Onderwerp: Providers zadelen klanten met onbeveiligde routers op

De wet op behoud van ellende noopte
ETET <nietjuist@nietjuist.nl>
in nl.internet.providers tot het schrijven van:
> Providers zadelen klanten met onbeveiligde routers op
>
> Groningen - De beveiliging van draadloze netwerkapparatuur bij
> breedbandabonnementen is flink onder de maat. Bijna tweederde van de
> providers levert een niet of niet voldoende beveiligde router af bij haar
> klanten, zo blijkt uit onderzoek van de Consumentenbond.

Momentje... mijn buren hebben netjes WPA2 aan staan...

En dat is heel veilig hoor. Ik kan het niet zomaar sniffen of
kraken.. Zelfs mijn dual core intel notebook moet er een paar seconden
over rekenen...

real 0m4.037s
user 0m3.994s
sys 0m0.013s

MVGRMM(F) - "nee meneer Tim Kuik, ik was het niet het was iemand die
mijn verbinding kraakt. Ik wist niet dat je ook draadloos
internet kreeg bij goedkoop telefoneren van KPN. Ik
heb niet eens een computer." "U heeft WPA2, u bent veilig".

P.S. Ik download zo nog even wat MP3's
--
If you see an attachment here please install Mozilla Thunderbird or update OE
begin foutlook.exe - install Mozilla Thunderbird or update.exe
24C3 27~30 Dec 2007 Berlin - https://events.ccc.de/congress/2007/
ASSO-8756483212

"Mendel Mobach" <usenet@megabot.nl> schreef in bericht
news:slrnghp1et.lgp.usenet@clamans.mobach.nl...
>
> Momentje... mijn buren hebben netjes WPA2 aan staan...

Lastig hoor, onlangs was ik ergens en daar hadden de buren
digitale TV van KPN. Die 780 stond helemaal open, geen password en
geen beveiliging maar uiteraard Wlan wel aan.
Zo hadden ze hem gekregen zeiden ze toen ik ze daarop attendeerde.

arja

On Tue, 11 Nov 2008 11:57:32 +0100, ~PC-freak©~
<pcfreak@werktniet.invalid> wrote:
>Op Tue, 11 Nov 2008 11:41:37 +0100, schreef "Frans" <im@invalid.nl> het
>volgende.
>
>>ETET wrote:
>>> Providers zadelen klanten met onbeveiligde routers op
>
>>Welke provider geeft, naast een modem, ook een router? Ik ken er geen.
>
>Ik weet niet in welk jaar jij leeft, maar in ieder modem verstrekt door
>een ISP zit een router.

Euh... niet zo hard roepen. Copperjet adsl-bridgemodems worden volgens mij
nog steeds verstrekt hier en daar en de kabelaars kunnen er ook wat van.

Maar veel ISPs doen dat wel ja.

Jasper

On Tue, 11 Nov 2008 12:19:54 +0100, Bird <newsbird@xs4all.nl> wrote:
>On Tue, 11 Nov 2008 12:14:19 +0100, ~PC-freak©~
><pcfreak@werktniet.invalid> wrote:
>>
>>Daar heb je idd gelijk in en was ik ff vergeten ;-)
>>Waarom ze er geen router in stoppen is mij iig nog steeds een raadsel,
>>je bent verplicht om een losse router aan te schaffen als je met
>>meerdere PC's wil werken bij een kabelaar. Wel ff het MAC-adres clonen
>>in die router anders moet je weer gaan bellen ;-)

MAC adres clonen schijnt inmiddels niet meer nodig te zijn normaal
gesproken in NL.

>Zou het zo zijn dat op de internationale markt kabelmodems toch wat
>zeldzamer zijn dan adsl-modems en daarom in minder smaken verkrijgbaar
>zijn?

Het zou me niet verbazen als er verschrikkelijk veel meer eurodocsis
modems verkocht worden van een bepaalde fabriek af dan adsl modems --
zeker van 1 bepaald type. Bij kabel krijgt meteen een hele klantenbasis
van miljoenen klanten 1 en hetzelfde apparaat, bij ADSL is het zyxel
versus thomson (en alletwee met heel veel verschillende types ook nog) en
dan nog alles anderes.

Jasper

Op Sun, 16 Nov 2008 11:51:31 +0100, schreef Jasper Janssen
<jasper.janssen@gmail.com> het volgende.

>>>> Providers zadelen klanten met onbeveiligde routers op
>>
>>>Welke provider geeft, naast een modem, ook een router? Ik ken er geen.
>>
>>Ik weet niet in welk jaar jij leeft, maar in ieder modem verstrekt door
>>een ISP zit een router.

>Euh... niet zo hard roepen. Copperjet adsl-bridgemodems worden volgens mij
>nog steeds verstrekt hier en daar en de kabelaars kunnen er ook wat van.
>
>Maar veel ISPs doen dat wel ja.
>
>Jasper

Ik had mijn antwoord 5 dagen terug ;-) al bijgesteld wat de kabelaars
betreft, maar bij Alice zit er idd ook geen router in.

groetjes Henk
--
#Laat altijd staan op wie en wat je reageert, en antwoord
altijd onderaan waarbij je het overbodige knipt.#
Algemene tips om zelf een PC te bouwen, zie mijn site.
usenet@pc-freak.nl http://www.pc-freak.nl

On 11 Nov 2008 15:42:26 GMT, Rob <nomail@example.com> wrote:
>Bird <newsbird@xs4all.nl> wrote:
>>>Erger nog, die niet eens zo geconfigureerd kunnen worden dat ze transparant zijn.
>>
>> Ik zou zoiets niet in mijn huis willen hebben. :-)
>
>Ik ook niet, maar als Chello abonnee met telefonie heb je kennelijk geen keuze.

Ach, gelukkig bestaan Chello abonnees inmiddels niet meer en is het
allemaal Ziggo.

Het hangt een beetje van de technologie af -- Voice over DSL (alleen via
BBNed) en Voice over Cable is te combineren met een internet bridgemodem,
maar VoIP is vanzelfsprekend alleen te combineren met een router.

Jasper

On Thu, 13 Nov 2008 09:35:26 +0100, "P" <P&P.P> wrote:

>Kwestie van firmware, en heb jij waarschijnlijk een uitzondering
>die het regeltje bevestigd. De meeste extenders, ap's en andere
>apapraten die ik bekijk kunnen standaard vrij geconfigureerd worden.

APs kunnen vaak inderdaad als router geconfigureerd worden (en daarom zijn
APs ook gewoon net zo duur als complete wifi routers), maar het hoeft
helemaal niet, en je hoeft het al helemaal niet te gebruiken.

Jasper

On Tue, 11 Nov 2008 11:58:00 +0100, Bird <newsbird@xs4all.nl> wrote:

>Goedendag, veel plezier nog met uw nieuwe, gegarandeerd superveilige
>PC.

De enige gegarandeerd superveilige PC is niet alleen voorzien van
technieken zodat er niemand aan de console kan inloggen maar is daarnaast
voorzien van een disable jumper op de netwerkkaart, een koperen grounded
kapje over de wifi antenne, Tempest-klasse shielding op de monitor en de
VGA signaalkabel, ingegoten in beton, en gedumpt in de Marianas trog.

Jasper

On Tue, 11 Nov 2008 12:15:58 +0100, Piet Beertema
<www.godfatherof.nl/@opt-in.invalid> wrote:
>Bird wrote:
>> ...
>> Ik kom na het opstarten niet verder, ik kan niet inloggen.
>> Natuurlijk mijnheer, maar dat is ook de bedoeling. De beveiliging
>> van deze PC is ongeëvenaard, de beste keuze die u als onwetende
>> PC-gebruiker kunt maken.
>> ...
>> veel plezier nog met uw nieuwe, gegarandeerd superveilige PC.
>
>Hah! http://en.wikipedia.org/wiki/Gene_Spafford
> "The only truly secure system is one that is powered off, cast in a
> block of concrete and sealed in a lead-lined room with armed guards
> - and even then I have my doubts."

Shit. Te laat.

Jasper

The wise Jasper Janssen enlightened me with:
> On Thu, 13 Nov 2008 09:35:26 +0100, "P" <P&P.P> wrote:
>
>>Kwestie van firmware, en heb jij waarschijnlijk een uitzondering
>>die het regeltje bevestigd. De meeste extenders, ap's en andere
>>apapraten die ik bekijk kunnen standaard vrij geconfigureerd worden.
>
> APs kunnen vaak inderdaad als router geconfigureerd worden (en daarom zijn
> APs ook gewoon net zo duur als complete wifi routers), maar het hoeft
> helemaal niet, en je hoeft het al helemaal niet te gebruiken.
>

Ik heb inderdaad een tijdje moeten zoeken naar een AP die alleen maar
bridge was en verder niets Maar ze zijn op zich nog wel te vinden.
Best lastig dat je niet eens gewoon het apparaat hebt dat je wil hebben,
maar dat er nog 20 compleet andere dingen in zitten die je niet wil.

Mark

Jasper Janssen <jasper.janssen@gmail.com> wrote:
> Ach, gelukkig bestaan Chello abonnees inmiddels niet meer en is het
> allemaal Ziggo.

Hoe kom je daar nou bij???
Het is @home wat opgegaan is in Ziggo hoor.

Mark Huizer <xaa+news_nl.internet.providers@dohd.org> wrote:
> The wise Jasper Janssen enlightened me with:
>> On Thu, 13 Nov 2008 09:35:26 +0100, "P" <P&P.P> wrote:
>>
>>>Kwestie van firmware, en heb jij waarschijnlijk een uitzondering
>>>die het regeltje bevestigd. De meeste extenders, ap's en andere
>>>apapraten die ik bekijk kunnen standaard vrij geconfigureerd worden.
>>
>> APs kunnen vaak inderdaad als router geconfigureerd worden (en daarom zijn
>> APs ook gewoon net zo duur als complete wifi routers), maar het hoeft
>> helemaal niet, en je hoeft het al helemaal niet te gebruiken.
>>
>
> Ik heb inderdaad een tijdje moeten zoeken naar een AP die alleen maar
> bridge was en verder niets Maar ze zijn op zich nog wel te vinden.
> Best lastig dat je niet eens gewoon het apparaat hebt dat je wil hebben,
> maar dat er nog 20 compleet andere dingen in zitten die je niet wil.

Nou als bridge configureren dat kan bij een AP meestal toch wel hoor, ook
al zit er router functionaliteit in.
Een pure bridge is het dan uiteraard niet want er is altijd wel een
admin interface op een of andere webpagina en daarvoor moet ie dan een
IP adres hebben (en dus toch kennis van het netwerk).

On 12 Nov 2008 12:11:44 GMT, Rob <nomail@example.com> wrote:

>Het probleem is: de gebruiker pakt alles uit, sluit de voeding en netwerk
>aan, zoekt op zijn laptop naar draadloze netwerken, maakt een verbinding
>en HET WERKT.
>Waarom gaat ie daarna nog moeite doen om een deskundige te zoeken of om
>iets te configureren? HET WERKT immers!

Dat is dus niet het geval.

De routers die door de consumentenbond als het meest onveilig worden
bestempeld, die van Telfort, hebben wifi standaard gewoon uitstaan, dus
dan WERKT er niks. De klant moet dus eerst bekabeld verbinden om het aan
te zetten, en in de wizard wifi wordt expliciet extreem hard aangeraden om
te beveiligen (ik weet niet eens of het wel kan zonder), en dat geldt ook
voor de handleiding, daarin wordt aangegeven hoe hij wifi aanzet en dat
hij het dan nog moet beveiligen, zie daarvoor de online handleiding op...

De routers die een trapje hoger komen, de Speedtouchen die door KPN en nog
meer providers worden geleverd, hebben wifi standaard aanstaan met wpa2
beveiliging, maar (naar inmiddels gebleken is) wordt het ssid gegenereerd
uit dezelfde gegevens waar het WPA2 pass gegenereerd wordt, en het blijkt
met een progje triviaal te zijn om gegeven het SSID ook het WW te
achterhalen.

Dat is wel een serieus lek, en ik zou graag zien dat er snel aangepaste
firmware komt waar op zijn minst het SSID anders gegenereerd wordt. Het
nadeel aan het password anders genereren is dat dan de passwords die op de
sticker van bestaande modems staan niet meer kloppen. Eigenlijk zou je dan
al je klanten een CDtje moeten sturen met de nieuwe firmware en een extra
stickertje om het nieuwe pass op over te schrijven.

Het enige serieuze lek is dus dat van de Speedtouchen, en het is verder
heel lastig om dat een provider aan te rekenen, dat komt rechtstreeks van
Thomson en is pas vrij recent aan het licht gekomen -- het is nu eenmaal
niet mogelijk om firmware-gerelateerde zaken met Microsoft Update binnen
een week te fiksen.

Jasper

Op Sun, 16 Nov 2008 12:02:55 +0100, schreef ~PC-freak©~
<pcfreak@werktniet.invalid> het volgende.

>>>Ik weet niet in welk jaar jij leeft, maar in ieder modem verstrekt door
>>>een ISP zit een router.
>
>>Euh... niet zo hard roepen. Copperjet adsl-bridgemodems worden volgens mij
>>nog steeds verstrekt hier en daar en de kabelaars kunnen er ook wat van.
>>
>>Maar veel ISPs doen dat wel ja.
>>
>>Jasper

>Ik had mijn antwoord 5 dagen terug ;-) al bijgesteld wat de kabelaars
>betreft, maar bij Alice zit er idd ook geen router in.
>
>groetjes Henk

Correctie, de Copperjet 1616 van Alice is ingesteld als router, dus een
switch is voldoende ;-)

groetjes Henk
--
#Laat altijd staan op wie en wat je reageert, en antwoord
altijd onderaan waarbij je het overbodige knipt.#
Algemene tips om zelf een PC te bouwen, zie mijn site.
usenet@pc-freak.nl http://www.pc-freak.nl

On Wed, 12 Nov 2008 18:55:12 +0100, "U.P." <up@localhost.localdomain>
wrote:
>Eric van Dijken schreef:
>> Ik heb geen idee hoe al die routers werken. Ik zou het wel willen maar je
>> kunt niet alles weten. Ik weet wel weer veel af van andere zaken.
>
>Nou, ik weet ook niet hoe al die routers werken. Als je me er achter zet
>lukt het meestal wel maar op afstand advies geven wordt wat moeilijk.
>Dat kan ik alleen als ik zo'n ding door en door ken.

Dat is een van de grote voordelen van de Zyxel modems, zolang je het IP
weet van de klant (en de dsl nog werkt, maar anders zijn er ook geen
dingen die config changes kunnen oplossen) kun je hem in helpdesk mode
laten zetten door het reset gaatje kort in te prikken en dan gaat de
webinterface open. En dan hoef je helemaal niet veel te weten van die
specifieke router om het in 3 secs op te lossen. Mensen remote door een
speedtouch heen praten is een Ramp.

>> Naar mijn smaak moet de leverancier een handleiding er bij leveren zodanig
>> gesteld dat zelfs een absoluut ondeskundige het apparaat kan instellen.
>
>Nou, bij de modem/routers die de ISP waar ik werk levert (die zijn van
>Linksys) zit ook nog een handleiding van ons zelf. Wireless staat
>standaard uit maar in die handleiding (die ik overigens geschreven heb
>dus ik ken hem wel ) staat erg duidelijk zo zet u wireless aan en doet
>u dat niet zonder beveiliging, vervolgens wordt uitgelegd hoe WPA
>aangezet moet worden. Allemaal in lekentaal. Als dat niet werkt kan het
>altijd nog heel simpel via een wizard op CD maar die werkt niet super
>helaas.

Das neem ik aan de gewone Linksys wizard? Ik hoor soms wel eens goede
verhalen erover, iig van leken.

Wel een onconventionele keuze van een ISP, linksyssen leveren. Die zijn
toch meer voor de retail markt normaal gesproken. Een van de kleinere meer
op zakelijk gerichte ISPs neem ik aan?

>Nou, nee. Als ik vond dat iedereen het moet snappen dan had zou ik niet
>al drie jaar naast mijn studie op een helpdesk werken. Maar als een
>provider (of ruimer: leverancier) zin uiterste best (met wizards en
>handleidingen) heeft gedaan om de klant uit te leggen hoe je iets
>beveiligd en waarom je dat moet doen en die doet het vervolgens niet,
>dan ligt de verantwoordelijkheid echt niet bij de leverancier van het
>apparaat. Een andere mening heb ik als het over die Speedtouch modems
>gaat, die pretenderen standaard met goede beveiliging te komen en dat is
>ook wel zo maar met een tootlje is dat te kraken.

Dat is gewoon een implementatiefout inderdaad, en daar mag door de
consumentenbond en de betreffende ISPs best wat meer ruchtbaarheid aan
gegeven worden. Maar zolang de consumentenbond het idee heeft dat dat
minder erg is dan een modem dat wifi gewoon uit heeft staan standaard,
ja... dan gebeurt er niks.

>Ik denk dat je dat verkeerd begrepen hebt. Als een klant spam of
>virussen verstuurd vanaf ons netwerk (spam is meer dan 5000 berichten in
>24 uur en virus is meer dan 5 virussen in 24 uur dus die trigger staat
>nog erg hoog) dan komen ze op een zwarte lijst. Ze kunnen dan geen mail
>meer versturen, automatisch krijgen ze echter wel een mail met daarin de
>melding wát er gebeurt is, wáárom dat gebeurt is en hoe ze dat kunnen
>oplossen. Gebeurt dat drie keer en doet de klant niets dan wordt hij
>helemaal afgesloten, en dat dan pas na drie belpogingen en het versturen
>van een brief.

Maar dan heb je het dus over dat de klant drie keer achter elkaar heeft
geklikt op "ja ik heb het probleem opgelost, zet m'n poort 25 weer aan" en
het blijkt dan niet zo te zijn.

Gaat het hier alleen om directe outbound 25, of staat die ueberhaupt niet
aan? Of hebben jullie een normale smtp server en wordt er primair gekeken
naar wat daarop binnenkomt?

Eerlijk gezegd vind ik dat outbound 25 heel goed dicht kan staan bij
iedere ISP-verbinding. *Inbound* 25 daarentegen dichtzetten heeft nul
komma nada effect natuurlijk, daarom is het ook zo gek dat je bij KPN wel
outbound hebt maar geen inbound. En ja, dan is er een 'oplossing' met een
van hun servers in je backup mx en dan forwarden ze het, maar dat is
natuurlijk een idiote oplossing die alleen maar meer netwerkverkeer
oplevert voor legitieme mail, spammers gebruiken 9/10 toch al de backuop
om direct te mailen.

>En dat doen wij (en veel meer providers) omdat we dan wel niet

Bij consumentenproviders is abuse oha wat sneller met afsluiten, wat
langzamer met opnieuw aansluiten, en wat sneller met de definitieve lock
inclusief zwarte lijst.

>verantwoordelijk zijn voor wat er op de PC van een klant binnenkomt maar
>wèl voor wat de klant het internet opstuurt. Als er maar genoeg virussen
>en spam van ons netwerk komt dan staan wij zo op zogeheten DNSBL's
>(zwarte lijsten ook) en kan in het slechtse geval geen enkele klant meer
>mail naar andere providers sturen. Bovenal doe je het dus gewoon om je
>netwerk schoon te houden.

Precies.


Jasper