Großer Sicherheitstest deckt Schwachstellen in allen gängigen WLAN-Routern auf

Wie sicher WLAN-Router sein können? In einer Welt, in der das Internet ein weiterer menschlicher Lebensraum ist, der weiß, was dort lauern kann. Und hier kommt Ihr Festungsrouter. Redakteure des deutschen Magazins Chip und Experten von IoT Inspector haben die beliebtesten Router auf Schwachstellen getestet. Die Ergebnisse erwiesen sich als negativ übertreffend.

Forscher haben neun große Router-Hersteller getestet

Das Hauptproblem, das die getesteten Router gemeinsam hatten, war ein veraltetes Betriebssystem, d.h.. Linux Kernel. Verständlich, denn die Integration eines neuen Kernels in die Firmware kostet zu viel. Jeder getestete Hersteller hat hier am meisten versagt. Auch die Gerätesoftware, die oft auf Standardtools wie BusyBox setzt, zeigte sich bei vielen Geräten veraltet. Abgesehen vom Routing, Zusatzdienste wie VPN oder Multimediafunktionen machten den Großteil der negativen Ergebnisse aus.

„Der Test hat alle Erwartungen an sichere Small Business- und Home-Router negativ übertroffen. Nicht alle Schwachstellen sind gleich kritisch – aber zum Testzeitpunkt, alle Geräte wiesen erhebliche Sicherheitslücken auf, die das Leben eines Hackers erheblich erleichtern könnten," wie sagt Florian Lukavsky, CTO von IoT Inspector.

Ein gründlicher Sicherheitstest unter Laborbedingungen ergab 226 potenzielle Sicherheitslücken gefunden in TP-Link, Linksys, Synologie, D-Link, Netgear, Edimax, AVM und Asus. TP-Link(TP-Link-Bogenschütze AX6000) und Synology (Synology RT-2600ac) erzielte 32 Schwachstellen zusammen.

Das Testteam hat alle Hersteller der beteiligten Router kontaktiert und ihnen Gelegenheit zur Stellungnahme gegeben. Jeder von ihnen hat ausnahmslos Firmware-Patches vorbereitet, zu deren Anwendung Cybersicherheitsspezialisten dringend raten. Vor allem, wenn sie keine aktivierte automatische Update-Funktion haben. Im Zuge der Ergebnisse will die neue Bundesregierung strengere Regeln für Hersteller im Schadensfall durch IT-Sicherheitslücken in ihren Produkten auferlegen.

Das IoT Inspector Research Lab hat auch eine detaillierte Beschreibung zum Extrahieren von Router-"Verschlüsselungsschlüsseln" hinzugefügt

In seinem Blog fügte das IoT Inspector Research Lab auch eine detaillierte technische Beschreibung hinzu, wie sie während des Tests einen Verschlüsselungsschlüssel für eine Untergruppe von D-Link-Routern extrahiert haben. Es ist auch für Nicht-Verschlüsselungs-Enthusiasten sehr interessant zu lesen, man muss sagen. Für die Forschung verwendeten sie D-Link DIR-X1560, ein Gerät der gleichen Router-Generation wie D-Link DIR-X5460, das IoT Inspector beim letzten WLAN-Router-Sicherheitscheck getestet hat.

Offensichtlich konnten die Forscher den Verschlüsselungsschlüssel nicht sofort extrahieren, also mussten sie hier einen Workaround finden. Die ersten Methodenforscher erklärten mit einem älteren Firmware-Image, das noch nicht verschlüsselt wurde. Sie sagen, es sei höchstwahrscheinlich, dass die ältere Firmware-Version vorhanden wäre, bevor die Verschlüsselung eingeführt wird. Hier könnten sie prüfen, ob der Schlüssel von dort extrahiert werden kann.

Eine andere von ihnen vorgeschlagene Technik besteht im direkten Lesen des physischen Flash-Speichers des Geräts. Sie erklärten, dass die Hersteller im Flash die Firmware nicht verschlüsselt lassen. Das Schema funktioniert so, dass sie eines der Geräte auseinander nehmen, Entlöten Sie den Flash-Speicher, wirf das beiseite, und das Dateisystem auslesen. Sie fügen jedoch hinzu, dass diese Methode destruktiv ist, verschwenderisch und teuer. Die gesamte Beschreibung zum Extrahieren von Entschlüsselungsschlüsseln für D-Link finden Sie unter Link enthalten.

Andrew Nagel

Cybersicherheitsjournalist aus Montreal, Kanada. Studium der Kommunikationswissenschaften an der Universite de Montreal. Ich war mir nicht sicher, ob ein Journalistenjob das ist, was ich in meinem Leben machen möchte, aber in Verbindung mit technischen Wissenschaften, genau das mache ich gerne. Meine Aufgabe ist es, die aktuellsten Trends in der Welt der Cybersicherheit zu erfassen und Menschen dabei zu helfen, mit Malware umzugehen, die sie auf ihren PCs haben.

Hinterlasse eine Antwort

Schaltfläche "Zurück zum Anfang"