Vlákno názorů k článku Postřehy z bezpečnosti: matení cenzora od kneziX - A proč nemůže být ve výchozím nastavení toho...

A proč nemůže být ve výchozím nastavení toho routeru prostě zakázáno přihlášení z venku (co přijde z WAN)? Tohle by bylo dostatečné pro typickou domácnost.

Co si budeme namlouvat problem bude mit technicka podpora operatora.

pracovnika ktory poziada o restart routeru sa toto nijako nedotkne

Nebude.

Pokud je to router zákazníka a zákazník nemá domluveno, že se o to ISP bude starat, není důvod strkat jakýkoliv rozhraní pro administraci na WAN.

Pokud je to krabička ISPíka - profíka, bude používat nástroje pro správu, třeba Ansible a ne webový klikátka. Není problém si nakonfigurovat SSH na nějakým neobvyklým portu (ideálně. ještě nějaké VLANě pro správu - třeba na rozhraní eth1.123 a data na eth1), přihlášení jenom certifikátem s heslem a certifikát si tam nahrát při konfiguraci před předáním zákazníkovi, nebo při větší objednávce si rovnou koupit nakonfigurovaný stroje.

Za webový administrační rozhraní, vystrčený na WAN, by se bez ohledu na heslo mělo kastrovat za pomoci dvou cihel.

Z venku se na běžné routery stejně nepřihlásíte, většina je za NAT. Existuje ale dost virů, které se z lokálního PC snaží změnit např. DNS resolvery na routeru. A tím pak nasměrovat oběť na podvrženou stránku.

Díky. Konečně rozumný argument.