f15 Feb 3 2017 at 21:27

Security Week 05: вход в Facebook по жетону, уязвимости в роутерах Netgear, сам-себе-DDoS в британском минздраве

4 min

11K

«Лаборатория Касперского» corporate blogInformation Security*

+19

Comments 17

selivanov_pavel Feb 4 2017 at 00:12

Никогда не понимал, почему все эти SOHO роутеры не обновляются автоматом? Казалось бы, железка в 99.999% случаев подключена к интернету, скачай себе обновление, проверь подпись и поставь при следующей загрузке. Но нет, домашний пользователь должен зайти в веб-интерфейс, про существование которого он может быть и не в курсе, если не сам настраивал роутер, ввести пароль, который он давно забыл даже если знал, продраться через 4 менюшки, найти обновлённую прошивку на сайте производителя(иногда весьма нетривиальный квест) и наконец обновиться.

f15 Feb 4 2017 at 00:15

Предложу очевидный аргумент: в прошивке проблема, она ставится, роутер перезагружается и отключается от всего. Починить только личным визитом техника, что дорого.

Сам в веб-интерфейс роутера захожу раз в год, какие-нибудь порты пробросить, заодно обновляюсь. Признак хорошего роутера, кстати :)

selivanov_pavel Feb 4 2017 at 00:30

Роутеры стандартные, продаются десятками и сотнями тысяч. Если тестовый стенд из нескольких десятков со всеми возможными региональными настройками обновился нормально, вряд ли что-то может пойти не так. Ну плюс можно выкатить сначала случайным 0,01% пользователей. На телефоны с Андроидом производители рискуют же выпускать обновления, а ведь они куда сложнее домашних роутеров.

Iqorek Feb 5 2017 at 10:51

Если брикнется роутер, не будет возможности даже погуглить

Alexsandr_SE Feb 5 2017 at 13:08

Кабель в сетевой разъем и гуглить. Мобильный интернет… Вариантов много. Все же пользователи прошивки роутеров и т.п. устройств сами не обновляют в 99%.

Gekus Feb 7 2017 at 14:03

Это не всегда помогает, если провайдер привязывается к MAC адресу для безопасности. Приходится звонить, идентифицироваться и менять MAC адрес

Alexsandr_SE Feb 7 2017 at 14:05

Не совсем. Сейчас зачастую роутеры клонируют MAC адрес компьютера. Поэтому звонить никуда часто не нужно. И не все провайдеры имеют привязку к MAC.

Arpeck Feb 7 2017 at 14:03

Угу, в сетевой разъем… Вспоминаем о том, что есть девайсы без оного, начиная с макбук эйр, заканчивая всякими планшетами без встроенного 3G. Да, выход можно найти всегда, но не всегда это: а) удобно (быстро), особенно в сельской местности без 3G/4G, б) в принципе возможно (вспоминаем об ADSL подключении и соответствующих роутерах) в) имеет смысл — погуглите тарифы на спутниковый интернет, стоимость роутера на фоне стоимости трафика просто потеряется…

Alexsandr_SE Feb 7 2017 at 14:11

Вспоминаем, что есть мобильные устройства с мобильным интернетом, внешние роутеры… Вариантов много есть и всё не предусмотреть. Но виндовс несмотря на все проблемы, мак ОС и т.д. все же обновляются несмотря на все возможные проблемы. «Двойной биос» на роутере как вариант для критических случаев. Но изготовители вообще не занимаются этими вопросами. Вообще ни как. Если пользователь сам обновит то проблем может быть не меньше. Более того, иной раз найти прошивку для устройства очень сложно. Она есть на сайте, но совсем под другим именем модели. А под именем этой модели совсем другое устройство. Это безопасней?

thelongrunsmoke Feb 5 2017 at 18:54

Первые gpon, по крайней мере в нашем регионе, устанавливались с включённым автообновлением. Знаете, что делали пользователи? Выдёргивали вилку во время обновления, а потом звонили в поддержку "что-то интернет отпал, питание передёрнули и теперь линка нет".
Автообновление на роутерах — плохая идея.

selivanov_pavel Feb 5 2017 at 19:05

Можно сделать надёжный механизм обновления: два раздела на флешке, обновляться в неактивный, если не удалось загрузить новый — грузить старый. Или аппаратным вотчдогом сбрасывать в старую прошивку, если новая не взлетела. Всё вполне реализуемо.

По-моему, Mirai явно всем показал, что автообновление устройств, которые используют не понимающие принципов их работы пользователи — очень хорошая идея. Я бы даже сделал это для некоторых классов устройств обязательным по закону на весь срок поддержки, причём не менее 5 лет. Сейчас производители делают дырявое ***, продают и дальше хоть трава не расти. А от DDOS и проблем с безопасностью потом страдают все.

SlimShaggy Feb 4 2017 at 15:34

Мой ASUS RT-N66U умеет сам искать и качать обновления, исключая таким образом этап с сайтом производителя. Но чтобы запустить этот процесс, все равно нужно зайти в веб-морду. А после установки апдейта иногда еще и просит перезагрузить роутер вручную.

nikolajbezcelovecnyj Feb 7 2017 at 14:03

зюхели кинетики обновляются. Причем уже года три как, а может и больше. При этом зуйволлы они не обновляют, хотя я уже с ними год не работал так что не скажу.

selivanov_pavel Feb 7 2017 at 14:19

Круто, это плюс зюкселю.

artskep Feb 7 2017 at 14:03

Ну, вообще-то даже смартфоны спрашивают подтверждение при обновлении прошивки. И это правильно как по сути (ну его нафиг делать такие шутки без моего хотя бы ведома), так и (я полагаю) с точки зрения закона (ибо новая прошивка потенциально может влиять на гарантию/иметь сложности с дополнительными лицензиями/и т. д.)
А как сделать это для роутера, если не заходить в веб морду — я не знаю.
А если все равно заходить туда с этой целью, то какая разница — это 4 менюшки или всего 2.

selivanov_pavel Feb 7 2017 at 14:18

А например Windows молча пишет «обновления будут установлены и компьютер будут перезагружен через N часов». Никаких проблем с лицензиями, в EULA всё уже оговорено. Причём, в отличие от смартфона или роутера, там пользователь рискует потерять несохранённую работу.

И по сути это правильно, потому что обычный пользователь не имеет никакого представления о безопасности и нуждается в защите, а продвинутый может это отключить и ставить руками. В случае с роутером — то же самое: можно сделать опцию для установки только по требованию, но она должна быть выключена по умолчанию.

YourChief Feb 4 2017 at 04:01

Лёгкий офтоп. Сегодня обнаружил приятный сюрприз: в Godaddy появилась поддержка 2FA не только через SMS, но и через приложение. Причём резервным фактором может быть другое приложение. Большой плюс в том, что можно от небезопасной SMS-аутентификации избавиться. Да и сами по себе SMS-ки ходят не всегда хорошо.