Názory k článku Routery jsou zamořeny chybami: Belkin, ZyXEL, Netgear a další

Horší je, že výrobci vesměs úplně prdí na aktualizace a objeví se tak jedna nebo dvě, nejhorší situace je tuším v případě zařízení vyrobených na zakázku pro operátora, tam to bývá naprosto tragické.

Příčinná souvislost je v tom, že BFU stejně nedokáže firmware aktualizovat a výrobce za škody v zásadě neodpovídá, tj. je to všem úplně putna.

Prave som chcel potvrdit, ze som bol majitelom domaceho ASUS RT-N10 routra s "krasnou" podporou dd-wrt. Po flashi mi to odpalilo zariadenie a uz nejde ani spustit.
Pritom niesom zaciatocnik ani co do elektroniky, ani s linuxom. Predpokladam ze slo o novsiu "reviziu" vyrobcu...

V poslednich asi 5 letech jsem nepotkal domaci ap/router co by v sobe nemel Linux. BSD se skoro nepouziva. Vyrobcum samozrejme nic nebrani dat do zarizeni Linux s binarnimi moduly, jedine co musi udelat je zverejneni GPL zdrojaku. Je to uplne normalni praxe stejne jako binarni driver od nVidie na PC nebo od Qualcommu a ARMu na GPU v telefonech.

Vetsi problem je v tom, ze binarni drivery vyrobcu chipsetu jsou vetsinou naproste slataniny, co chodi jen na nekolika prehistorickych jadrech (kernel nema stabilni driver API) a jinak jsou nepouzitelne.

No to jsou strašné kecy. Ať ty ovladače udělají GPL a mají po vtákách. Stejně by je to nakonec přišlo na méně úsilí, než bastlit na koleně ty jejich srágory...

Plne suhlasim.

Prave preto si vzdy vyberam druhu moznost. Alebo v tomto pripade router s moznostou napalenia alt. firmwaru(u mna librecmc) alebo si ho poskladam sam a pouzijem nieco ako pfsense/opnsen­se,....

Lacne veci = kopa problemov alebo kopa odpadu.

Ludia su zmagoreny a chcu lacne veci a tym padom aj nekvalitne veci aj tam kde by tu nekvalitu chciet nemali.
Drviva vecsina ludi nieje chudobna aby si tu kvalitu nemohla dovolit.

p.sp Aj ja si kupim u cinana topanky ale len take, ktore obujem par krat do roka.

He? Sem si nevšiml. Mám to už několik let, i jsem hledal novější firmware na kyslíkovým webu - a nic. A určitě mám nastavení takové, že zvenku se mě do routeru nikdo hrabat nebude, ale ani hotlajna na dotaz na nějaký update nereagovala; po výměně po bouřce (vyhořel WAN port) jsem se pídil po FW, který by uměl alespoň tolik, co uměl původní zyxel router - nemáme.

Tak nevím...

Ano, to me taky prekvapilo. Opravu na rozbitý IPsec na jeden z jejich sračkoidních Comtrend VDSL křápů z nich několik lidí marně mámilo víc než rok. Pak sice několik aktualizací opravdu bylo k dispozici, ale to nijak nesouviselo s tímhle problémem nebo dalšími mnoha problémy s FW, ale s tím, že začali s nasazováním IPv6. Jejich slavné TR-069 jsem samozřejmě zakázal, protože modem je tak debilní, že jakákoliv aktualizace znamená reset do továrních nastavení, přičemž zálohu konfigurace z předchozí verze nelze obnovit. Což jsem s přihlédnutím k martyriu, jaké jsem absolvoval s bridgnutím toho křápu tak, aby veškeré routování internetu probíhalo na normální routeru (pfSense) a přes tu kraksnu šla pouze O2TV na vyhrazených dvou portech, už vážně nehodlal nikdy absolvovat.

Pak taky znám spostu lidí, kteří mají od O2 ještě původní Zyxely, na které samozřejmě nevyšlo od výrobce nic a nesčetné díry "řešilo" O2 plošnou blokací NTP, DNS a SNMP protokolů (pokud je jako zákazník O2 chceš odblokovat, tak to musíš řešit nahlášením závady...)

Tož asi tak.

Pri poslednej vete som sa az zasnil... Keby niekto vyrabal router s vanilkovym openwrt, to by bola krasa. A pripadne polku penazi, ktore by vynalozil na vlastne riesenie, moze venovat na vyvoj OpenWRT.

+1!

To by neslo, malo by to smirovalo, chybela by "inovace", protoze kdo by si kupoval novou krabku, kdyz staci tu starou patchnout.

Jinak se smeju ... routery ... a co teprve televize, tablety, telefony ... pracky, lednice, ... nic z toho se nepatchuje, rozhodne ani zdaleka ne po dobu zivotnosti zarizeni. Ano vyrobci sice poctive makaj na tom, aby tu zivotnost limitne dostali na 0, ale zatim se jim to porad jeste nedari tak uplne.

Zrovna dneska sem se bavil, kdyz se dotycnej snazil na "smart" TV od LG sprovoznit nejaky HBO po netu ... a ... nic. Skoncil na nejaky "neznamy chybe", hadam nejaky to uzasny DRM a holt 2 roky stara telka uz ho neumi. Podotykam PLACENA sluzba ... lol.

Myslim, ze nemas tak uplne pravdu. Najdou se totiz výjimky, i když bohužel uznavam, ze většina je jak popisuješ...

Když mi prestala pracka vypouštět a zdimat, tak prisel borec, pripojil telefon k pracce, řekl, ze všechny senzory a cidla jsou v poradku (tudíž není potřeba nic fyzicky resit), prehral firmware a odjel...

Pracka je stara nejmene 6 let a toto se odehrálo nejmene před 3mi lety.

Telefon byl HTC s Windows a pracka je Hotpoint Ariston, tedy bezna pracka za normalni cenu.

Slo to uz tehdy a jde to porad, je to jen otázka pristupu výrobce a bohužel také kvality servisu v CR.

Například o zminovane LG si nemyslim, ze je spatna znacka, ovšem v CR bych si TV od LG uz nikdy nekoupil. Po zkušenostech se servisem uz proste ne.

Zasadni rozdil je ve vnimani "zivotnosti" vyrobku. Cinsky noname ma support a zivotnost presne do dne nakupu. Lepsi firmy par mesicu, ty nejlepší roky. Presto ani ty nejlepší nemohou delat support po dobu fyzicke zivotnosti.

Je to o nas - kupujte od znacky, která support ma, aktualizovany firmware vydava...

Jenze to narazime na cenu (a na tu jsme my v CR obzvláště haklivi). A jsme zase na zacatku. Koupime laciny smejd z Ciny a brečíme, ze nedostaneme stejny servis jako od renomovane znacky, jejíž router ale stoji nekolikanasbne vice...

To asi budete mluvit o Turris Omnia od CZ.NIC? https://www.indiegogo.com/projects/turris-omnia-hi-performance-open-source-router#/story by mělo v praxi být OpenWRT + otevřený hardware s 3 letou zárukou, pokud ještě pár lidí něco přihodí.

Co se týče podpory, přesvědčil jsem firmu Thomson (od 2010 Technicolor), že by měli vyhovět GPLv2.0 a zveřejnit zdrojové kódy k zařízení. Jestli to něčemu pomůže z hlediska podpory v OpenWRT apod. nevím, ale aspoň se lidi můžou dozvědět, proč bridging u modemu/ routeru TC7200 nejde pořádně zapnout a jak to vyřešit efektivně
https://www.phoronix.com/scan.php?page=news_item&px=Technicolor-Opens-TC72

Technicolor TC 7200 jsem měl (ve Švycarsku). V bridge modu fungoval obstojně a dostávali jsme přes dhcp dvě veřejné IP adresy na dvě různá zařízení. Pak nás Cablecom přesunul na platformu DS-Lite (IPv6 s přilepenou omezenou IPv4 funkčností) a tím pádem nám povolil jen jednu veřejnou IPv4 adresu, takže jsem modem musel přepnout do router módu (zapnout NAT) a měli jsme jen neveřejné adresy za NATem. Asi před měsícem nám Cablecom vyměnil modem Technicolor za nějaký jiný, nejspíše Compal CH7465LG. Kolegovi se podařilo s Cablecomem vyjednat, aby nám povolili dvě veřejné IP adresy s modemem v bridge módu, ale stejně to funguje špatně, protože je pokažené path MTU discovery. Nefunguje fragmentace, takže např. z venku nedostanu odpověď na ping veřejné IPv4 adresy, když je paket větší než hranice, kdy je už nutná fragmentace.

Problem je v tom, ze pocitac s jadrem 2.0 aktualizovat jde, ale neaktualizovatelny router bude v domacnosti jeste mnoho let, coz je opravdu velke bezpecnostni riziko. Ne kazdy kupuje kazdy rok domu novy router a ne kazdy umi nainstalovat OpenWRT.

On ani letos koupený router negerantuje, že nebude obsahovat 10 let známou zranitelnost...

To je pravda, nicmene pravdepodobnost toho, ze ji nebude obsahovat je o neco vyssi :-)

tj mas pravdu, neni 100%, jen 99.99999999%

Jak dlouho se vyrabi model routeru? 1/2 roku? A co TV? Tablet? ... a jak dlouho se pak bude pouzivat? Dost casto dokud neumre ... klidne 10, 15 let i vic.

Mini ITX doska GA-C1037UN-EU, ktora ma 2 ethernet porty + OpenBSD + podporovana wifi karta a clovek ma aspon trochu istotu, ze ma zabezpecenu siet.

Jenze to neni reseni pro BFU. A vubec to neresi tu hromadu dalsich kramu, ktery na net lezou a ktery ma. Pricem tech kramu bude cim dal vic, casto i tam, kde nebude spousta lidi ani tusit, ze neco takovyho je.

BFU ma vzdy moznost obratit sa na odbornika, ktory si za svoje sluzby samozrejme necha zaplatit.

Myslis toho BFU, kterej calne v autoservisu debilovi, co neumi najit motor, 800/hod, ale kdyz mu reknes, ze nastaveni toho bude na 1/2 hodiny za 500, tak na tebe kouka jako na blazna?

Open, resp. dd-wrt mám sice rád (psal jsem si pro něj jakovou malou službu a kompiloval ze zdrojáků...), ale často je to taky polofunkční nedoladěný bastl, takže si člověk nakonec moc nepomůže.
IMHO: je pravda, že nějaké ucelené řešení by bylo super, ale bohužel ty homemade porty dobré řešení nejsou, hlavně věci kolem rádia rádi nejedou.

> Otázkou je, proč ho některý z výrobců nepřevezme a nepoužije ve svém hardware

Firmware postaveny na OpenWRT ma treba Ubiquiti (AirRouter a dalsi vyrobky). Ale je pravda, ze nejde o ciste OpenWRT.

Pro takové to domácí wifinování používám debian a hostpad. Je zbytečný mít víc krabic. Stačí jeden Intel NUC na Atomu "stačilo by i RPi1" shorewall dělá fw...

Nestacilo. Na mam napr. downstream 300Mbit/s a to rPi v NATe ani nahodou neda. Dokonca ani drviva vacsina tu spominanych krabiciek, bol som nuteny upgradeovat na ubiquiti edge router lite. Alternativa je PC / shorewall ale nie za 100USD ;)

Takové hrůzy a to je router poměrně sofistikované produkt z IT světa co se vyvíjí desítky let.

Co se asi stane na téma bezpečnost, až přijde ten slibovaný internet věcí (co už je asi 10 let za dveřmi a furt prakticky nic) raději ani nemyslet.

Dokud nebudou výrobci zainteresování (změnou zákonů) na údržbě software (například tím, že budou odpověděni za případné škody), tak se raději chytrým televizím, mixérům, ledničkám, termostatům a pod. obloukem vyhnout.

No to bych byl fakt happy kdyby mě začli postihovat za to že jsem si dovolil zveřejnit svobodný software a neumím programovat bez chyb.

To je tak trochu troll bait. Máme to přirovnat k situaci, kdy vás operuje chirurg amatér? Elektroinstalaci provádí šikovný student prvního ročníku gymnázia? Brzdy na autě vám opravuje sousedovic kluk. Kuchař/číšník, ale jinak šikovný kluk.

Zkrátka, o tom, zda má klíčový bezpečnostní prvek sítě být doménou amatérů, nebo je to naopak legitimní příklad zařízení, kde by výrobce měl nést právní zodpovědnost za způsobené škody, tak o tom se můžeme hádat celé roky.

Osobně na to názor nemám. Těch argumentů je prostě příliš mnoho, příliš dobré, ale vlastně si vzájemně protiřečí. Prostě ideální téma na trolling a flamewar.

ja bych chtel videt, jestli zvladnes (bez chyb) aspon ten hello world.

A mimohodem, vyrobce nenese (ani v jinych pripadech) zadnou odpovednost, pokud dolozi, ze splnil vsechny pozadavky na vyrobek kladene. Dokonce i kdyz des na operaci, tak jediny co ti podstrcej je podpis lejstra, ze vis ze muzes jit pod drn, a ze oni za to odpovednost nenesou. To ze ma nekdo lejstro pak vubec neznamena, ze ti neurizne ruku misto nohy.

Coz bude vskutku zajimave s tim SW, protoze dokazat, ze v nem neni chyba, se kupodivu da zhruba stejne dobre, jako existence ci neexistece Boha.

Tak ve vašem světě bych žít nechtěl. Předpokládám, že jste umělá inteligence, protože život ve vašem paralelním vesmíru již dávno přestal existovat. No, u nás to také není žádná sláva, ale dá se.

Mám mikrotik RB751G-2HnD už několik let. Aktualizace vycházejí stále.

Presne tak, mikrotik sice neni rekne vyrobce, ktereho bych chtel chvalit, protoze nedodrzuje liccence a neuvolnuje kod, jak ma, stale nepodporuje plno veci co je davno uz jinde standard.

Ale za ty penize poskytuje slusnou podporu, ktera trva roky.

Docela by mě zajímalo, jaké zranitelnosti má RouterOS...

Tak touhle chybou vcetne prihlaseni jsem se bavil na ukor kamaradu a uz je to nejaky ten patek. Proto me zarazilo to ze to bylo hlaseno az CVE-2015–7284.
Krom jineho sem jim routr presunul na jinou ip, je tam chyba ze to jde dat i mimo rozsah dhcp :D

Offtopic dotaz. Proč by neměla jít adresa routeru nastavit jiná než do sítě DHCP?
DHCP mohu mít rozběhlé jako zálohu, jistotou bokem pro lokální věci /s nevyplněnou či přímo fake branou/ - např. dnes pro věci vzletně nazývané IoT. Či směrované na VPN rozsah. A přímo routovat ven mohu chtít z jiného rozsahu, kde mašinám přednastavím pevné IP a správnou bránu+dns. Svého času jsem se takto jistil pro virtuály, které jsem nechtěl pouštět ven, kdyby mi tam náhodou někde omylem probublalo DHCP /člověk si nebyl jist, v rámci mixu těch driverů, co se kde NAPTne, i když jsem tam cpal jiné sítě/. Jo, šlo to dělat i mnohem lépe a složitěji, ale toto dostačovalo, jako pojistka.

Cudujem sa ze o chybach v Mikrotikoch sa moc nehovori, ale asi len malo hladam

Těch bezpečnostních chyb v Mikrotiku zas tak moc nebylo, když ono na tom toho zas tak moc neběželo a v současné době dodávané výchozí nastavneíje relativně OK, kdy z WAN strany je skoro vše blokováno.
Častější mají chyby funkčnosti, kdy něco nefunguje jak má, což vede k celkovému znefunkčnění sítě (aktuálně mi pije krev sekající se VRRP a chybné párování VPLS tunelů, ale to nejsou funkce pro home sektor).
Nicméně pozvolným přesunem managementu od proprietární aplikace Winbox k webkisichtu, kdy na první řadě bude webksicht, tak třeba se také víc zapojí do hlavního proudu nejrůznějších stupidních webksicht chyb. :-)
Ale stále je plus, že je podpora celkem kontinuální a můžu aktualizovat i 5ˇstaré krabičky, takže to je v porovnání s dalšími domácími krabičkami velké plus. A u nových home krabiček se toho už moc vytknout k funkčnosit nedá, snad jen podpora pro USB tiskárny by to chtělo (když už na USB je možno mít 3/4G modem nebo disk).