AVM-Fauxpas: Geheimer Schlüssel entwichen

Der Router-Hersteller AVM bekommt momentan schlechte Presse. Im Speicher der FritzBox für Kabelanschlüsse haben Sicherheits-Experten einen geheimen Krypto-Schlüssel entdeckt, den nur AVM besitzen dürfte. Mit dem Schlüssel werden laut Heise die Zertifikate unterschrieben, mit denen sich die Boxen beim Provider authentifizieren. Jede Box sei dabei mit einem individuellen Zertifikat ausgestattet, welches passend zur MAC-Adresse des Kabelmodems ist. Bei einer Verbindung überprüft der Provider das Zertifikat, ist dieses gültig, so darf eine Verbindung aufgebaut werden. Diese Zertifikate kann sich jeder Wissende selbst erstellen, für jede MAC-Adresse – letzten Endes sind sie aber ohne die Unterschrift nutzlos. Hier kommt der gefundene Kryptoschlüssel ins Spiel.

Mit diesem lassen sich die Zertifikate unterzeichnen – und der Angreifer könnte theoretisch mit euren Daten beim Anbieter um Einlass bitten. Das Problem ist schon seit letztem Jahr bekannt, dafür sprechen gleich zwei Fakten: Auf der einen Seite hat ein Kabelprovider das Problem gegenüber Heise bestätigt, auf der anderen Seite liegt uns ein Statement von AVM vor, welches auf diesen Umstand eingeht. Man geht nicht ins Detail, spricht lediglich davon, dass man bereits seit 2015 in der Abteilung Zertifikatswechsel unterwegs sei, „da ein älteres als nicht vertrauenswürdig galt“.

Seit letztem Jahr versucht man also das Problem durch Zertifikatswechsel in den Griff zu bekommen, doch offensichtlich ist man Ende 2016 damit noch nicht durch: „Dieser Wechsel in den Kabelnetzen ist nahezu vollzogen.“. Nahezu impliziert, dass man noch nicht komplett mit der Aktualisierung durch ist. Man habe in Hinblick auf potentielle Angreifer Heise auch gebeten, erst im Nachhinein auf die Lücke hinzuweisen.

Dennoch teilt man mit, dass Anwender von FRITZ!Box Cable nichts machen müssen und mussten. Bislang sei auch kein Missbrauch bekannt. Hier sind also alle Provider am Zug, hier muss dann offenbar entsprechende Firmware auf die Boxen, wenn dann alle diese haben, können wohl die alten Zertifikate gesperrt werden.