Setup
- Öffentliche IPv4 im Kabelnetz von Vodafone
- Router: Compal CH7466CE
- Kein IPv6 (kann der Router nicht)
Symptom
Eine Port-Weiterleitungsregel die einmal aktiv war (Port 1194/udp) ist nicht mehr in der Liste der Freischaltungen zu sehen. Trotzdem kann man sich von außen auf den Port verbinden. Die Regel habe ich versucht neu anzuelgen und zu löschen, leider wird das Problem nicht behoben.
Das Verhalten ist in einem Video dokumentiert:
Reaktion von Vodafone
Ich habe versucht der Technik Hotline das Problem zu schildern, dort wurde mir beschieden, dass eine öffentliche IP immer ein Sicherheitsrisiko darstellt und ich solle mich doch an Compal (in Taiwan) wenden.
Danach habe ich eine Mail mit Screenshots an Vodafone geschickt, darauf gab es gar keine Reaktion.
Ich habe den Twitter Support kontaktiert, dort wurde wenigstens geantwortet, ich habe uach angeboten, das Video offline zu nehmen so lange an dem Problem gearbeitet wird, darauf wurde nicht eingegangen.
Erst durch das Vodafone Forum kam dann (nach Veröffentlichung des Videos) ein Kontakt mit einem Security Menschen zu stande.
Die gute Nachricht ist, dass man sich wohl mittlerweile ernsthaft mit dem Problem beschäftigt.
Schweregrad des Problems
Ich bin immer wieder von Nutzern konfrontiert worden, dass das Problem ja harmlos sei weil es ja nur einen Port betrifft.
Dem möchte ich widersprechen: Die Firewall ist essentiell dafür, dass das Heimnetz vom Internet getrennt ist. Da viele Geräte im Heimnetz sich selbst kaum schützen können kann man darauf nicht verzichten. Zudem weiß ich nicht wie tief das Problem sitzt. Eventuell sieht man hier nur die Spitze des Eisbergs und die Firewall hat ein generelles Problem Ports vernünftig zu blocken. Ich bin selbst niemand der hier Security Forschung betreiben kann. Es kann aber natürlich auch einfach nur ein Anzeigefehler in der GUI sein. In jedem Fall sollte das behoben werden. Ich möchte nicht darüber spekulieren müssen wie sicher mein Heminetz ist.
Lösung des Problems
Wie gesagt arbeitet Vodafone an der Behebung. Bisher gibt es keinen Patch, falls doch berichte ich hier darüber. Meine Lösung ist aktuell eine Fritz!Box cable.
Presse
Ich hatte vor Veröffentlichung Heise kontaktiert, aber nach einer Mail leider keine Reaktion mehr bekommen. Bisher wurde auf folgenden Seiten über das Problem berichtet:
Winfuture: Vodafone will schwere Lücke in seinem Kabel-Modem nicht schließen
Deskmodder: Sicherheitslücke in Firewall: Modems & Router von Vodafone unsicher
thewhitehats: Kabel Deutschland und Vodafone
Ich aktualisiere diesen Blogeintrag und twittere wenn es was neues gibt.
[Update 03.05.2018]
Es gibt es Statement von Vodafone:
„Sicherheit und Datenschutz haben bei Vodafone höchste Priorität. Wir bemühen uns, unsere Sicherheitsstandards stets den aktuellen Bedürfnissen anzupassen, und haben daher unverzüglich eine in den Medien genannte Schwachstelle bei Kabel-Modems überprüft. Die genaue Analyse hat ergeben, dass in der Grundkonfiguration der Kabel-Modems kein Port erreichbar bzw. offen ist. Wir befinden uns bereits im direkten Austausch mit dem genannten Kunden, um das genaue Szenario zu ermitteln und weitere Analysen durchzuführen.“
Den ersten Satz finde ich bei der Historie absolut vermessen. Außerdem passt man Sicherheitsstandards nicht an “Bedürfnisse” an sondern an aktuell geltende Standards.
[Update 04.05.2018]
Vodafone und Compal nehmen sich gerade des Problems an. Ich habe den Compal CH7466CE angeschlossen, damit sich Vodafone Logs ziehen konnte. Das war übrigens der Grund warum ich mich die ganze Zeit gegen einen Werksreset gewehrt habe, dann wären die Logs weg gewesen. Aktuell kann wohl nicht nachvollzogen werden warum es zu dem Problem kommt.
Vodafone hat danach einen Werksreset durchgeführt über die Leitung nach Absprache mit mir. Weder ich noch Vodafone konnte vorher die Konfiguration sichern. Das heißt dann aber auch, dass ich nicht prüfen kann ob der Fehler sich erledigt hat oder nicht. Jedenfalls ist er nach dem Werksreset erstmal nicht mehr da. Da ich nicht weiß wann und wie er zu stande gekommen ist wird es schwer das jetzt noch zu reproduzieren.
Kleines Update:
Ich habe soeben mit einem Nutzer telefoniert, der exakt das Problem auch hatte. Auch im Vodafone Forum gibt es mehrere User die den gleichen Fehler beschreiben.
Der Beitrag 🔒 Compal CH7466CE Firewall Sicherheitslücke erschien zuerst auf UsefulVid.
Nun muss man darauf achten, dass in den originalen Dropbox Ordner keine Dateien gespeichert werden. Am besten entfernt man dazu den Dropbox Ordner von der Seitenleiste. Nun kann man den unverschlüsselten Ordner in den Schnellzugriff legen. Dazu navigiert man mit dem Windows Explorer in den entsprechenden Ordner und mach einen Rechtsklick auf “Schnellzugriff” und wählt “aktuellen Ordner an Schnellzugriff anheften” aus. Nun befindet sich der Ordner im Schnellzugriff.
.
