{"id":233110,"date":"2020-07-05T00:10:00","date_gmt":"2020-07-04T22:10:00","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=233110"},"modified":"2020-07-07T05:24:33","modified_gmt":"2020-07-07T03:24:33","slug":"fraunhofer-test-sicherheitsmngel-bei-home-routern","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2020\/07\/05\/fraunhofer-test-sicherheitsmngel-bei-home-routern\/","title":{"rendered":"Fraunhofer-Test: Sicherheitsmängel bei Home-Routern"},"content":{"rendered":"

[English<\/a>]Beim Fraunhofer-Institut haben sich Sicherheitsforscher 127 Router mit aktueller Firmware angesehen und kamen zu erschreckenden Ergebnissen. Bei fast allen Ger\u00e4ten gab es erschreckende Sicherheitsm\u00e4ngel.<\/p>\n

<\/p>\n

\"\"Bei fast allen Ger\u00e4ten von insgesamt 127 getesteten Routern f\u00fcr Privatnutzer von sieben gro\u00dfen Herstellern wurden Sicherheitsm\u00e4ngel festgestellt, teilweise sogar ganz erhebliche. Diese reichen von fehlenden Sicherheitsupdates, \u00fcber einfach zu entschl\u00fcsselnde, hartcodierte Passw\u00f6rter bis hin zu bereits bekannten Schwachstellen, die eigentlich l\u00e4ngst behoben sein m\u00fcssten.<\/p>\n

127 Router mit neuester Firmware getestet<\/h2>\n

Die Sicherheitsexperten des Fraunhofer-Instituts schreiben<\/a>, dass sich das Team von Peter Weidenbach und Johannes vom Dorp aus der Abteilung \u00bbCyber Analysis & Defense\u00ab des Fraunhofer-Institut f\u00fcr Kommunikation, Informationsverarbeitung und Ergonomie (FKIE) per Stichtag 27. M\u00e4rz 2020 die neueste verf\u00fcgbare Software diverser Router heruntergeladen hatte. Diese Firmware wird auch seitens der Hersteller den Kunden angeboten, die einen dieser 127 getesteten Router (von Asus, AVM, D-Link, Linksys, Netgear, TP-Link und Zyxel) zu Hause als Privatnutzer verwenden.<\/p>\n

Firmware-Analyse der Router-Firmware<\/h2>\n

Mithilfe des vom Fraunhofer FKIE entwickelten \u00bbFirmware Analysis and Comparison Tools\u00ab (FACT) wurden die Sicherheitsm\u00e4ngel entschl\u00fcsselt und aufgezeigt: \u00bbDie Auswertung hat ergeben, dass kein einziger Router ohne Fehler war. Manche waren sogar von Hunderten bekannter Schwachstellen betroffen. 46 Router hatten in den letzten zw\u00f6lf Monaten kein Sicherheitsupdate erhalten\u00ab, berichtet IT-Security-Experte und FKIE-Wissenschaftler Peter Weidenbach. Der Extremfall unter den gepr\u00fcften Ger\u00e4ten hatte sogar 2.000 Tage lang kein Sicherheitsupdate mehr erhalten.<\/p>\n

Basis ist oft (ein veraltetes) Linux<\/h2>\n

Verschiedene Sicherheitsaspekte standen f\u00fcr die FKIE-Wissenschaftler f\u00fcr ihren Bericht im Fokus, darunter neben den Sicherheitsupdates auch die Frage, welche Betriebssystemversionen verwendet werden und inwieweit kritische Sicherheitsl\u00fccken diese Versionen beeinflussen. Mehr als 90 Prozent der getesteten Home Router setzen Linux als Betriebssystem ein, allerdings werden oftmals sehr alte Versionen genutzt.<\/p>\n

An dieser Stelle macht vom Dorp den Herstellern auch den gr\u00f6\u00dften Vorwurf. \u00bbLinux arbeitet permanent daran, Sicherheitsl\u00fccken in seinem Betriebssystem zu schlie\u00dfen und neue Funktionalit\u00e4ten zu erarbeiten. Die Hersteller m\u00fcssten eigentlich nur die aktuellste Software aufspielen, aber sie integrieren diese nicht in dem Ma\u00dfe, wie sie es k\u00f6nnten und m\u00fcssten.\u00ab<\/p>\n

Umgang mit Passw\u00f6rtern<\/h2>\n

Auch der Umgang mit dem Thema Passw\u00f6rter hat die FKIE-Wissenschaftler erstaunt: \u00bbEtliche Router haben einfach zu knackende oder bekannte Passw\u00f6rter bzw. hartcodierte Anmeldedaten, die vom Benutzer auch nicht ge\u00e4ndert werden k\u00f6nnen.\u00ab Gleichzeitig entdeckten sie zahlreiche Sicherheitsl\u00fccken, die schon lange bekannt sind und die Hersteller l\u00e4ngst h\u00e4tten beseitigen m\u00fcssen.<\/p>\n

Die Hersteller patzen<\/h2>\n

F\u00fcr Weidenbach v\u00f6llig unverst\u00e4ndlich ist, dass seitens der Hersteller von Home Routern die von ihm und seinem Team behandelten Sicherheitsaspekte nicht deutlich mehr im Fokus stehen. \u00bbMan erkennt sofort, dass die Anbieter v\u00f6llig unterschiedlich mit vorhandenen Sicherheitsl\u00fccken und deren Beseitigung umgehen.\u00ab So lege AVM mehr Wert auf Sicherheitsaspekte als die anderen Anbieter, auch wenn AVM Router ebenfalls nicht ohne Sicherheitsm\u00e4ngel seien. Gleichzeitig seien ASUS und Netgear in einigen Punkten zuverl\u00e4ssiger als D-Link, Linksys, TP-Link und Zyxel. Huawei wurde wohl nicht getestet.<\/p>\n

Vom Dorp: \u00bbUnser Test hat gezeigt, dass eine gro\u00df angelegte automatisierte Sicherheitsanalyse von Home Routern durchaus m\u00f6glich ist. Und die Vielzahl der aufgef\u00fchrten Schwachstellen zeigt, dass die Hersteller noch viel mehr Anstrengungen unternehmen m\u00fcssen, um die Ger\u00e4te deutlich sicherer zu machen.\u00ab Einige Einsch\u00e4tzungen lassen sich in diesem heise-Artikel<\/a> nachlesen.<\/p>\n

Home Router Security Report 2020<\/a> (PDF, Englisch)<\/p>\n

PS: Bei heise findet sich dieser Artikel<\/a> zu einer Root-Schwachstelle in Netgear-Routern, die man patchen sollte.<\/p><\/blockquote>\n","protected":false},"excerpt":{"rendered":"

[English]Beim Fraunhofer-Institut haben sich Sicherheitsforscher 127 Router mit aktueller Firmware angesehen und kamen zu erschreckenden Ergebnissen. Bei fast allen Ger\u00e4ten gab es erschreckende Sicherheitsm\u00e4ngel.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[731,426],"tags":[2038,4328],"class_list":["post-233110","post","type-post","status-publish","format-standard","hentry","category-gerate","category-sicherheit","tag-router","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/233110","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=233110"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/233110\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=233110"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=233110"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=233110"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}