1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › libupnp: Schwere UPnP-Lücke in…
  6. Th…

UPnP selber ist eine Sicherheitslücke

  1. Thema
  1. 1
  2. 2

Neues Thema Ansicht wechseln


  1. Vollkommen falsch!

    Autor: Bouncy 30.01.13 - 14:09

    a user schrieb:
    --------------------------------------------------------------------------------
    > gerade im privaten umfeld wird eine port-freigabe so gut wie nie gebracuht.
    > aber du willst jedem programm, welches der private nutzer so unschuldig
    > aus dem netz lädt die mgöcihkeit geben ports offen zu legen? super idee im
    > PRIVATEN umfeld.
    Also: wenn ein Schadprogramm die Möglichkeit hat über UPnP den Router zu konfigurieren, dann hat es zu dem Zeitpunkt bereits einen Rechner kompromittiert. Dann ist es zu spät, dann hilft auch keine Firewall mehr. Denn wie du weißt, ist a) Netzwerkverkehr der von Innen initiiert wird in den privaten Routermodellen immer zugelassen und läßt danach auch eingehende Verbindungen zu und b) ist kaum ein Programm so unflexibel, dass es nicht bereits offene Ports nutzen könnte, wenn es darauf angewiesen ist. Keine zusätzlichen Ports zu öffnen ist KEIN HINDERNIS für die Kommunikation wenn ein Programm einen internen Rechner bereits befallen hat!

  2. Re: UPnP selber ist ein Sicherheitsgewinn

    Autor: Bouncy 30.01.13 - 14:13

    Baron Münchhausen. schrieb:
    --------------------------------------------------------------------------------
    > Also wenn eine Tür einfach so von jedem geöffnet werden kann, nach dem
    > Einbruch aber automatisch wieder geschlossen wird ist es ein
    > Sicherheitsgewinn. Alles klar! Du arbeitest bei Mega?
    Ich hätte nichts dagegen bei Mega zu arbeiten, im Gegensatz zu dir kennen sich die Leute da mit der Materie aus. Und der Vergleich ist dermaßen falsch, das gibt's ja nicht. UPnP - abseit dieses Bugs jetzt - erlaubt nur die Türöffnung, wenn der Einbrecher schon im Haus ist. Du hast also schon versagt mit deiner Sicherheitsstrategie, wenn Türöffnung ein Thema ist...

  3. Re: UPnP selber ist eine Sicherheitslücke

    Autor: Frauke 05.11.14 - 04:07

    @ Alle,
    Hallo, so wie es hier steht, habe ich das ebenfalls mal (von einer kundigen Person) gehört und mich seither daran gehalten. Ich, wissbegieriger "Ottonormaluser", bin zufällig auf diese Seite gestoßen, weil ich gesucht habe, ob es für UPnP irgendwelche Standardports gibt. - Letzteres nur so zur Sicherheit um mein Bild zu überprüfen.
    Hier gibt es offenbar sehr viele Kundige, so dass ich hier mal mein "Ottonormaluser - Szenario" darstellen möchte:
    Ich habe irgendwann eine IP Cam gekauft, mich in die Materie eingearbeitet und das Ding auch zum Laufen bekommen. - Ohne UPnP!
    Den Livestream konnte ich nach wochenlangen Recherchen schließlich auch auf einer Festplatte speichern lassen, wobei der PC natürlich ausgeschaltet (nicht im Standby!) war. Dazu genutzt hatte ich - lt. Ratgeber - den VLC Player, der auf einem XP - PC installiert war. Irgendwo im Netz hatte ich damals eine Anleitung dazu gefunden, wie man das mit VLC (per streaming und quasi automatisch) hinbekommt, aber leider habe ich diese Anleitung nicht mehr gefunden, als ich sie dringend brauchte.

    Irgendwann nämlich war Schluss mit den schönen Kameravideos.
    Es ging gar nichts mehr, weder Bilder per Mail, noch Videos. Da meine Tests schließlich ergaben, dass die Kamera nicht kaputt ist, begann meine Suche im Netz erneut und blieb erfolglos.
    Natürlich habe ich den Mailversand alsbald wieder einrichten können, aber eben nicht mit meinem kostenpflichtigen Mailkonto. - Egal, zumindest das funktionierte wieder!
    Mit den Aufzeichnungen auf Festplatte sah das bislang (mehrere Monate) schon wieder anders aus. Klar, ich bekomme ein Video auf Festplatte (das macht die Kamera) oder aber auch VLC. -
    Beide allerdings nur wenn: a) der PC eingeschaltet ist, b) der Browser geöffnet und ich c) die Livebilder im geöffneten Browser auch sehen kann. Sch.. - Bedingungen also.

    Bei der Suche stieß ich dann irgendwo auf die Portfreigaben und konnte mehrfach (zu vergleichbaren Kameras) lesen, dass (neben TCP) auch ein UDP Port geöffnet werden müsste.
    Ich hatte (und habe) nur eine Portfreigabe für die Kamera: TCP - Port (nicht Standard) an (statische) IP der Kamera und eben denselben Port. (Genau so, wie im Routerhandbuch beschrieben.) Das funktionierte wie gesagt sehr lange und als es unter XP nicht mehr ging, stand ohnehin der (späte) Wechsel des Betriebssystems (Win 7 x64) an.
    Ich sah zwar keinen rechten Grund nun einen UDP Port (Steuerung ging zuvor ja ohne) freizugeben, habe das aber dennoch ausprobiert und als das nicht das gewünschte Ergebnis brachte, ging die Recherche eben weiter. Als ich dann irgendwann in einer Portliste ablesen konnte, dass für den meinerseits gewählten UDP Port (gleiche Portnummer wie TCP Port) gar kein UDP angegeben ist, dachte ich, ich könnte dann für UDP mal mit anderen Portnummern experimentieren. - Alles (im Hinblick auf meine Wünsche) erfolglos!
    Aufgegeben habe ich natürlich nicht mit meinen Experimenten.
    Als ich gestern gerade (mal wieder - schließlich lässt die Konzentration irgendwann nach) sämtliche Kombinationen aus den diversen Kameraeinstellungen (Livebild im Browser - oder eben auch nicht, Zeitplan, Alarmeingang etc.) und Portfreigaben (mal die Eine, mal die Andere aktiviert) durchprobierte, kam mir die Idee mit UPnP. -
    Das kann die Kamera und der Router. Also habe ich das Ganze heute nochmal mit UPnP probiert. Das Ergebnis war vielversprechend, denn der Router zeigte mir schön an, welche Ports gerade freigegeben wurden.
    Das waren fast ausschließlich UDP Ports und nur in zwei Fällen wurde tatsächlich (der meinerseits vorgegebene) TCP Port geöffnet, den ich natürlich vorher geschlossen hatte. - Komisch nur, dass der Kamerahersteller (das Handbuch ist dürftig) mit keiner Silbe Portfreigaben für UDP erwähnte.
    Auch komisch: je nach Kameraeinstellungen (?) wurden da im Laufe der Tests unterschiedliche UDP Ports (z.B. 51663, 50383, 54269) freigegeben, wobei ich natürlich nicht sicher war, ob das tatsächlich mit den Kameraeinstellungen zu tun hatte, oder auf die zwischenzeitlichen Anfragen durch UPnP, von denen ich gelesen hatte, zurückzuführen war. Außerdem fiel mir auf, dass gelegentlich eben auch ein (ebenfalls wechselnder) UDP Port für den PC freigeschaltet wurde, so dass ich dachte, dass das Problem evtl. nicht bei der Kamera liegt, sondern vielleicht an den Portfreigaben für den PC.
    Also habe ich auch damit experimentiert und dann versucht nachzuforschen, bin auf diesen Threat gestoßen und beschloss zur Ablenkung mal meine UPnP Erfahrungen kund zu tun.
    Heute wollte ich im Grunde nur wissen, welchen UDP Port ich günstiger- und versuchsweise satt des meinerseit gewählten als Portfreigabe im Router einrichten könnte, obgleich keiner der per UPnP freigeschalteten Ports etwas an meinem Aufzeichnungsproblem änderte.
    Was ich grundsätzlich will, ist - nachdem ich ein bisschen mehr darüber gelesen habe - kein UPnP.
    DHCP nutze ich auch nicht, MAC Filter dagegen gern. - Aber wie das manchmal so ist, spielen die Geräte (z.B. das Handy, das ständig die MAC wechselt) nicht immer mit: dann muss man sich eben mit dem gelegentlichen Wechsel der Routereinstellungen anfreunden.
    Wie gesagt, ich halte mich für einen "Ottonormal - Nutzer", aber für Einen, der zumindest versucht, den Dingen auf den Grund zu gehen, wenn es die Zeit erlaubt.
    Nur, muss das eben - wie gestern und heute festgestellt - nicht unbedingt zur Problemlösung oder neuen Erkenntnissen beitragen. Es kann in Ermangelung von Wissen, Erfahrung oder auch Verständnis ebenso weitere Fragen (oder auch Problemkreise) eröffnen:
    mein "Neuer" heißt seit heute DynDNS, das trotz geglückter Aktualisierung Fehler meldet (sagt der Router). Auch das funktionierte bislang einwandfrei und nun habe ich die nächste "Baustelle".
    Obwohl ich bisher dachte, dass ich das nur in den seltenen Fällen bräuchte, in denen ich von einem entfernten PC aus über das Internet die Livebilder der Kamera betrachten möchte, bin ich mir jetzt gerade gar nicht mehr so sicher. (Kann der Computer (bzw. VLC) den Livestream der Kamera mit eingebautem Webserver "sehen", wenn ich dem sage, wohin (http://IP:Port/videostream.cgi?user=...&pwd=...&resolution=...) er gucken muss, obwohl er keine DynDNS Hilfe hat???) -
    Vielleicht aber brauche ich jetzt einfach nur eine Mütze Schlaf und kann danach wieder halbwegs klar denken!
    Ehe ich's vergesse, schnell noch meine persönlich Denkhilfe für die nächste Experimentiersitzung: http://(i n t e r n e) IP:Port/video.....

    Gute Nacht

  1. Thema
  1. 1
  2. 2

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Stellenmarkt
  1. finanzen.de, Berlin
  2. ADAC e.V., München
  3. Knorr-Bremse Systeme für Nutzfahrzeuge GmbH, Schwieberdingen
  4. Sächsische Staatsministerium für Energie, Klimaschutz, Umwelt und Landwirtschaft (SMEKUL), Dresden, Niederwiesa

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Hardware-Angebote
  1. täglich neue Deals bei Alternate.de


Haben wir etwas übersehen?

E-Mail an news@golem.de


Sicherheitslücken: Microsoft-Parkhäuser ungeschützt im Internet
Sicherheitslücken
Microsoft-Parkhäuser ungeschützt im Internet

Eigentlich sollte die Parkhaussteuerung nicht aus dem Internet erreichbar sein. Doch auf die Parkhäuser am Microsoft-Hauptsitz in Redmond konnten wir problemlos zugreifen. Nicht das einzige Sicherheitsproblem auf dem Parkhaus-Server.
Von Moritz Tremmel

  1. Office 365 Microsoft testet Werbebanner in Wordpad für Windows 10
  2. Application Inspector Microsoft legt Werkzeug zur Code-Analyse offen
  3. Support-Ende Neben Windows 7 ist jetzt auch Server 2008 unsicher

Programmieren lernen: Informatik-Apps für Kinder sind oft zu komplex
Programmieren lernen
Informatik-Apps für Kinder sind oft zu komplex

Der Informatikunterricht an deutschen Schulen ist in vielen Bereichen mangelhaft. Apps versprechen, Kinder beim Spielen einfach an das Thema heranzuführen. Das können sie aber bislang kaum einhalten.
Von Tarek Barkouni

  1. Kano-PC Kano und Microsoft bringen Lern-Tablet mit Windows 10

Elektroautos in Tiefgaragen: Was tun, wenn's brennt?
Elektroautos in Tiefgaragen
Was tun, wenn's brennt?

Was kann passieren, wenn Elektroautos in einer Tiefgarage brennen? Während Brandschutzexperten dringend mehr Forschung fordern und ein Parkverbot nicht ausschließen, wollen die Bundesländer die Garagenverordnung verschärfen.
Eine Analyse von Friedhelm Greis

  1. Mercedes E-Econic Daimler elektrifiziert den Müllwagen
  2. Umweltprämie für Elektroautos Regierung verzögert Prüfung durch EU-Kommission
  3. Intransparente Preise Verbraucherschützer mahnen Ladenetzbetreiber New Motion ab

  1. Pakete: Neue DHL-Packstationen nur noch mit App nutzbar
    Pakete
    Neue DHL-Packstationen nur noch mit App nutzbar

    Die DHL testet an rund 20 neuen Packstationen den Betrieb nur mit der App. Die Packstationen haben kein Display mehr.

  2. P-CUP: Ultraschnelle Kamera bildet Ausbreitung von Schockwellen ab
    P-CUP
    Ultraschnelle Kamera bildet Ausbreitung von Schockwellen ab

    Sie ist zwar nur ein Zehntel so schnell wie die schnellste Kamera der Welt; aber dafür kann P-CUP schnelle Prozesse in transparenten Objekten erfassen und vielleicht auch die Kommunikation von Nervenzellen untereinander.

  3. Tarife: Noch kein genauer Starttermin für 5G bei Telefónica
    Tarife
    Noch kein genauer Starttermin für 5G bei Telefónica

    Das 5G-Netz der Telefónica wird bereits aufgebaut. Wann es losgehen soll, ist weiterhin unklar. Doch einige Informationen sind bereits verfügbar.


  1. 18:40

  2. 18:22

  3. 17:42

  4. 17:32

  5. 16:02

  6. 15:15

  7. 15:00

  8. 14:45