- RouterSecurity.org hält selbst gekaufte Modems und Router für sicherer als vom ISP bereitgestellte Geräte und sieht fehlende Kontrolle über Ersteinrichtung, Wartung, Fernverwaltung und Firmware als zentrale Risiken
- Bei ISP-Geräten können zur Senkung der Supportkosten auf Bequemlichkeit ausgelegte Einstellungen eingesetzt werden; Standardpasswörter, gesperrtes DNS, gesperrte Firmware-Updates und öffentliches WLAN können die Kontrolle der Nutzer einschränken
- In Fällen von Sky, Virgin Media, Comcast, Verizon, TalkTalk, EE, AT&T und Deutsche Telekom tauchen immer wieder Probleme wie DNS Rebinding, Datenlecks, WPS-Schwachstellen, Backdoor-Konten, TR-069-Exponierung und Standard-Zugangsdaten auf
- In Regionen wie den USA, in denen der Markt für schnelles Internet einem virtuellen Monopol ähnelt, hätten ISPs nach dieser Sichtweise wenig Anreiz, bessere Hardware oder Sicherheit zu bieten; ein Memo von Oktober 2024 schränkt ein, dass diese Perspektive auf die USA begrenzt sein könnte
- Mit eigener Hardware können Nutzer Firmware, DNS, Ersatzgeräte und die Routerwahl selbst kontrollieren; da sich das perfekte Produkt aber nicht leicht sofort finden lässt, ist ein Kauf bei einem Anbieter mit Rückgabemöglichkeit praktikabel
Warum selbst gekaufte Modems und Router empfohlen werden
- Die sicherste Konfiguration sei, ISP-Hardware zu vermeiden und selbst gekaufte Modems und Router zu verwenden
- Bei von ISPs bereitgestellten Geräten werden folgende Risiken gesehen
- Bei Ersteinrichtung und laufender Wartung kann sich insgesamt Nachlässigkeit zeigen
- Geräte, die mit Standardpasswörtern installiert werden, gelten als Signal, dass der ISP die Sicherheit der Nutzer nicht ausreichend priorisiert
- Sicherheit und Bequemlichkeit stehen im Konflikt, und ISPs richten Router wahrscheinlich eher auf Bequemlichkeit aus, um Supportkosten zu senken
- Dasselbe Gerät, millionenfach an Kunden ausgeliefert, ist für Angreifer und Überwachungsakteure ein großes Ziel
- Weniger verbreitete Geräte gelten als sicherere Wahl
ISP-Geräte, die die Kontrolle der Nutzer einschränken
- Einige ISP-Geräte sind gesperrt, sodass Nutzer wichtige Einstellungen nicht ändern können
- Es gab Fälle, in denen sich das Passwort nicht ändern ließ
- Es gab auch Fälle, in denen sich der DNS-Server nicht ändern ließ; Beispiele sind der britische BT Business Hub, Sky Broadband und viele Regionen in Frankreich
- Beim von Comcast bereitgestellten Arris-TG1682G-Gateway ließ sich die LAN-IP-Adresse nicht ändern, und selbst bei geänderter Subnetzmaske blieb die Gerätenummer stets 1
- Auch die Firmware-Update-Funktion kann gesperrt sein; Nutzer sollten Firmware-Updates vollständig kontrollieren können
- ISPs stellen üblicherweise nur ein Gerät bereit, sodass man bei einem Defekt bis zum Austausch offline sein kann
- Wer eigene Hardware besitzt, kann zusätzlich ein Notfall-Modem oder einen Ersatzrouter bereithalten
- Langfristig kann der Kauf eigener Geräte günstiger sein
- Einige ISPs verlangen Miete für Modem oder Gateway
- Genannt werden die Modem-Kaufliste für Time-Warner-Kunden und Comcasts mydeviceinfo.comcast.net
Beweggründe bei der Gerätewahl der ISPs und der US-Markthinweis
- Ein Memo von Oktober 2024 erklärt, dass diese Einschätzung aus der Perspektive von US-Nutzern stammt und sich nicht zwangsläufig auf andere Länder übertragen lässt
- In den USA gebe es in vielen Bereichen eine zunehmende Konzentration auf Großunternehmen, und ISPs seien Teil dieses Trends
- Viele, vermutlich die meisten Nutzer in den USA hätten nur einen einzigen ISP
- In vielen Regionen der USA gleiche der Zugang zu schnellem Internet einem virtuellen Monopol
- Ein ISP mit virtuellem Monopol habe wenig Anreiz, guten Service zu bieten; Kunden befänden sich faktisch in einer Geiselposition
- Da ISPs Geld verdienen wollen, würden sie voraussichtlich die billigste Hardware bereitstellen, die die notwendigen Funktionen gerade eben erfüllt
- Mehr Sicherheit führe zu mehr Supportanrufen, deren Kosten der ISP trägt, weshalb Sicherheit schwer priorisiert werde
- Eine Antwort in einem Finanzforum vom Juni 2022 beschrieb aus Erfahrung im Verkauf von Netzwerktechnik an Telcos und Kabelunternehmen die Prioritäten bei Kundengeräten als „Kosten, Fernverwaltung, Kosten“
- Das wird so zusammengefasst, dass ISPs billige und kontrollierbare Router wollen
Öffentliches WLAN, Überwachung und Datensammlung
- Viele ISPs versuchen, über Heimgeräte öffentliche WLAN-Netze bereitzustellen; es gebe keinen Grund anzunehmen, dass dies sicher umgesetzt werde
- Kritik an Comcast XFINITY WiFi: Comcast XFINITY WiFi: Just say no
- Cablevision mache dasselbe; Timothy Geigner schrieb sinngemäß, dass Cablevision-Kunden besser einen eigenen Router und ein eigenes Modem kaufen sollten
- Juniper Research nennt solche Geräte „homespot router“
- Es habe Fälle gegeben, in denen ISPs mit Überwachungsbehörden oder Regierungen kooperierten; auch ohne äußeren Druck könnten sie Backdoors in Kundengeräte einbauen
- Harrison Sands Your ISP is Probably Spying On You behandelt einen Fall, in dem Router Informationen über LAN-seitige Geräte sammelten und an den ISP sendeten
Wiederkehrende Beispiele für Schwachstellen in ISP-Geräten
- Im Mai 2023 erhielt ein Spectrum-Kunde einen Router mit Kakerlaken; kein Sicherheitsproblem, aber ein Beispiel für den Umgang mit Kundengeräten
- Im November 2021 wurde bei 6 Millionen Sky-Routern eine DNS-Rebinding-Schwachstelle bekannt
- Sky brauchte 18 Monate, um das Problem zu beheben, und habe Pen Test Partners, die den Fehler fanden, häufig ignoriert
- Zugehöriger Beitrag: SkyFail. 6 million routers left exposed
- Im September 2021 wurde bekannt, dass Virgin Media eine Router-Schwachstelle über zwei Jahre lang nicht behoben habe
- Zugehöriger Beitrag: Virgin Media Routers Left VPN Users Vulnerable Since at Least 2019
- Ein BlackHat-Vortrag im August 2021 behandelte das Problem, dass einige ISPs in öffentlichen IPv6-Adressen weiterhin MAC-Adressen einbetteten
- Forscher fanden mehr als 12 Millionen Router und Gateways mit eingebetteter MAC-Adresse
- In den USA zeigten mehr als 1 Million Comcast-Xfinity-Gateway-Router diesen Designfehler
- 2019 brachte Sky Broadband mit einem Broadband-Hub-Update einige Kunden offline, besonders jene mit konfigurierten DNS-Servern anderer Anbieter
- Das neueste Update habe offenbar sogar die Funktion zum Ändern des DNS-Servers entfernt
Fälle von Comcast, Verizon, TalkTalk und EE
- Eine Schwachstelle auf der Comcast-Website im Jahr 2018 konnte Privatadresse, WLAN-Name und WLAN-Passwort von Xfinity-Kunden offenlegen
- Angreifer brauchten nur die Kundennummer sowie Haus- oder Wohnungsnummer
- Betroffen waren nur Kunden mit Comcast-Hardware; Nutzer eigener Router seien geschützt gewesen
- Angreifer konnten auch SSID oder WLAN-Passwort ändern
- Im Juni 2018 wurde ein weiteres Datenleck bekannt, bei dem jedes Gerät im Comcast-Kundennetz über eine API Kundennummer, Privatadresse, Kontotyp und Informationen zu aktiven Diensten abrufen konnte
- Im Dezember 2018 fand Tenable drei Bugs in Verizon-FIOS-Routern und -Gateways
- Verizon schreibe die Firmware nicht selbst und müsse Korrekturen extern beauftragen; auch die Reaktion auf Bugs sei auf mehrere Gruppen verteilt gewesen
- Einige Bugs seien bereits bekannt, aber nicht behoben gewesen, und es habe keine Pläne gegeben, sie öffentlich zu machen
- Im Mai 2018 wurde bestätigt, dass TalkTalk-Router anfällig für den bereits 2011 bekannten WPS-PIN-Angriff waren
- Im Oktober 2018 besaß das 4GEE-HH70-Gateway von EE ein über LAN-seitiges SSH erreichbares Backdoor-Konto
- EE habe das Problem zunächst ignoriert und erst nach Einschaltung von The Register reagiert
- Später erschien zwar ein Patch, doch Kunden mussten die neue Firmware selbst installieren
Botnets, Spyware und Schwachstellen im großen Maßstab
- Im November 2017 wurde ein neues Botnet entdeckt, das Schwachstellen in ZyXEL-Geräten ausnutzte
- Eine Remote-Anmeldung war mit Standard-Benutzerkennung und -Passwort möglich, und der Port war offen
- Es gab außerdem ein hartkodiertes Superuser-Passwort, mit dem Angreifer Root-Rechte erlangen konnten
- Etwa 100.000 Geräte waren infiziert, fast alle im Netz von Telefonica de Argentina
- Im September 2017 berichtete ESET, dass einige ISPs in zwei nicht genannten Ländern offenbar bei der Verbreitung der Spyware FinFisher kooperierten
- Zielnutzer wurden beim Download legitimer Apps wie WhatsApp, Skype, Avast, WinRAR oder VLC Player auf infizierte Versionen umgeleitet
- Das Angriffsmuster deute stark auf einen Man-in-the-Middle-Angriff auf ISP-Ebene hin
- Auf der DEF CON 25 erklärten Marc Newlin, Logan Lamb und Chris Grayson, sie hätten 26 Bugs in von ISPs gelieferten Gateways und Set-Top-Boxen gefunden
- Betroffen waren Geräte von Cisco, Arris, Technicolor, Motorola und Xfinity
- Darunter waren auch mehrere Schwachstellen für Remote Code Execution ohne Authentifizierung
- Die Verteilung von Patches dauere Monate, offizielle Bug-Reports würden nicht eingereicht, und Kunden würden nicht informiert
- Ein Dokument von Trend Micro aus dem Jahr 2017 empfiehlt als Ausgangspunkt für Heimrouter-Sicherheit, kostenlose Router zu meiden, die im Internetvertrag enthalten sind
Frühere Probleme mit Standardeinstellungen und Backdoors
- 2016 schrieb Scott Helme, dass bei der Auswahl von ISP-Geräten Kosten das Hauptkriterium seien und niedrige Kosten nicht nur die Hardware, sondern auch Bereiche wie Sicherheit qualitativ verschlechtern könnten
- Als Beispiele nannte er schwere Schwachstellen im EE-BrightBox-Router sowie verbleibende Lücken trotz verspätetem Patch
- Im Oktober 2016 verteilte ein australischer ISP Router mit SSIDs, die Standard-Benutzerkennung und -Passwort sehr ähnlich waren
- 2015 schrieb Lucian Constantin, dass die Sicherheit von ISP-Routern oft schlechter sei als bei frei verkauften Produkten
- Ist Fernverwaltung aktiviert, können Admin-Interface und Schwachstellen im Internet exponiert sein
- Selbst wenn der ISP Firmware remote aktualisieren kann, geschieht das oft nicht regelmäßig; Nutzer können wegen eingeschränkter Rechte womöglich nicht selbst updaten
- 2015 schrieb Bernardo Rodrigues, dass die Gateways Arris TG862A, TG860A und DG860A XSS, CSRF, hartkodierte Passwörter und eine Backdoor in der Backdoor enthielten
- Eine versteckte HTTP-Oberfläche oder ein angepasstes SNMP-MIB könne genutzt werden, um Telnet und SSH remote zu aktivieren
- Schätzungsweise mehr als 600.000 verwundbare Geräte seien von außen erreichbar gewesen
- Verizon lieferte Router für Neukunden noch mit WEP als Standardeinstellung aus, lange nachdem WEP als unsicher galt
- Die FTC verschickte 2014 ein Schreiben, in dem untersucht wurde, ob Verizon die DSL- und FiOS-Router seiner Kunden angemessen und ausreichend geschützt hatte
- WEP ist ein Standard, den IEEE 2004 zugunsten von WPA und später WPA2 aufgegeben hat
TR-069 und exponierte Fernverwaltung
- Die Fernkonfiguration von vom ISP bereitgestellten Routern und Modems gilt als großes Sicherheitsproblem
- Einer der Mechanismen für Remote-Updates ist TR-069 oder CWMP
- Bugs in diesem Protokoll wurden mehrfach ausgenutzt
- Im November 2016 waren rund 900.000 Kunden der Deutschen Telekom wegen Routerproblemen offline
- Als Auslöser galt ein Angriff ausgehend von einer Mirai-Variante; kritisiert wurde, dass der ISP offene TCP/IP-Ports nicht abgesichert hatte
- Einige von ISPs bereitgestellte Router betrieben öffentlich erreichbare TR-064-Server, was als gravierender Konfigurationsfehler galt
- Im April 2017 schrieb Wordfence, dass der Port 7547 von Routern niemals aus dem öffentlichen Internet erreichbar sein sollte
- Shodan meldete bei mehr als 41 Millionen Heimroutern einen im öffentlichen Internet offenen Port 7547
- In Algerien wurden mehr als 10.000, in Indien mehr als 11.000 infizierte Heimrouter gefunden; dies wurde mit der Exponierung von Port 7547 in Verbindung gebracht
- 2014 schrieb Lucian Constantin, dass ISP-Heimrouter massenhaft kompromittiert werden könnten
- Bereits 2011 hätten 147 Millionen aktivierte TR-069-Geräte online auf TCP-Port 7547 empfangen
- Check Points Shahar Tal hielt es für leicht, ACS-Server zu kompromittieren
- Die TR-069-Spezifikation empfehle HTTPS, doch etwa 80 % nutzten unsicheres HTTP und seien damit für Man-in-the-Middle-Angriffe anfällig gewesen
AT&T U-Verse und weitere offene Ports
- Das Problem offener Ports ist nicht auf TR-069 beschränkt
- Im September 2017 behandelte Nomotion zwei offene Ports auf AT&T-U-Verse-Gateway-Geräten
- Einer davon war SSH, und Port TCP 49152 habe WAN-seitigen Angreifern erlaubt, die Firewall zu umgehen
- Außerdem wurden drei hartkodierte Backdoor-Konten gefunden
- Der zugehörige Beitrag trägt den Titel SharknAT&To
- AT&T habe auch nach der öffentlichen Bloßstellung zwei Wochen lang nichts zu dem Sicherheitsproblem gesagt, und Arris sei nach der Ankündigung einer Untersuchung ebenfalls still geblieben
- Rapid7s HD Moore meinte, einige ISPs verschärften die Lage, indem sie Breitbandgeräte wie Heimrouter ohne ausreichende Prüfung oder ohne korrekte Sicherheitskonfiguration auslieferten
Ehrlichkeit, Geschwindigkeit und Gerätewahl
- Neben der Sicherheit wird auch die Ehrlichkeit von ISPs infrage gestellt
- Time Warner Cable, also Spectrum und Charter, wurde 2017 im Bundesstaat New York verklagt, weil das Unternehmen Kunden über die bereitgestellten Download-Geschwindigkeiten belogen habe
- Susan Crawford schrieb, fast alles, was das Unternehmen seit 2012 New Yorkern über Internetzugang und Datendienste gesagt habe, scheine nicht der Wahrheit zu entsprechen
- 2,5 Millionen Abonnenten in New York sei gesagt worden, sie bekämen höhere Download- und Upload-Geschwindigkeiten als tatsächlich geliefert
- Die Drosselung bei Charter/Spectrum/Time Warner Cable wird in drei Methoden zusammengefasst
- Mehr Haushalte in überlastete gemeinsame Nachbarschafts-Datenverbindungen drücken
- Verbindungen zwischen dem Spectrum-Netz und anderen Netzen unter Druck setzen
- Verbraucher unter Druck setzen, aufgerüstete Heimgeräte anzunehmen
- Der Rechtsstreit wurde im Dezember 2018 mit einer Zahlung von 176 Millionen US-Dollar durch Charter/Spectrum beigelegt
- Verbraucher-Mesh-Router wie eero, AmpliFi und Google Wifi können Geschwindigkeitstests direkt auf dem Router ausführen
- eero führe offenbar täglich einen Geschwindigkeitstest durch
- AmpliFi und Google Wifi speichern den Verlauf von Geschwindigkeitstests, wodurch sich Trends leichter erkennen lassen
- eero speichert keinen Verlauf
- Router unterscheiden sich stark, daher sollte man nicht erwarten, sofort den perfekten Router für die eigenen Bedürfnisse zu kaufen
- Wenn möglich, sollte man Router am besten bei einem Anbieter mit Rückgabemöglichkeit kaufen
1 Kommentare
Meinungen auf Hacker News
Wäre schön. Ich habe zwar ein eigenes Modem und einen eigenen Router, aber Comcast lässt mich sie nicht nutzen, außer ich zahle hohe Zusatzgebühren oder akzeptiere ein absurd niedriges monatliches Datenlimit.
Also betreibe ich meinen Router hinter der Comcast-Hardware, was ziemlich nervt. Besonders das kombinierte Modem-Router-Gerät von Comcast überhitzt und muss etwa einmal im Monat vom Strom getrennt und neu gestartet werden.
Leider gibt es für unser Haus in San Francisco keine Alternative. Wir haben keine Telefonleitung, also kein DSL, und die Glasfaserangebote, die in San Francisco angeblich zunehmen, erreichen meist nur die Innenstadt oder große Apartmenthäuser. Unser Einfamilienhaus bekommt weder die neue Glasfaser von AT&T noch Webpass.
Am Ende heißt es Comcast oder kein Internet. San Francisco wird oft als Technologiehauptstadt der Welt bezeichnet, aber die Internetanbindung ist schlechter als auf dem chinesischen Land. Ich habe lange in ländlichen und bergigen Regionen Chinas gelebt, und abgesehen von der Firewall waren sowohl Mobilfunk als auch Festnetz dort deutlich besser als in San Francisco.
Ich kann kaum glauben, dass es 2025 in einer großen Technologiestadt immer noch solche Probleme gibt.
Früher habe ich meine Glasfaser direkt per XGS-PON-SFP-Modul an meine Fritz!Box angeschlossen, heute verbinde ich das ONT des Anbieters mit einem Unifi Cloud Gateway Max. Dieses ONT ist im Grunde nur ein Medienkonverter zwischen Glasfaser und Ethernet.
Hier gibt es auch viele Leute, die ihre UDM- oder OpnSense-Geräte mit einem Zaram-XGS-PON-Modul direkt an die Glasfaser anschließen. Schade, dass man Datenlimits hinnehmen muss; in den Niederlanden war es seit dem Umstieg von 56k6 auf ADSL immer unbegrenzt. 5G nutze ich ebenfalls unbegrenzt für 25 Euro im Monat.
Allerdings sollte ich wohl dazusagen, dass wir kein trinkbares Leitungswasser haben und Regenwasser nutzen müssen.
Ich zahle 130 Dollar im Monat für 1,4 Gbit/s und unbegrenztes Datenvolumen. Teuer, aber ich habe ebenfalls keine andere Option. Sonic endet einen Block weiter, und ich konnte sie nicht dazu bewegen, bis zu unserem Block zu verkabeln.
Vielleicht habe ich diesen Tarif seit Jahren und profitiere noch von alten Bestandskundenbedingungen, oder der Comcast-Vertrieb hat dir die Optionen falsch dargestellt.
Große Internetanbieter haben auch informelle Absprachen getroffen, in bestimmten Regionen nicht miteinander zu konkurrieren. Das betrifft Vororte, Städte und ländliche Wohngebiete gleichermaßen, und auf dem Land ist es meiner Ansicht nach noch viel schlimmer.
Wenn sie wissen, dass es keine Alternativen gibt, haben sie keinen Grund, sich beim Kundenservice oder bei Verbesserungen anzustrengen.
Internet über Mobilfunknetze hat etwas Entlastung gebracht, hat aber den Nachteil, dass bei Überlastung gedrosselt wird und die Latenz insgesamt nicht gut ist.
Das ideale kommunale Internet, das ich gesehen habe, ist EPB in Chattanooga, Tennessee. Sie bieten auch Privatkunden symmetrische Anschlüsse von 1000 Mbit/s bis 25.000 Mbit/s an: https://epb.com/fi-speed-internet/?#choose-your-plan
Der 1-Gbit/s-Tarif ist günstiger als Google Fiber, und auch der 2,5-Gbit/s-Tarif ist konkurrenzfähig. Das Geld bleibt im lokalen Ökosystem, schafft gut bezahlte Arbeitsplätze, und Gewinne werden wieder ins Netz investiert, statt in Aktienrückkäufe oder Führungskräfte, die mit Privatjets über weite Strecken pendeln.
Die Sache mit der Kakerlakenkolonie ist etwas unfair.
Insekten mögen die Wärme und Geräusche elektronischer Geräte. Wenn Elektronik lange gelagert wird, können aus danebenstehenden Gegenständen Insekten hineinkriechen.
Das kann bei Routern, die nicht vom Internetanbieter stammen, genauso passieren. Natürlich habe ich keine Statistiken, die diese Behauptung stützen, aber die andere Seite hat auch keine.
Der bevorzugte Open-Source-Router könnte sogar länger im Lager gelegen haben.
Zu Routern von Internetanbietern und zu Internetanbietern selbst habe ich gemischte Gefühle, aber Insektenbefall in Elektronik ist ein ernstes Problem und steht nicht direkt mit Internetanbietern in Zusammenhang.
Und warum sollten gebrauchte Geräte im Regal neben dem neuen Router stehen, den ich kaufen will?
Bei Gebrauchtgeräten könnte man sagen, dass es „entsprechend möglich“ ist, aber wenn ich einen Router kaufe, kaufe ich keinen gebrauchten.
Der verlinkte Beitrag handelt davon, dass sich in der vom Internetanbieter gelieferten Verpackung eine lebende Kakerlakenkolonie befand. Wenn ein Unternehmen so etwas nicht bemerkt, was sagt das über seine Supply-Chain-Sicherheit aus?
Wenn man von einem Händler für Elektronik eine Verpackung mit Insekten bekommt, sollte man den Lieferanten wechseln. Das ist nicht normal.
Zum Glück hatte UPS das Ding in den Schnee geworfen, und ich fand es erst ein paar Tage später; die Kakerlaken waren erfroren. Deshalb empfehle ich keine Router und zugehörige Geräte von Internetanbietern.
In einer ähnlichen Nachricht hat die deutsche Regulierungsbehörde BNetzA vor zwei Wochen erneut bestätigt, dass passive optische Netze keine Ausnahme vom TKG, also § 73 Abs. 1 des Telekommunikationsgesetzes, darstellen https://www.bundesnetzagentur.de/SharedDocs/Pressemitteilung...
Diese Vorschrift verlangt, dass die Schnittstelle zwischen Anbieter und Kunde eine passive Schnittstelle sein muss; schon das Erzwingen eines ONT ist daher ein Verstoß
Und das ist eine gute Richtung. Die verschiedenen PON-Standards sind ausreichend gut standardisiert und funktionieren im Standardmodus der meisten Gerätehersteller. Netzbetreiber verlieren dadurch vielleicht einige proprietäre Funktionen, aber wenn man in die Vergangenheit schaut, haben sich die Hersteller an den deutschen Markt angepasst
Das Gesetz erlaubt zwar Ausnahmen, aber hauptsächlich nur dann, wenn sie aus Gründen der Zugangstechnologie erforderlich sind. Selbst dann stellt es klar, dass Geräte, die das Endnutzergerät mit dem Dienst verbinden – also Router –, nicht vom Internetanbieter erzwungen werden dürfen. Sie dürfen angeboten werden, aber der Nutzer darf nicht daran gehindert werden, eigene Geräte anzuschließen
Manchmal vermisse ich die Zeit, als ich in Deutschland gelebt habe
Wenn man sich das Verhalten der Internetanbieter hier ansieht, gibt es viele verrückte Geschichten. Australien hat zwar eine beachtliche Vorgeschichte darin, die nationale Internetinfrastruktur zu ruinieren, aber immerhin kann man fast jeden Internetanbieter wählen und den Router verwenden, den man möchte
Einen vom Internetanbieter gestellten Router habe ich wohl seit etwa 15 Jahren nicht mehr benutzt
Welche Internetanbieter regional verfügbar sind, ist reine Glückssache. Selbst in größeren Provinzstädten war es oft miserabel, und wer auf dem Land oder in abgelegenen Gegenden lebt, wird behandelt, als existiere er nicht. Wenn ich irgendwohin ziehen würde, wo nur Telstra verfügbar ist, würde ich ernsthaft erwägen, lieber gar kein Internet zu haben. Telstra Geld zu zahlen und Internetzugang zu haben ist ungefähr gleich unangenehm, aber nicht zu zahlen ist viel billiger
Der eindrucksvollste Unfug war Verizon DSL. Bei jedem Versuch einer eingehenden Verbindung wurde mir eine neue öffentliche IP geleast. Die IP änderte sich so schnell, wie ich die neue IP in die Remote-Konfiguration eintragen und mich erneut verbinden konnte, und ich konnte das auf mehr als sechs Mal pro Minute treiben
Man braucht nicht unbedingt ein zusätzliches Modem und kann auch direkt einen PC anschließen, wodurch vieles weniger schmerzhaft wird und der Bedarf an einem vom Internetanbieter gestellten Modem sinkt
AT&T-Fiber-Router neigten früher zur Überhitzung, machten leere Versprechen wie einen „DMZ Plus“-Modus, und wegen verschiedener Probleme entstand sogar ein Schwarzmarkt, auf dem aus dem Internet gestohlene AT&T-Zertifikatsdateien gehandelt wurden
Bei getrennten Geräten verwendet AT&T nämlich 802.1x zwischen der kombinierten „Router/Gateway“-Hardware und dem ONT. Das AT&T-XGS-PON-Netz ist inzwischen größtenteils integriert, deshalb bauen Leute nun kompatible SFP+-Module, die den gesamten GPON-Stack ersetzen
Ich kann mich irren, aber unter den US-Internetanbietern scheint AT&T Fiber der einzige zu sein, der Nutzern nicht einmal erlaubt, sich direkt mit dem Netz zu verbinden. Wenn man den bereitgestellten Router nutzt, bekommt man nur den „DMZ Plus“-Modus, bei dem aber weiterhin dieser Router/dieses Gateway die State-Table verwaltet, sodass man den Hardware- und Softwareproblemen der Providergeräte ausgesetzt bleibt
Am Ende programmieren Leute SFP+-Module, nur um sicherere Router/Modems zu verwenden, und lernen dafür das Netz des Internetanbieters viel tiefer kennen, als eigentlich nötig wäre
Wegen der Sicherheitsprobleme haben mehrere Leute Anleitungen veröffentlicht oder sogar echte Geschäfte betrieben, bei denen Router-/Gateway-Firmware ausgenutzt wurde, um Zertifikate und private Schlüssel aus AT&T-Geräten zu extrahieren. Damit bekommt man kein kostenloses Internet, sondern kann sich nur mit eigener Hardware am Netz authentifizieren
Es ist mein Gerät, dessen Kauf der Betreiber für die Nutzung des Dienstes erzwungen hat, also kann ich damit machen, was ich will
Wenn man damit den Dienst stehlen würde, würde ich zustimmen; aber wir wollen einfach keine instabile und inakzeptable Hardware verwenden
Schon bei den Kosten stimme ich völlig zu. Verglichen mit der Mietgebühr, die ich an den Internetanbieter zahle, hat sich mein Kabelmodem längst amortisiert
Außerdem sollte man Modem und Router getrennt kaufen. Kombigeräte sind schwerer zu diagnostizieren, und wenn man auf eine andere Zugangstechnik wechselt, kann man den Router nicht weiterverwenden
„Langfristig kann es günstiger sein, eigene Hardware zu kaufen“ ist genau der Grund, warum mein Internetanbieter einen dazu zwingt, seine Geräte zwangsweise zu mieten
Das ist die klassische Geschichte, Marktmacht aus einem Markt in einen anderen hineinzudrücken
Letztlich behandle ich das Netz wie jedes andere Netz auch. Ich gehe davon aus, dass das Netz bereits kompromittiert ist, und Sicherheit muss auf den Endgeräten stattfinden
Ich stimme dem Artikel zu, aber zu der Stelle „Auch die Firmware-Update-Funktion kann gesperrt sein. Man sollte Firmware-Updates vollständig kontrollieren können“ möchte ich ergänzen: Bei DOCSIS-Modems ist es seltsamerweise so, dass selbst bei einem selbst gekauften Modem der Internetanbieter die Firmware kontrolliert
Sie können beliebige Firmware auf mein Modem pushen und tun das auch tatsächlich. Die Hersteller spielen dabei aus irgendeinem Grund mit
Deshalb sollte man Modem und Router unbedingt trennen
Er weiß also ziemlich gut, wohin man geht; nur was dort übertragen wird, weiß er nicht immer. Manchmal weiß er auch das
Umgekehrt verschiebt sich bei Nutzung ihres Routers und Modems die Verantwortungsgrenze auf den Ethernet-Port auf der Innenseite des Routers, was Support deutlich einfacher macht
Mir ist das wichtiger als Kontrolle. Und ich weiß auch genau, dass sie keine Zeit haben, mich zu überwachen. Da es Spaß macht, sich auf Autorität zu berufen, füge ich hinzu: Ich habe jahrzehntelang als Netzwerkingenieur und -architekt gearbeitet
Mein Internetanbieter hat mir eine Fritz!Box geschickt und bot auch die Option an, eigene Hardware zu verwenden. Das Gerät war für den Internetanbieter vorkonfiguriert.
In den Einstellungen habe ich den Fernzugriff und TR-069 per Schalter deaktiviert und das Admin-Passwort geändert. Um so einen Router unter Kontrolle zu bekommen, reicht das im Grunde schon.
Es gibt Gründe, AVM-Router nicht zu mögen, aber die Software ist bei Benutzerkonfiguration und Netzwerksicherheit ziemlich solide. Es ist kein schlechtes Gerät, und große Internetanbieter bekommen bei Großbestellungen erhebliche Rabatte, sodass sie es zu niedrigeren Mietkosten anbieten können als beim Kauf im Laden.
Bei einem früheren Arbeitgeber bestellten wir eine Palette Huawei-Router, die mit einer von einem anderen Internetanbieter erstellten Custom-Firmware ankamen. Sie waren komplett gesperrt und ließen sich nur über TR-069 und Huaweis proprietäre ONT-Funktionen konfigurieren.
Ein anderer Kunde verteilte Router, die ausschließlich über die Cloud des Internetanbieters verwaltet wurden. Kein TR-069; sie machten nur DHCP und meldeten sich dann über ein proprietäres Protokoll nach Hause. Der Kunde fand es magisch, dass er Kundenrouter aus der Ferne neu starten konnte, aber der Hersteller ging acht Monate später pleite, sodass nur noch ein Haufen vorkonfigurierter Router ohne Cloud-Portal übrig blieb und kein Weg mehr nach vorn führte. Es ist erstaunlich, dass es noch keine Fälle von DNS-Hijacking gab.
Das Gerät habe ich am nächsten Tag direkt entsorgt.