Websicherheit.org

Heise.de macht einen entsprechenden Artikel wie folgt auf:

UPnP-fähige Router ermöglichen Angriff aufs LAN

Die Router einiger Hersteller unterstützen UPnP auf der WAN-Schnittstelle. Damit ist es relativ leicht, ins interne LAN vorzudringen oder die Router als Proxy zum anonymen Surfen zu missbrauchen. Ein Tool demonstriert das Problem. Mehr…

Über das Thema hatte ich bereits 2009 berichtet.
Welche Router nun nach dem Heise-Artikel betroffen sind geht nicht zweifelsfrei hervor.
Allerdings wird auf ein Tool verweisen, mit dem man das Testen kann.
In einem entsprechenden Screenshot zeigt der Heise-Artikel, wie eine entsprechende Anfälligkeit aussehen kann.

Ich bin mal in mein Router-Menü und habe UPnP aktiviert und das Tool ausgeführt.

Bild zum Vergrößern anklicken

Das Ergebnis schaut wie folgt aus:

Bild zum Vergrößern anklicken

Die Fritz!Box 2170 ist also dafür anfällig, wenn UPnP aktiviert ist.
Bei anderen Geräten von AVM wird es genau so sein.

Was ist zu tun?
Zumindest mal einen Blick in die Router Einstellungen werfen.
Bei den Geräten von AVM wird die entsprechende Konfiguration hier beschrieben.

Am sichersten ist es, UPnP zu deaktivieren.

Adam Behnke berichtet auf seclists.org, das eine Zero-Day-Lücke im IPv6 Windows Netzwerk Protokoll entdeckt wurde.
Angreifer sind in der Lage, via Remote den Netzwerkverkehr der Windows Systeme…

• Windows 7
• Windows Vista
• Windows Server 2008

…zu übernehmen und so beispielsweise Malware auf die Systeme einzuschleusen. Dazu ist keinerlei Interaktion des Benutzers notwendig. Auch ist es irrelevant, ob es sich um ein drahtloses oder Kabelnetzwerk handelt.

Details über die Machbarkeit eines Angriffs (incl. Skripte und Tools) hat Alec Waters in diesem InfoSec-Artikel dokumentiert.

Ursache des Problems ist der TCP/IPv6-Adapter im Windowsnetzwerk. Mircosoft wurde bereits über diese Lücke informiert und untersucht diese.
Wer seinen Internetzugang ausschließlich via IPv4 realisiert und keine IPv6 Internetadressen (wie z.B. www.six.heise.de) nutzt, der sollte bis zum Erscheinen eines Patches IPv6 deaktivieren.

• Datenschutz: Deutscher leitet Bußgeldverfahren gegen Facebook ein
• Experte warnt vor gezielten BGP-Angriffen
• Skypes Verschlüsselungsverfahren teilweise aufgedeckt
• Vertrauen in Online-Banking gesunken
• The Pirate Bay: 4 Millionen Nutzerdatensätze abgegriffen
• Justizministerin will gegen Online-Abzocke vorgehen

Heise.de berichtet in diesem Artikel, das beim Internet-Anbieter Teleos im Zuge eines Router-Firmwareupdates via TR-069 bei einigen Tilgin-Routern versehentlich die WLAN-Verschlüsselung deaktiviert wurde.
Teleos hatte nach Bestätigung des Fehlers die betroffenen Kunden kontaktiert und die WLAN Verschlüsselung wieder eingerichtet.

Offenbar wurden laut Feststellung von Heise.de nicht alles betroffene Kunden erreicht.
Wer ein Tilgin-Router sein eigen nennt und hier die WLAN Funktionalität nutzt und Kunde bei Teleos ist, sollte zur eigenen Sicherheit prüfen, ob die WLAN Verschlüsselung aktiviert ist.

Muss man sein WLAN-Netzwerk verschlüsseln? Zu dieser Frage hatten die Gerichte in der Vergangenheit Urteile gesprochen, welche die WLAN-Betreiber mehr verunsicherte als eine klare Rechtsgrundlage lieferte.

Vergangenen Mittwoch hatte der BGH zu dieser Frage ein Urteil gesprochen.
Heise.de hatte dieses Urteil in diesem Artikel thematisiert.

Fassen wir den Artikel mal kurz zusammen:

1. Der Beklagte war zum Zeitpunkt, als das WLAN für Urheberrechtsverletzungen genutzt wurde in Urlaub und konnte nicht beweisen, dass das WLAN während der Abwesenheit deaktiviert war.
2. In erster Instanz hatte das LG Frankfurt den Beklagten antragsgemäß verurteilt. Das OLG Frnakfurt hatte in zweiter Instanz die Klage abgewiesen und der BHG in dritter Instanz das Berufungsurteil teilweise aufgehoben
3. Der Beklagte fungierte nach dem Urteil des BGH nicht als Täter, allerdings als Störer.

Was muss nun ein privater WLAN-Betreiber leisten, damit er mit dem Gesetz nicht in Konflikt gerät?
Zitat aus dem obigen Heise-Artikel:

[...] Dennoch obliege privaten Anschlussinhabern eine Pflicht zu prüfen, ob ihr WLAN-Anschluss durch angemessene Sicherungsmaßnahmen vor der Gefahr geschützt ist, von unberechtigten Dritten zur Begehung von Urheberrechtsverletzungen missbraucht zu werden. Dem privaten Betreiber eines WLAN-Netzes sei jedoch nicht zuzumuten, die Netzwerksicherheit fortlaufend dem neuesten Stand der Technik anzupassen und dafür entsprechende finanzielle Mittel aufzuwenden. Die Prüfpflicht bezieht sich daher auf die Einhaltung der im Zeitpunkt der Installation des Routers für den privaten Bereich marktüblichen Sicherungen. [...]

Mir persönlich stellt sich nun die Frage, ob das Urteil anders ausgefallen wäre, wenn der Beklagte sein WLAN abgesichert hätte?
Der Beklagte war ja nicht in der Lage zu beweisen, das sein WLAN während der Abwesenheit deaktiviert war.

Gehen wir mal davon aus, dass der Beklagte einen älteren WLAN Router verwendet. Einen, der lediglich das WEP-Verschlüsselung Protokoll beherrscht.
Gehen wir weiter davon aus, dass dieses WEP-Verschlüsselte WLAN Netzwerk geknackt wird (dauert einige wenige Minuten), dann entspricht diese Verschlüsselung der marktüblichen Sicherungsvorkehrung zum Zeitpunkt, zu dem der Router angeschafft, in Betrieb genommen und konfiguriert wurde. Eine Upgrade auf WPA oder WPA2 ist bei diesem Router nicht möglich.
Wie beweist der Beklagte in diesem Fall das…

1. …die WEP-Verschlüsselung aktiv war?
2. …die Passwortstärke ausreichend lang war?

Immerhin wird der Kläger den Beklagten in einem anwaltlichen Schreiben darüber in Kenntnis setzen und der Kläger hat die Gelegenheit, die WEP-Verschlüsselung nachträglich zu etablieren.
Ähnlich wird es sich bei einer WPA-Verschlüsselung (ich meine nicht WPA2) verhalten, die mittlerweile auch nicht mehr als sicher gilt.

Ich meine, dass dieses Urteil WLAN-Betreiber nicht zwingend davor bewahrt, sich mit Anwälten und Gerichten auseinander zu setzen, wenn ein derartiger Fall eintritt.
Und wie verhält es sich bei diesem Urteil, wenn jemand gewerblich ein WLAN-Netzwerk betreibt?
Also z.B. in einer Gaststätte oder Café? Eine Einschätzung dazu findet man im Blog von Dr. Reto Mantz.