Gefährliche Sicherheitslücke im Speedport Router der Telekom. Die Schwachstelle ermöglicht es einem Angreifer, der sich innerhalb der Reichweite des Funknetzwerks aufhält, sich unbefugt Zugang zu dem WLAN zu beschaffen. Hierfür genügt ein WPS-Fähiges System um den PIN ihres Routers/Netzwerk zu umgehen und den Zugriff auf ihr Netzwerk und die darin enthaltenen Daten zu erlangen.«Das heißt, er kann beispielsweise über den Anschluss im Internet surfen oder auf Dienste oder Komponenten in dem Heimnetzwerk zugreifen, zum Beispiel auf einen Netzwerkspeicher, der nicht durch ein Passwort geschützt ist», berichtete das Unternehmen. Der Anschlußinhaber haftet allerdings für sämtliche Aktivitäten, die Fremde über seine Internetverbindung getätigt haben, somit auch Straftaten.
Die Deutsche Telekom warnt vor einer gefährlichen Sicherheitslücke in der WPS Funktion in folgenden Modellen der Telekom DSL Speedport Routern:
- W921V
- W504V
- W723V (Typ B)
Bei allen drei Routern kann ein Angreifer sich Zugang zum Funknetz verschaffen. Bei den Modellen Speedport W 504V und Speedport W 723V Typ B empfiehlt die Telekom betroffenen Kunden, die WPS-Funktion (Wi-Fi Protected Setup) des Geräts zu deaktivieren, bis eine fehlerbereinigte Softwareversion vorliegt. Mit der WPS-Funktion (WiFi Protected Setup) kann normalerweise ein sicherer Abgleich der WLAN-Sicherheitseinstellungen zwischen Router und Computer vorgenommen werden. Ergänzend sollte ein neues, sicheres WLAN-Passwort vergeben werden. Normalerweise muss zum schnellen Anmelden neuer Geräte im WLAN ein Knopf am Router gedrückt werden, der Speedport W921V unterstützt aber auch das unsichere Verfahren “WPS mit PIN”. Dem Speedport W921V reicht dabei eine Standard-PIN-Nummer, die bei allen Routern identisch ist. Fremde können so eigene Geräte unbemerkt in einem WLAN Netz anmelden, ohne Zugriff auf den Router selbst zu haben.
Offenbar lässt sich beim W 921V, egal welche Einstellung man in der Admin-Oberfläche wählt, die PIN-Funktion von WPS nicht deaktivieren. Das Problem beschränkt sich allerdings keineswegs darauf, dass sich WPS-PIN nicht deaktivieren lässt, sondern es wird durch die Existenz einer universellen Geräte-PIN zum ultimativen Sicherheits-GAU.
Dass diese Funktion unsicher ist, ist bereits seit längerem bekannt, weshalb alle Experten dazu raten, diese Funktion auszuschalten. Es gibt zur Zeit keinen anderen Schutz.
An einem Update für die drei Modelle werde mit Hochdruck gearbeitet. Wenn die Funktion «Easy Support» aktiviert ist, wird dieses Update automatisch aufgespielt, so die Telekom.
Selbstverständlich können wir für Sie Ihr System auf derartige Sicherheitslücken überprüfen, dies geht auch per Fernwartung. Die Kosten hierfür können Sie unserer IT Service-Preisliste entnehmen.