Ich habe die einzelnen Schwachstellen daher noch einmal neu sortiert.
Hier
gibt es ein (natürlich kostenloses) ePub-eBook, in dem alle
Schwachstellen in der richtigen chronologischen Reihenfolge
aufgeführt sind.
Der Überblick über die Router-Schwachstellen des Jahres 2015
nähert sich seinem Ende: Wir sind bei den letzten zwei (oder eigentlich:
drei) Schwachstellen des Jahres angekommen! Das am 31. Dezember
vorgestellte und eigentlich als krönenden Abschluss vorgesehene Tool
zum Berechnen von Default-WLAN-Passwörtern habe ich ja bereits
vorgestellt.
Dafür gibt es einen neuen krönenden Abschluss!
23. Dezember - Kritische Schwachstelle im Netz von Kabel Deutschland/Vodafone
Das größte Problem bei der Sicherheit von SSL/TLS allgemein und
HTTPS im besonderen ist und bleibt das bestehende Zertifizierungssystem.
Es gibt einfach zu viele CAs, denen die Browser und Betriebssysteme ab Werk
vertrauen. Stellt eine dieser CAs Zertifikate aus, ohne dazu autorisiert
zu sein, so werden die vom Browser natürlich als gültig
akzeptiert. So ein "echtes" Zertifikat macht einem MitM-Angriff
natürlich sehr viel leichter. Und dabei muss diese CA gar nicht mal
böswillig handelt, es reicht wenn sie erfolgreich angegriffen wird
oder unsauber arbeitet.
Einige Beispiele für Angriffe auf CAs sowie unsauber arbeitende CAs hatte
ich bereits hier im Blog:
Am 31. Dezember wurde ein Tool veröffentlicht, mit dem sich die
Default-WLAN-Passwörter von Routern des Providers UPC berechnen lässt.
Eigentlich
wollte ich diese Schwachstelle als krönenden Abschluss der Serie verwenden
- statt festen Default-Passwörtern mal ein Default-Passwort-Generator, das
ist doch mal eine Abwechslung. Aber da die Sau seit gestern durchs
digitale Dorf getrieben wird schwinge ich mich auch mal mit drauf. Vor
allem, weil es weitere Default-Passwörter gibt, die dringend geändert
werden müssen: Die der Weboberfläche!