Ruteren din kan være rammet av Heartbleed

[RBW]

Flere nettverksprodukter viser seg nå å være rammet.

Ruteren din kan være rammet av Heartbleed

[Christian Thork]

Jada, Alltid så er det noe man må gjøre, Men akkurat Heartbleed var litt skummelt

[Gjest Slettet-RnjNn5NbHl]

Er Telenor XyZEL rutere rammet?

[tormoddf]

? Vi er 100 prosent sikre på at dette ikke påvirker våre rutere da vi ikke har noen tjenester til våre rutere på nettsider. Det sier Karsten Kjoss, administrerende direktør Jensen Scandinavia, til Hardware.no.

 

Javel? Jensen-rutere bruker da webgrensesnitt som alle andre. Hvis disse krypterer webtrafikken, noe de forhåpentligvis gjør, så kan de vel være utsatt som alle andre forutsatt at de har benyttet seg av OpenSSL til det?

 

Om de ikke eksponerer dette som en webside mot Internett kan de likevel være sårbare for angrep fra lokalnettverket.

[tommyb]

Er det noen som kan si noe om hvordan dette kan utnyttes på en sårbar ruter eller brannmur som ikke har åpne tjenester på WAN-interface?

 

Jeg er bekymret, men usikker på hva man faktisk risikerer.

 

En ruter/brannmur vil typisk beskytte seg selv med en brannmur som kan slippe gjennom trafikk til ruteren på WAN men normalt blokkerer dette. Vil denne da være sårbar på WAN?

 

Hva slags data vil en ruter/brannmur kunne lekke?

 

Vil ruteren kunne lekke innholdet fra ukrypterte pakker? Krypterte pakker vil vel gå ubehandlet gjennom ruteren og ruteren vil ikke kjenne nøkkelen, så det kan lekkes men ikke dekrypteres (uten annen metode for dekryptering).

 

Er det noen som har nevnt rutere som kan bli overtatt via disse sikkerhetshullene?

[Emancipate]

Er det noen som kan si noe om hvordan dette kan utnyttes på en sårbar ruter eller brannmur som ikke har åpne tjenester på WAN-interface?

Da kan det ikke utnyttes, så vidt jeg kan forstå. Man må kunne koble seg til en tjeneste på ruteren som bruker SSL. Til og med en SSL-tilkobling igjennom ruteren (til noe bak) skal være sikkert selv om ruteren selv er rammet. Forutsatt at det som er bak ikke er rammet. Dette er ihvertfall sunn fornuft.

[tommyb]

Enkelte ISP'er har vel muligens SSH-tilgang til rutermodem og modem, men kanskje ikke webgrensesnitt...

[Properbbq]

Min fortigate 60d var desverre ikke sikret mot dette. Man må ha en tjeneste åpen fra internet for å bli påvirket, men port forwarding til en intern tjeneste kan likesågodt være et problem.

Ellers kan et slikt hull fort bli et problem ift virusinfeksjon på en pc, da trenger man ikke lenger ha noen inngang fra wan interfacet.

[tormoddf]

Ser det er flere som hevder at man ikke er påvirket om ikke har tjenester åpen mot Internett. Det er vel ikke helt riktig?

 

Rett nok trenger de fleste ikke å bekymre seg for angrep innenfra, men det finnes scenarioer der dette kan være en sak, selv med rutere for hjemmemarkedet (og i høyeste grad med rutere for bedriftsmarkedet). Det avhenger av bruken, og hvem som har tilgang til det interne nettverket. Det er ikke gitt at alle som har tilgang til det interne nettverket skal kunne ha konfigurasjonstilgang til ruteren, men det kan de vel greit skaffe seg hvis ruteren har interne tjenester som benytter en sårbar OpenSSL-implementasjon. Temmelig uproft av en ruterprodusent å feie det under teppet, eller evt. ikke vite om det.

[Ascubal]

 

 

Jupiter er en annen produsent som viser seg å være rammet, og alt fra rutere, switcher og brannmurer skal være rammet.

Mulig jeg er helt på bærtur, men det skulle vel ikke stå Juniper her?

[efikkan]

Ser det er flere som hevder at man ikke er påvirket om ikke har tjenester åpen mot Internett. Det er vel ikke helt riktig?

 

Rett nok trenger de fleste ikke å bekymre seg for angrep innenfra, men det finnes scenarioer der dette kan være en sak, selv med rutere for hjemmemarkedet (og i høyeste grad med rutere for bedriftsmarkedet). Det avhenger av bruken, og hvem som har tilgang til det interne nettverket. Det er ikke gitt at alle som har tilgang til det interne nettverket skal kunne ha konfigurasjonstilgang til ruteren, men det kan de vel greit skaffe seg hvis ruteren har interne tjenester som benytter en sårbar OpenSSL-implementasjon. Temmelig uproft av en ruterprodusent å feie det under teppet, eller evt. ikke vite om det.

Sant nok, men det blir faktisk er irrelevant problem for de aller fleste, for husk at folk flest oppdaterer aldri sine eldgamle routere, bruker standardpassord og har gjerne ett trådløst nett med potensielle sårbarheter. I de fleste tilfeller blir heartbleed-sårbarheten helt unødvendig når routeren har flere hull enn en sveitserost. Selv blant Tek-nettverkets medlemmer vil jeg anslå at en stor andel synder på de overnevnte punktene med hjemmesikkerhet. Dessverre er det også slik at produsentene typisk kun gir ut oppdateringer for svært alvorlige problemer, og at de unnlater dette for eldre produkter totalt. Det er ikke lenge siden jeg hørte om en stor sårbarhet for Linksys-routere hvor en god del modeller aldri blir fikset. Jeg tror ikke det er så stor andel av Internett-brukere som følger med på slike ting som meg fra uke til uke.

 

Jeg vil forøvrig forslå at du snakker med dine kolleger om å skrive en artikkel som ser mer opp og fremover på sikkerhetsproblematikken. Heartbleed-feilen er riktig nok en alvorlig sårbarhet, men det er noe systemadministratorer skal ta seg av, det blir unødvendig å skremme alle brukere til å tro at passord er kompromittert. Jeg skulle ønske at Tek-nettverket kunne ta et steg bort fra tabloidpressen og lærer opp vanlige brukere i gode sikkerhetsrutiner de kan mestre. Tema som sikring av hjemmenettverk, PCer og passordbruk på nettjenester er noe de aller fleste synder mot, og unødvendig skremsel rundt heartbleed vil bare medføre mer forvirring og feil fokus. Det er solide artikler om slike tema som kan heve Tek-nettverket og skille det fra mengden.

[Aeyoun]

Min FreeBSD-baserte pfSense router lider under Heartbleed. Jeg er fornøyd med hvor kjapt de har fått ut en oppdatering.

Endret 11. april 2014 av Aeyoun

[endrebjo]

Min FreeBSD-baserte pfSense router lider under Heartbleed. Jeg er fornøyd med hvor kjapt de har fått ut en oppdatering.

pfSense 2.1.2 fikset feilen, ikke 2.1.1.

Jeg er forøvrig ikke helt imponert over tiden pfSense brukte til å fikse feilen. FreeBSD patchet feilen allerede på mandag/tirsdag (ble sendt ut natt til tirsdag, norsk tid), mens pfSense 2.1.2 ble sluppet først i går.

[tommyb]

Mashable:

 

From what we can tell, most major consumer routers are not affected by Heartbleed. If you use the DD-WRT or OpenWRT open source router firmware packages, however, the version of OpenSSL on your device may be vulnerable.

 

DD-WRT forum:

A quick look at the repository says all versions between ~19000 - 23882 are affected, previous releases should be fine, but they have other vulnerabilities.

 

:| I has the heartbleeds.

[tormoddf]

Sant nok, men det blir faktisk er irrelevant problem for de aller fleste, for husk at folk flest oppdaterer aldri sine eldgamle routere, bruker standardpassord og har gjerne ett trådløst nett med potensielle sårbarheter. I de fleste tilfeller blir heartbleed-sårbarheten helt unødvendig når routeren har flere hull enn en sveitserost. Selv blant Tek-nettverkets medlemmer vil jeg anslå at en stor andel synder på de overnevnte punktene med hjemmesikkerhet. Dessverre er det også slik at produsentene typisk kun gir ut oppdateringer for svært alvorlige problemer, og at de unnlater dette for eldre produkter totalt. Det er ikke lenge siden jeg hørte om en stor sårbarhet for Linksys-routere hvor en god del modeller aldri blir fikset. Jeg tror ikke det er så stor andel av Internett-brukere som følger med på slike ting som meg fra uke til uke.

 

Jeg vil forøvrig forslå at du snakker med dine kolleger om å skrive en artikkel som ser mer opp og fremover på sikkerhetsproblematikken. Heartbleed-feilen er riktig nok en alvorlig sårbarhet, men det er noe systemadministratorer skal ta seg av, det blir unødvendig å skremme alle brukere til å tro at passord er kompromittert. Jeg skulle ønske at Tek-nettverket kunne ta et steg bort fra tabloidpressen og lærer opp vanlige brukere i gode sikkerhetsrutiner de kan mestre. Tema som sikring av hjemmenettverk, PCer og passordbruk på nettjenester er noe de aller fleste synder mot, og unødvendig skremsel rundt heartbleed vil bare medføre mer forvirring og feil fokus. Det er solide artikler om slike tema som kan heve Tek-nettverket og skille det fra mengden.

Har ikke vært skribent her på noen år. Får ikke bort den tittelen selv tror jeg. For øvrig er jeg enig i det meste du skriver, men synes direktøren for en ruterprodusent bør uttale seg mer presist om en sak som er mer kompleks enn det han gir inntrykk for. Får ikke veldig sterkt inntrykk av at de har kontroll over situasjonen.

Endret 11. april 2014 av tormoddf

[tommyb]

Asus RT-N13U (VER.B1) :

Ikke patchet fra Asus

Ikke patchet i nyeste DD-WRT ( BrainSlayer-V24-preSP2 )

Det er to nye BrainSlayer releaser siste måned, men ikke ny nok.

 

 

Edit:

Nå er en ny BrainSlayer-release av DD-WRT sluppet, så den skal være patchet med HeartBleed-fiksen. Har imidlertidig ikke lest en eneste erfaring, så det er god grunn til å være skeptisk til å installere på nåværende tidspunkt.

 

 

Det er ganske mange forskjellige rutere som får BrainSlayer-firmware kompilert, her er listen

 

ftp://www.dd-wrt.com/others/eko/BrainSlayer-V24-preSP2/2014/

 

Les for guds skyld om deres ruter og firmwareversjoner før dere installerer noe derfra.

 

Forumene til DD-WRT sier forøvrig ganske lite om Heartbleed-svakheten, selv om DD-WRT nettsiden ramser opp endel tjenester i DD-WRT som er berørt. MAO: folk bryr seg egentlig ikke.

Endret 19. april 2014 av tommyb

[G]

 

Ser det er flere som hevder at man ikke er påvirket om ikke har tjenester åpen mot Internett. Det er vel ikke helt riktig?

 

Rett nok trenger de fleste ikke å bekymre seg for angrep innenfra, men det finnes scenarioer der dette kan være en sak, selv med rutere for hjemmemarkedet (og i høyeste grad med rutere for bedriftsmarkedet). Det avhenger av bruken, og hvem som har tilgang til det interne nettverket. Det er ikke gitt at alle som har tilgang til det interne nettverket skal kunne ha konfigurasjonstilgang til ruteren, men det kan de vel greit skaffe seg hvis ruteren har interne tjenester som benytter en sårbar OpenSSL-implementasjon. Temmelig uproft av en ruterprodusent å feie det under teppet, eller evt. ikke vite om det.

Sant nok, men det blir faktisk er irrelevant problem for de aller fleste, for husk at folk flest oppdaterer aldri sine eldgamle routere, bruker standardpassord og har gjerne ett trådløst nett med potensielle sårbarheter. I de fleste tilfeller blir heartbleed-sårbarheten helt unødvendig når routeren har flere hull enn en sveitserost. Selv blant Tek-nettverkets medlemmer vil jeg anslå at en stor andel synder på de overnevnte punktene med hjemmesikkerhet. Dessverre er det også slik at produsentene typisk kun gir ut oppdateringer for svært alvorlige problemer, og at de unnlater dette for eldre produkter totalt. Det er ikke lenge siden jeg hørte om en stor sårbarhet for Linksys-routere hvor en god del modeller aldri blir fikset. Jeg tror ikke det er så stor andel av Internett-brukere som følger med på slike ting som meg fra uke til uke.

 

Jeg vil forøvrig forslå at du snakker med dine kolleger om å skrive en artikkel som ser mer opp og fremover på sikkerhetsproblematikken. Heartbleed-feilen er riktig nok en alvorlig sårbarhet, men det er noe systemadministratorer skal ta seg av, det blir unødvendig å skremme alle brukere til å tro at passord er kompromittert. Jeg skulle ønske at Tek-nettverket kunne ta et steg bort fra tabloidpressen og lærer opp vanlige brukere i gode sikkerhetsrutiner de kan mestre. Tema som sikring av hjemmenettverk, PCer og passordbruk på nettjenester er noe de aller fleste synder mot, og unødvendig skremsel rundt heartbleed vil bare medføre mer forvirring og feil fokus. Det er solide artikler om slike tema som kan heve Tek-nettverket og skille det fra mengden.

 

 

 

Det kommer vel an på hvor alvorlig det er for deg om noen fikk tilgang til passordet ditt. Å feie det "helt under teppe" slik du her gjør er vel heller ingen god løsning.

[G]

Asus RT-N13U (VER.B1) :

Ikke patchet fra Asus

Ikke patchet i nyeste DD-WRT ( BrainSlayer-V24-preSP2 )

Det er to nye BrainSlayer releaser siste måned, men ikke ny nok.

 

Det er ganske mange forskjellige rutere som får BrainSlayer-firmware kompilert, her er listen

 

ftp://www.dd-wrt.com/others/eko/BrainSlayer-V24-preSP2/2014/

 

Les for guds skyld om deres ruter og firmwareversjoner før dere installerer noe derfra.

 

 

"For guds skyld" altså. Nei takk, men takk likevel for at du bryr deg om oss.

[tommyb]

Les det gjerne som "for egen skyld". Men "for guds skyld" er et tradisjonelt litterært uttrykk, "for egen skyld" er ikke det.

 

Poenget er at installasjon av ikke-"stable" firmware er risikabelt (for alle som trenger å lese en slik advarsel - mindre risikabelt for de som ikke trenger den advarselen).

 

Man bør uansett lese seg opp om den aktuelle builden for eksempel... virker... før man installerer den.

 

Nyeste DD-WRT/BrainSlayer-build ser fortsatt ut til å være r23838, som er berørt av Heartbleed.

 

Det er nå sluppet en nyere BrainSlayer-build som skal inneholde en patch til Heartbleed.

Endret 19. april 2014 av tommyb

[Emancipate]

? Vi er 100 prosent sikre på at dette ikke påvirker våre rutere da vi ikke har noen tjenester til våre rutere på nettsider. Det sier Karsten Kjoss, administrerende direktør Jensen Scandinavia, til Hardware.no.

 

Javel? Jensen-rutere bruker da webgrensesnitt som alle andre. Hvis disse krypterer webtrafikken, noe de forhåpentligvis gjør, så kan de vel være utsatt som alle andre forutsatt at de har benyttet seg av OpenSSL til det?

Jeg tror ikke de bruker SSL. Jeg ser ikke noen grunn til å tro at han ikke har dekning for utsagnet sitt.

 

Selv om man kan argumentere med at forsikringen er litt ufrivillig komisk: "vi kan garantere at vi ikke har noen låser med feil på - fordi vi har ingen låser overhodet!"