Vlákno názorů ke zprávičce Netis: žádná zadní vrátka v našich routerech nejsou od Juklik - Vyrobce i dovozce jsou zmrdi: https://twitter.com/hdmoore/status/505795003507953664 Routery Netis maji backdoor,...
-
Juklik (neregistrovaný)
Vyrobce i dovozce jsou zmrdi:
https://twitter.com/hdmoore/status/505795003507953664
Routery Netis maji backdoor, nekupovat a omlatit dovozci o hlavu.
-
Karel (neregistrovaný)
Bohužel se mi nepodařilo najít jediný úspěšný útok. Všude se píše o konkrétních portech, dokonce i hesla. Ale nikdo se do nich ještě nedostal. Vesměs jsou reakce typu "ta zranitelnost tam je, ale protokol je složitý, takže chvíli potrvá, než ho prolomíme".
Jakýkoliv odkaz na úspěšné prolomení (a tedy důkaz, že to backdoor je) ocením. Zatím to vypadá, že někdo objevil Ameriku a udělal takový humbuk, že už si netroufne přiznat, že to vlastně je podle RFC, dělá se to tak běžně a dosud v tom nikdo nespatřoval bezpečnostní riziko.
-
Filip JirsákStříbrný podporovatelZáleží na tom, čemu vy říkáte „otevřený port“. „Otevřený port“, kde nic nenaslouchá, akorát se při odeslání paketu na tento port nevrátí odpověď „Port Unreachable“, je podle RFC a není to žádná bezpečnostní díra. Pokud máte před počítačem firewall a zahazujete příchozí pakety, které nasměrují na žádnou provozovanou službu, máte sám takovýchhle „otevřených portů“ přes šedesát tisíc.
-
Filip JirsákStříbrný podporovatel
Ano, zdroj to tvrdí, a pokouší se to dokázat něčím, co to vůbec nedokazuje. Nejjednodušší vysvětlení je, že zdroj netuší, o čem píše. Nebo podle vás zdroj zjistil, že tam opravdu něco naslouchá, a pak do zápisku místo toho důkazu dal něco, co nedokazuje vůbec nic? Proč by to dělal?
Co je neobvyklé? Aby router na příchozí paket na neexistující službu neodpovídal „port nedostupný“? Podle mne je naopak právě takovéhle chování obvyklé. Ostatně, vždyť to sám dál píšete – neodpovídá ani na ping, dělá mrtvého brouka. Nebo jaká je podle vás obvyklá reakce na to, když na router dorazí UDP paket na port, kde nic nenaslouchá? -
Karel (neregistrovaný)
Ale vždyť přesně to ten router dělá, hraje mrtvého brouka. Open/filtered znamená, že to buď skutečně bylo doručeno, nebo byl ICMP packet o nedostupnosti odfiltrován.
Distributor tvrdí, že byl odfiltrován. To řada "malých routerů" dělá, hraje mrtvé brouky. Autor poplachu tvrdí, že byl doručen, ale sám nedodal jediný náznak toho, že by tomu tak mělo být. Veškerá jeho "dokumentace" jen dokazuje, že odeslal UDP packet a nedozvěděl se, jak to dopadlo.
-
Filip JirsákStříbrný podporovatel
Podle čeho usuzujete, že se router tváří, jako by tam běžela nějaká služba? Podle toho, že nechápete význam toho, co vypisuje
netstatanmap, stejně jako autor toho původního zápisku v blogu?
Nebylo by lepší si to nejdřív zjistit, než z vlastní neznalosti dělat dalekosáhlé závěry? -
Karel (neregistrovaný)
Definujte "otevřený port" pro UDP protokol. Ať koukám jak koukám, tak tam nic ve smyslu "otevření" nevidím. Navíc všechna vaše počítačová zařízení s přístupem k internetu mají "otevřeno" 65535 UDP portů. Mají číslo, takže jsou otevřené. A já jim můžu poslat UDP packet. Nic na světě mi nemůže zabránit úspěšně odeslat packet na kterýkoliv z vašich UDP portů. Faktem ale je, že pokud na tom portu zrovna v tu chvíli nečeká žádný program, tak ten packet váš počítač zahodí. A přesně to dělá i ten router - klidně ten packet pošlete, bude zahozen.
-
Filip JirsákStříbrný podporovatel
Dříve byla slušnost, aby cílový počítač ten paket na žádnou službu nezahodil, ale poslal zpět ICMP zprávu „port nedostupný“. Podle toho se dá poznat, že na tom portu nic nenaslouchá a ten port pak označit za „zavřený“. Ale to, že se nevrátí paket „port nedostupný“, neznamená, že na tom portu něco naslouchá. Může to znamenat i to, že ta zpráva „port nedostupný“ byla odfiltrována. Proto taky
nmaptakový port označuje jako „open/filtered“.
Což je ale věc, kterou by „objevitel backdooru“ měl vědět a měl by se s tím nějak vypořádat, když chce tvrdit, že ten port není „filtered“ ale „open“. -
Filip JirsákStříbrný podporovatel
To ovšem odkazujete na ten pochybný zápisek, který společnost vyvrací. Takže máte nějaké jiné informace, např. jste to sám vyzkoušel?
-
Filip JirsákStříbrný podporovatel
Já v těch 160 znacích žádný zásadní důkaz nevidím. A pokud jedna strana něco tvrdí, druhá strana to vyvrací, nějak mi jako protiargument nestačí odkaz na to původní tvrzení první strany.
Pokud porovnám ty dva texty, to vyjádření českého zastoupení zřejmě psal někdo, kdo o sítích něco ví a to vyjádření má hlavu a patu. Ten původní blogspot je poněkud zmatený a jeho autor toho o sítích asi moc neví, nebo to alespoň úspěšně předstírá. -
Ondra Satai NekolaZlatý podporovatelMno, minimalne je to nekdo, kdo si stoji za svym a umi se podepsat, pane "j" ;)
-
Ondra Satai NekolaZlatý podporovatel
V cem potrefena husa? Ja se za sve nazory nestydim, nemam problem s tim, ze jsou spojene s mou osobou. (Ne ze bych si byl jisty, ze se nikdy nespletu, ale to co tvrdim, rikam ja a kdyz se spletu, kazdy mi to muze - pokud zachova elementarni slusnost - vmest do tvare)
-
j (neregistrovaný)
Ja nepotrebuju verit par radkum na netu, me bohate staci me zcela vlastni zkusenosti. A to ze vsemozne krabky jsou plne vsemozneho shitware je zcela bezna vec. Stejne jako to, ze jejich dodatele samozrejme krici, ze to neni pravda.
Ostatne, stejne jako tu nekteri pozaduji dalsi dukaz prustrelnosti, bych moh pozadovat naopak od vyrobce dukaz neprustrelnosti, kteryzto muze dodat stejne dobre, pokud bude chtit.
Mimochodem, s tim, ze se na routokrabku da pripojit zvenku, a to casto zcela nezdokumentovanym zpusobem, jsem se setkal uz u hezkych par kousku zeleza.
-
Ondra Satai NekolaZlatý podporovatel
Deravost ruznych routeru je skutecne pekelna, ale v tomhle je jednoznacne dukazni povinnost na strane "utocnika". Placnout na web nejake obvineni je strasne jednoduche, ale zatim nepredvedl poradny dukaz.
-
j (neregistrovaný)
Ale pochopitelne ze je dobry nahodit zcela konkretni postup, ale mozna utocnik ocekava, ze to vyrobce opravi, protoze "vi" vo co go, a nechce, aby moh kazdej hejhula napadnout hromady krabek.
Pamatuju si osobne podobnej pripad s widlema, kdy dotycny nareportoval bug M$, a pomerne dlouho cekal, jestli to opravej. Pak ho to prestalo bavit, tak nahodil na net funkcni script ... a do 14ti dnu M$ zverejnil hotfix.
Samo, stejne dobre je mozny, ze tam zadna dira neni a je to jen takovy placnuti, ale v takovym pripade bych prozmenu povazoval za zcela standardni, ze vyrobce doda nejaky alespon "nezavislost budici" check, a podpori tim svoje placnuti. Nebo bych alespon ocekaval prohlaseni na tema, ze to proveri, coz by mi prislo o 10 radu duveryhodnejsi. Pokud ovsem nekdo placne behem par hodin, ze jejich vyrobek deravy neni, tak to ve me budi daleko mensi duveru, nez kdyz nekdo na netu placne, ze nasel nejakou diru.
-
Filip JirsákStříbrný podporovatel
Vůbec není potřeba zveřejňovat zcela konkrétní postup, úplně by stačilo zveřejnit informace, které objevitel backdooru musí mít a kterými by se rád pochlubil, protože jejich získání pro něj nebylo snadné. Např. protokol, jakým se s tím údajným backdoorem komunikuje. Je nad tím UDP protokolem vystavěná nějaká streamová vrstva a dostane se skrz to třeba do shellu? Nebo se posílají jednotlivé příkazy, v každém paketu jeden? Psal ale o stažení souboru z routeru, do jednoho paketu by se mu moc velké soubory nevešly.
Nebo by mohl alespoň zveřejnit název procesu, který na tom portu naslouchá, jeho umístění v systému a třeba velikost a hash souboru.
Nebo by mohl přijít alespoň s nějakým důkazem, že na tom portu opravdu něco naslouchá a třeba i odpovídá.
Český distributor neposkytl jen "nezávislost budicí" kontrolu, on dokonce nabídl poskytnutí routerů novinářům i odborné veřejnosti. Takže nemusíte spoléhat na nějaký jejich "nezávislost budící" test, můžete si router půjčit, ověřit sám a napsat o tom na Root.cz článek.
Nechápu, proč by měli psát, že to prověří, když už to prověřili. Ne během hodin, ale za dva dny. A v odkazované zprávě si můžete přečíst i to, jakým způsobem to prověřili. Ano, je to jen rychlý test, ale co také dělat jiného s takhle nevěrohodným popisem útoku? Lidé, kteří o sítích něco vědí, si ty dvě zprávy porovnají a udělají si úsudek. Kvůli lidem, kteří mají jasno dřív, než si přečetli zprávu distributora a dokonce i ten původní "objev", nemá smysl se snažit, protože je nepřesvědčí vůbec nic. -
Filip JirsákStříbrný podporovatel
Ať si každý věří, čemu chce. Pro vás je důvěryhodnější nějaký anonym než český distributor, který se pod zprávu podepíše – a obsah vás vůbec nezajímá (jinak byste si tu tiskovou zprávu aspoň přečetl). Pro mne je zase důvěryhodnější vyjádření, které je konzistentní a správně popisuje chování síťových protokolů a nástrojů, než ničím nepodložené vyjádřený článeček s výstupy z programů, kterým jejich autor nejspíš nerozumí.
-
j (neregistrovaný)
Jirsak, tvoje placy ovsem nezajimaji vubec nikoho ... ty zjevne vubec netusis, ze 90% tehle krabek osahuje servis, ktery umoznuje jejich patchovani, kupodivu, prevazne prave na UDP. A prevazne je tam zadratovanej tak, ze ani flash firmware ho nezlikviduje. Velmi casto je to pak naprosto zcela nezabezpecena sluzba, ktera ani nijak neodpovida, jen prijima stream paketu. Zalezi pak na tom, jak vyrazne vyrobce krabku podelal, co se bude dit pri komunikace na ten port. Uz sem i videl to, ze krabku nekdo z netu preflashoval. Nekdy je to aspon osefovany tak, ze to posloucha jen na internich portech, nekdy to chce nejaky heslo (prevazne zadratovany od vyrobce ...) u lepsich krabek je aspon pritomen nejaky cudlik ktery treba podrzet pri startu (jenze to uz neni tak user friendly...).
Naprosto bezne pak podobny servisy bezej prave v sitich vsemoznych "ISP", klidne v siti s verejnyma adresama. A to prave proto, aby moh provider patchovat krabky bez zasahu uzivatelu. Ti rozumnejsi to aspon provozujou na privatnim rozsahu, coz ale v pripade, ze se zajemce najde v interni siti, stejne k nicemu neni.
