Unitymedia Fritzbox OS 6.0 Rollout ab 13.1.2014

[johnripper]

Stellt doch die Frage nach dem OS 6.03 dem Kundenservice, dort sollen ruhig die Anfragen auflaufen.

 

[Leseratte10]

Dann sollen sie halt als einziges Modem das EPC3208 anbieten - aber nicht einen nicht funktionierenden Router (TC7200) oder eine überteuerte Fritzbox. Sodass der Kunde hinter dem UM-Gerät einen eigenen Router mit Firewall betreiben kann.

 

[strelnikov]

Vor allem müssen AVM oder UM die Kosten tragen, wenn der Zugang weiterhin gehackt wird und man die Box von UM gemietet ist. Mittlerweile soll die Zahl der gehackten Boxen m.W. im "niedrigen dreistelleigen Bereich" liegen. Wenn das nur 150 Boxen sind, bei denen durchschnittlich 1600 Euro Kosten anfallen (und was man liest eher mehr), berägt der Schaden ~ 240.000 Euro. Das sollte für UM Grund genug sein eine Extraschicht einzulegen, auch wenn das vermutlich versichert (AVM oder UM?) ist.

Wer die Kosten tragen muss (die Betonung liegt auf dem Muss), ist meines Erachtens gar nicht so sicher.
Ab einem bestimmten Punkt werden die Firmen (versuchen), ihre Kosten auf den Konsumenten "umlegen".

Ist der "Verbraucher" darüber informiert (zumal dann, wenn dieser noch fleißig weiter die "Tür und "Tor" offen stehen läßt), könnte es anders aussehen.

 

[roos2001]

@leseratte:
das EPC3208 ist ein Auslaufmodell, da es kein IPv6 unterstützt. Vllt. werden demnächst reine IPv6 Modems ausgerollt oder beim TC der Bridgemode freigegeben.
Sofern der Routerzwang gesetzlich fallen sollte.

 

[Leseratte10]

Echt? Das wusste ich gar nicht. Aber eigentlich ist es ja egal, welches Gerät. Hauptsache der Routerzwang fällt endlich und wir bekommen wieder ein Modem, und nicht nur ein "Modem".

 

[Joerg]

Generell würden für Neukunden nur Router funktionieren die IPv6 und DS-Lite beherrschen - viele billige Modelle können das immer noch nicht. Damit wären Anrufe erboster Kunden, die unwissend einen falschen Router gekauft haben vorprogrammiert und der Supportaufwand würde in die Höhe schnellen.

Jörg

 

[sebr]

Sehe ich nicht so. Mehr Modems bedeuten mehr Support notwendig, mehr Inkompatibilitäten, mehr Probleme.

Sorry aber das ist Unsinn. Denn alles was hinter dem Modem passiert ist Sache des Kunden, nicht von UM!
Und die Funktionsfähigkeit eines Modems (ohne dahinterhängenden Router + Netzwerk) lässt sich auch aus der Ferne leicht überprüfen.
Wer da Probleme bei der Routerkonfiguration hat kann ja dann die teure techn. Hotline anwählen. Und dabei macht UM sicher keine Verluste

Also: GEBT UNS ENDLICH MODEMS - WEG MIT DEN FRITZ!BOXEN :smt006

 

[M@rtin]

Jetzt muss ich mal kurz meinen Senf zum zuletzt etwas abdrifteten Thema abgeben:

1. Kunden, die keine echte IPv4 haben, also IPv6 mit DS-Lite-Tunnel für IPv4, dem nutzt der Zugang von Außen kam etwas, es sei denn, man greift per IPv6 innerhalb des Unitmedia-Netzes auf die eigen FB zu. Außer UM vergibt, soviel ich weiss, kein weiterer Provider IPv6. Und aus einem IPv4-Netz, z.B. Telekom oder auch alle anderen Mobilfunkbetreiber, kann man myFritz gar nicht nutzen. Daher ist man rel. sicher.

2. Mit der aktuellen FritzOS 6, die bei mir seit 1,5 Wochen auf der der FB 6360 läuft, rennt diese endlich ohne jegliche Störung völlig stabil. So wie es seien sollte und bei mir bislang nur die ersten 8 Wochen nach Provider-Wechsel im Juni letzten Jahres. Seit dem musste ich alle 2-3 Tage die Internetverbindung trennen und neu aufbauen, um wieder einen funktionierenden DS-Lite-Tunnel zu haben. Daher bin ich erstmal überglücklich, dass das die Verbindung so stabil läuft.

3. Ich vermute mal, dass UM die neue Firmware 6.0.3 nicht solange testen muss, solange die systemrelevanten Firmware-Teile von Modem und VoIP/ SIP sich nicht geändert haben. Die Funktion myFritz ist im Grunde nur kundenrelevant und stellt keine Funktion oder Dienst des Providers/UM dar. Es ist die Folge des Lecks in dieser Funktion, die UM tätig werden lies. Ist dieses Leck nun zu, gibt es keinen Grund, den Rest der Firmware erneut auf den Prüfstand zu stellen!

 

[Joerg123]

Wenn das nur 150 Boxen sind, bei denen durchschnittlich 1600 Euro Kosten anfallen (und was man liest eher mehr), berägt der Schaden ~ 240.000 Euro. Das sollte für UM Grund genug sein eine Extraschicht einzulegen, auch wenn das vermutlich versichert (AVM oder UM?) ist.

erwartet hier etwa tatsächlich jemand, dass UM die Kosten für die Mehrwert-Telefonate nach Afrika zahlt um einem Haufen Kriminellen ihr Einkommen zu sichern ???
na freut ich, dauert nicht mehr lange bis der Osterhase durch den Garten rennt

 

[johnripper]

1. Kunden, die keine echte IPv4 haben, also IPv6 mit DS-Lite-Tunnel für IPv4, dem nutzt der Zugang von Außen kam etwas, es sei denn, man greift per IPv6 innerhalb des Unitmedia-Netzes auf die eigen FB zu. Außer UM vergibt, soviel ich weiss, kein weiterer Provider IPv6. Und aus einem IPv4-Netz, z.B. Telekom oder auch alle anderen Mobilfunkbetreiber, kann man myFritz gar nicht nutzen. Daher ist man rel. sicher.

Der Zugriff via IPv6 ist ohne Probleme immer noch möglich. Sicher würde ich das nicht nenne.
Dich tritt es vermutlich nicht als ersten (weil vorher die IPv4) Kunden gehackt werden, aber mehr auch nicht.

erwartet hier etwa tatsächlich jemand, dass UM die Kosten für die Mehrwert-Telefonate nach Afrika zahlt um einem Haufen Kriminellen ihr Einkommen zu sichern ???

Ehrlich: Ich glaube es nicht. Und ich als Provider die Abrechnung auch einfach verweigern.
Wie auch immer, ich würde die Kosten nicht tragen. Das Gerät ist nicht mein Eigentum, ich kann es nicht warten, weil ich keinen Zugriff habe. Somit: Nicht meine Box, nicht mein Problem.

 

[Joerg123]

zum IP-Problem vielleicht noch: wer sowas macht, der hat sicherlich verschiedenste Server (zumindest einen, aber eher mehr) dazwischen geschaltet, oder zumindest wäre das das kleinste Problem für jemanden der die Fritzboxen mal eben so hackt ist das keine ernsthafte Herausforderung
und unabhäng vom eigenen Internetanschluss, kann ich auf dem Server IPv4 und/oder IPv6 haben, nur eine Frage des Preises (und wenn sich der Gewinn lohnt, zahlt man die paar Euro sicherlich gerne *g*)
von daher ist die Frage ob IPv6 irgendwie sicherer sein könnte völlig witzig - Probleme die der einfache User hier hat (da will ich mich garnicht ausschliessen) sind für diese Betrüger mit Sicherheit kein Problem aber trotzdem lustich hier

Was die Fritzbox als UM-Eigentum angeht:
wenn ich mit nem Mietwagen besoffen zu schnell durch die Stadt rase und dabei telefonierend einen Rentner umniete, werd ichs auch mal mit der Argumentation versuchen *g* vielleicht ist das ja wirklich so
Tatsache, dass weder MyFritz noch Fernwartung standardmässig aktiv sind, sondern vom Kunden aktiv eingerichtet werden müssen. Und nur weil jeder Dödel mit ner Maus gedankenlos ein paar Klicks setzen kann, heisst das noch lange nicht, das UM oder AVM dafür verantwortlich sind, dass Leute die von nix ne Ahnung haben derartige Funktionen aktivieren. Wer etwas privates ins Internet frei gibt sollte sich immer bewusst sein, dass die Gefahr eines Hackerangriffs besteht, dagegen schützt das nette seriöse Design der Konfigurationsseite im Browser leider nicht.
Selbst wenn es ein Firmwarefehler ist, ist es kein Freifahrtschein für Super-DAUs. Erinnert mich sehr stark an die WLan-Anfänge, wo die Router standardmässig ohne vorkonfigurierte Sicherheitseinstellungen daher kamen: rechtlich ist hier einzig und alleine der Nutzer haftbar gewesen, selbst dann, wenn WLan im Werkszustand aktiv war.

 

[M@rtin]

Der Zugriff via IPv6 ist ohne Probleme immer noch möglich. Sicher würde ich das nicht nenne.
Dich tritt es vermutlich nicht als ersten (weil vorher die IPv4) Kunden gehackt werden, aber mehr auch nicht.

Im Prinzip habe ich das ja auch geschrieben. Erreichen kann man Kunden mit einer FB nur aus einem IPv6-Netz. Richtig, die Lücke ist natürlich immer vorhanden. Nur welcher Provider vergibt momentan IPv6? Solange die Kriminellen aus einem IPv4-Netz agieren, solange kommen sie auch nicht auf eine FB, die nur über IPv6 erreichbar ist. Das war meine Kernaussage! Des einen Fluch, des anderen die Rettung...

 

[johnripper]

wenn ich mit nem Mietwagen besoffen zu schnell durch die Stadt rase und dabei telefonierend einen Rentner umniete, werd ichs auch mal mit der Argumentation versuchen *g* vielleicht ist das ja wirklich so
Tatsache, dass weder MyFritz noch Fernwartung standardmässig aktiv sind, sondern vom Kunden aktiv eingerichtet werden müssen. Und nur weil jeder Dödel mit ner Maus gedankenlos ein paar Klicks setzen kann, heisst das noch lange nicht, das UM oder AVM dafür verantwortlich sind, dass Leute die von nix ne Ahnung haben derartige Funktionen aktivieren.

Nicht alles was hinkt ist ein Vergleich.

Ich sehe es anders: Der Anbieter ermöglicht mir die Fernkonfiguration durch eine Option. Ich kann nicht davon ausgehen, dass diese Option bzw. Funktion fehlerhaft ist, solange ich diese nach der allgemein Verkehrsauffassung verwende. Solange ich nicht grob fahrlässig handle ist, muss der Anbieter dafür haften, wenn es zu einem Fehler kommt.
Zumal AVM den Fehler ja zugegeben hat.

Aus diesem Grund bin ich auch der Meinung, dass die Anbieter die Funktion entweder fixen müssen per ACS die Funktion deaktivieren müssen.

Solange die Kriminellen aus einem IPv4-Netz agieren, solange kommen sie auch nicht auf eine FB, die nur über IPv6 erreichbar ist. Das war meine Kernaussage! Des einen Fluch, des anderen die Rettung...

Die Angreifen verwenden sicherlich irgendwelche Proxys (wie auch immer die Aussehen: angemietet Server, gekackte Server, PCs mit Fernsteuerung, ...) verwenden. Und da ist ein IPv6 Proxy kein Problem.

 

[SpaceRat]

Nur welcher Provider vergibt momentan IPv6?

Standardmäßig: Deutsche Telekom, Unitymedia/KabelBW, Kabel Deutschland, M-Net, ...
Auf Anfrage: 1&1, NetCologne, Vodafone (Durch Aktivieren von 6rd im Router), ...
Per Tunnel: Jeder

Das war jetzt nur Deutschland.

Weltweit kommen da natürlich noch unzählige weitere hinzu, z.B. der zweitgrößte der USA, ComCast.

IPv6 an sich stellt nicht das geringste Zugangshemmnis dar:
Angreifer werden sich mit Sicherheit nicht ohne Not denselben Selbstbeschränkungen unterwerfen, wie das Apple-Fanboys und unfähige Firmen-ITs tun.

 

[SpaceRat]

Ich sehe es anders: Der Anbieter ermöglicht mir die Fernkonfiguration durch eine Option. Ich kann nicht davon ausgehen, dass diese Option bzw. Funktion fehlerhaft ist, solange ich diese nach der allgemein Verkehrsauffassung verwende.

Doch, sobald Dich der Anbieter und der Hersteller darauf aufmerksam gemacht haben.

Solange ich nicht grob fahrlässig handle ist, muss der Anbieter dafür haften, wenn es zu einem Fehler kommt.

Wenn Dich Dein Fahrzeughersteller darüber informiert hat, daß bei Deinem Modell die Bremsen versagen können, könnte man glatt annehmen, daß eine Vollgasfahrt grob fahrlässig ist ...

Zumal AVM den Fehler ja zugegeben hat.

Eben.

 

[M@rtin]

... wie das Apple-Fanboys und unfähige Firmen-ITs tun.

Weisst du, solche Aussagen kotzen mich an, wie alle Menschen mit Vorurteilen! :bäh:

 

[johnripper]

Ich sehe es anders: Der Anbieter ermöglicht mir die Fernkonfiguration durch eine Option. Ich kann nicht davon ausgehen, dass diese Option bzw. Funktion fehlerhaft ist, solange ich diese nach der allgemein Verkehrsauffassung verwende.

Doch, sobald Dich der Anbieter und der Hersteller darauf aufmerksam gemacht haben.

Das ist aber eine Diskussionsgrundlage bzw. schon einen Schritt weiter. Es ging hier darum, dass der Anbieter eine Funktion bereitstellt, die ich nutze und die dann feherlhaft ist.

Und ob die Anbieter hier ihren Informationspflichten nachgekommen sind wage ich zu bezweifeln.
Die Cable Boxen unterliegen nicht meiner Administration. Insofern wird man verlange können, dass ich mich persönlich über Sicherheitslücken (die von mir keineswegs zu Erahnen sind) zu informieren habe.
Vielmehr ist es in dem heutigen Informationszeitalter ein einfaches den Kunden über die entsprechende Problematik zu informieren, per Email, digital auf der Webseite, Brief, Fax oder Telefon. Im übrigen nicht mal im offiziellen Forum!!

Zumindest KBW hat bisher keine Information verlauten lassen.

 

[SpaceRat]

... wie das Apple-Fanboys und unfähige Firmen-ITs tun.

Weisst du, solche Aussagen kotzen mich an, wie alle Menschen mit Vorurteilen! :bäh:

Wenn Du mir sagst, wo Du da ein Vorurteil findest ...

 

[SpaceRat]

Und ob die Anbieter hier ihren Informationspflichten nachgekommen sind wage ich zu bezweifeln.

Also ich wurde in den letzten Tagen zwei Mal von AVM angeschrieben:

Als vorübergehende Sicherheitsmaßnahme empfiehlt AVM daher allen FRITZ!Box- Anwendern, den Internetzugriff auf die FRITZ!Box über HTTPS (Port 443) abzuschalten. Damit ist auch der Zugriff von unterwegs auf die FRITZ!Box- Benutzeroberfläche mittels MyFRITZ! deaktiviert. Eine kurze Anleitung dazu finden Sie unter www.avm.de/sicherheit

Sicherheits-Update für Ihre FRITZ!Box verfügbar - bitte installieren!
...
AVM hat ein Sicherheits-Update für Ihre FRITZ!Box bereitgestellt, dass weitere Angriffe verhindert. Wir empfehlen dringend, dieses Update durchzuführen.

 

[Joerg123]

Ich sehe es anders: Der Anbieter ermöglicht mir die Fernkonfiguration durch eine Option. Ich kann nicht davon ausgehen, dass diese Option bzw. Funktion fehlerhaft ist, solange ich diese nach der allgemein Verkehrsauffassung verwende. Solange ich nicht grob fahrlässig handle ist, muss der Anbieter dafür haften, wenn es zu einem Fehler kommt.

Warum sollte der Anbieter oder Hersteller hafte, nur weil du nicht grob fahrlässig handelst ?
DU hast im hier vorliegenden Szenario AKTIV die Fernwartung oder MyFritz-Dienste eingerichtet, keiner hat dich dazu gezwungen, standardmässig ist es sogar deaktiviert.
ich habs schon geschrieben, auch wenn mir klar ist, dass es in den meisten Fällen anders ist: DIR sollte beim aktiven Einrichten eines Zugangs zu deinem Lan (und wenn es nur die Fritzbox selber ist) IMMER bewusst sein, dass, das trotz üblicher Sicherheitsmassnahmen (https) ein Hackerangriff nicht ausgeschlossen werden kann. Nur weil das vielen Leuten nicht bewusst ist und jeder Laie die Optionen nutzen ann, ändert es nichts daran.

PS: von AVM angeschrieben wird nur, wer sich dort auch registriert hat (wie ich auch, bekomme auch immer so einmal im Monat nen AVM-Newsletter), es geht nicht automatisch an jeden Nutzer einer eventuell betroffenen Fritzbox

 

[johnripper]

Ich habe keine Vertrag mit AVM sondern mit UMKBW.

Außerdem nutze ich kein myFritz und bin bei AVM auch nicht registriert, ergo habe ich keine Information bekommen.

 

[M@rtin]

... wie das Apple-Fanboys und unfähige Firmen-ITs tun.

Weisst du, solche Aussagen kotzen mich an, wie alle Menschen mit Vorurteilen! :bäh:

Wenn Du mir sagst, wo Du da ein Vorurteil findest ...

Bislang sind mir deine Posts als sehr kompetent aufgefallen. Aber solche Äußerungen bringen mich an die Decke! Gilt für dich denn nur ein Computer mit Windows als System als gutes System? Akzeptierst du kein anderes System? Ich halte diese Haltung jedenfalls als bedenklich und Ich fühle mich diskriminiert!

 

[tq1199]

Zumindest KBW hat bisher keine Information verlauten lassen.

Evtl. ist keine einzige FritzBox-cable von KabelBW, von diesen Angriffen betroffen. :zwinker:

 

[johnripper]

Warum sollte der Anbieter oder Hersteller hafte, nur weil du nicht grob fahrlässig handelst ?
DU hast im hier vorliegenden Szenario AKTIV die Fernwartung oder MyFritz-Dienste eingerichtet, keiner hat dich dazu gezwungen, standardmässig ist es sogar deaktiviert.
ich habs schon geschrieben, auch wenn mir klar ist, dass es in den meisten Fällen anders ist: DIR sollte beim aktiven Einrichten eines Zugangs zu deinem Lan (und wenn es nur die Fritzbox selber ist) IMMER bewusst sein, dass, das trotz üblicher Sicherheitsmassnahmen (https) ein Hackerangriff nicht ausgeschlossen werden kann. Nur weil das vielen Leuten nicht bewusst ist und jeder Laie die Optionen nutzen ann, ändert es nichts daran.

Wer was aktiviert oder deaktiviert ist völlig irrelevant.
Wenn der Anbieter die Funktion anbietet, gehe ich als Endnutzer davon aus, dass diese hinreichend sicher ist. Die Funktion war (nachweislich) fehlerhaft. Für den Schaden muss der Anbieter tragen.
Dies gilt auch für jetzt noch entstehenden Schänden, da der Anbieter weder
- Informationen bereitstellt (und dies obwohl er schon seit mind. Donnerstag informiert ist)
- technische Gegenmaßen ergreift (Funktion abschaltet)
- den Fehler behebt.

Das Thema dürfte vergleichbar sein mit der EC-Kartenutzung an einem manipulierten Geldautomaten.

Wie auch immer: Ich denke an dieser Stelle können wir dies aber bis ins Endlose diskutieren und auf keinen Nenner kommen.

 

[johnripper]

Zumindest KBW hat bisher keine Information verlauten lassen.

Evtl. ist keine einzige FritzBox-cable von KabelBW, von diesen Angriffen betroffen. :zwinker:

Das OS6.00 enthalten den Fehler, das ist unstreitig.