sehr deutlich im Artikel. Das Problem: Viele halten
    > ihren Router von innen für nicht gefährdet und nutzen da schwache
    > Passwörter. Der Angriff macht deutlich, dass das keine gute Idee ist. Das
    > ist sicher kein großer Hack, aber doch etwas, an das viele nicht denken,
    > wenn sie glauben, dass außer ihnen ja eh niemand an ihren Router
    > herankommt.
    >
    > Jens Ihlenfeld
    > (Golem.de)

    tja.
    ein irrglaube, den Sie da beschreiben, der aber, wie Sie richtig
    bemerken, weit verbreitet ist.

    auf der anderen seite sind das ganz schön viele "IFs" die dort
    erfüllt sein müssen.

    Best Bytes®,
    Harry

    Benutzer wird von Ihnen ignoriert. Anzeigen

  10. Re: Blöder Artikel

    Autor: IpToux 30.11.12 - 13:09

    Ich muss da recht geben, es ist kein wirklicher hack... theoretisch könnte jede website einen iFrame einbinden.....

    Benutzer wird von Ihnen ignoriert. Anzeigen

  11. "managen nur über lokales Netzwerk erlaubt ist"

    Autor: fratze123 30.11.12 - 13:23

    deswegen baut man als bösewicht dann dieses zeug per javascript. läuft auf'm client und ist damit "lokales netzwerk".

    Benutzer wird von Ihnen ignoriert. Anzeigen

  12. iframe, javascript... was auch immer.

    Autor: fratze123 30.11.12 - 13:26

    die problematik ist schon länger bekannt.

    Benutzer wird von Ihnen ignoriert. Anzeigen

  13. Re: Blöder Artikel

    Autor: SoniX 30.11.12 - 13:41

    MrT schrieb:
    --------------------------------------------------------------------------------
    > Es geht bei der ganzen Sache darum, dass du auf den Router kommst, selbst
    > wenn bei diesem das managen nur über lokales Netzwerk erlaubt ist - was
    > meines Wissens nach standardmäßig eingestellt ist.

    Ja, man ist dann ja im lokalen Netz.

    > Öffnet dann der angegriffene die Email im Heimnetz - z.B. weil das Handy
    > per Wlan eingeloggt ist, so kann der Router von innen umkonfiguriert
    > werden.

    Ja. Genauso wie ich ihn per Weboberfläche oder auch per zB Telnet aufrufen kann.

    > Aus diesem Grund ist es schon eine Sicherheitslücke.

    Sehe ich nicht so. Ein Router soll ja konfigurierbar sein.

    > Wobei die Lösung wohl eher darin bestehen kann, dass man keine
    > Standardpasswörter einsetzt, da die Leute, die noch nicht einmal wissen,
    > das "diese Internetkiste da" ein Webinterface mit Passwort hat werden wohl
    > immer in der Überzahl sein werden...

    Naja, dann müssen sies eben lernen.

    Wenn man ein Gerät kauft wird als erstes das Passwort gewechselt. Das kann sich jeder merken und hilft ungemein. Würde ja auch niemand einen Safe kaufen und dann die Standardkombination "0000" drinlassen; da würde auch jeder nachdenken und etwas anderes vergeben.

    Benutzer wird von Ihnen ignoriert. Anzeigen

Neues Thema Ansicht wechseln


Entschuldigung, nur registrierte Benutzer dürfen in diesem Forum schreiben. Klicken Sie hier um sich einzuloggen


Anzeige

Haben wir etwas übersehen?

E-Mail an news@golem.de


Zbox Pico im Test: Der Taschenrechner, der fast alles kann
Zbox Pico im Test
Der Taschenrechner, der fast alles kann

SE Android: In Lollipop wird das Rooten schwer
SE Android
In Lollipop wird das Rooten schwer
  1. Lollipop Android 5.0 für deutsche Nexus-Geräte ist da
  2. Android 5.0 Lollipop wird für Nexus-Geräte verteilt
  3. Android 5.0 Aktuelles Moto G ist erstes Smartphone mit Lollipop-Update

Battlefield Hardline angespielt: New Action Hero
Battlefield Hardline angespielt
New Action Hero
  1. Videostreaming Youtube startet 60-fps-Wiedergabe
  2. Electronic Arts Business-Ergebnisse und Battlefield-Termine
  3. Dreijahresplan EA will Spielervertrauen zurückgewinnen

  1. Panasonic Lumix DMC-LX100 im Test: Kamera zum Begeistern und zum Verzweifeln
    Panasonic Lumix DMC-LX100 im Test
    Kamera zum Begeistern und zum Verzweifeln

    Mit der Edelkamera LX100 versucht Panasonic, einen großen Micro-4/3-Sensor mit einem lichtstarken Objektiv zu verbinden. Ob sie sich gut bedienen lässt und wie es um die Bildqualität steht, zeigt der Golem.de-Test.

  2. Kanzlerhandy: Bundesanwaltschaft will NSA-Ermittlungsverfahren einstellen
    Kanzlerhandy
    Bundesanwaltschaft will NSA-Ermittlungsverfahren einstellen

    Das mutmaßliche Abhören des Mobiltelefons von Kanzlerin Merkel bleibt straffrei: Die Bundesanwaltschaft will das Ermittlungsverfahren gegen den US-Geheimdienst NSA einstellen.

  3. Internetsuche: EU-Parlamentarier erwägen Google-Aufspaltung
    Internetsuche
    EU-Parlamentarier erwägen Google-Aufspaltung

    Was tun gegen Googles marktbeherrschende Stellung? Einige Europa-Abgeordnete haben eine Idee, die Google nicht gefallen dürfte. Sie wollen der EU-Kommission einen Vorschlag dazu unterbreiten.


  1. 00:15

  2. 12:34

  3. 10:35

  4. 09:00

  5. 19:11

  6. 18:44

  7. 17:49

  8. 16:37