Sicherheitslücken in Kabel-Routern von Vodafone

Kunden des Anbieters Vodafone bzw. früher Kabel Deutschland, welche dessen Kabelnetz verwenden, können entsprechende Router des Unternehmens mieten und nutzen. Dabei stellt Vodafone die Basismodelle kostenfrei zur Verfügung – jedoch ist das Wi-Fi-Modul über die Software gesperrt. Wer jenes nutzen will, muss pro Monat zwei Euro rausrücken. Allerdings sind jene Kunden offenbar von einem eklatanten Sicherheitsproblem betroffen, wie die Kollegen von Heise berichten. Nicht tangiert werden immerhin diejenigen, die sich selbst einen anderen Wi-Fi-Router drangehängt haben.

Geprüft wurden die drei Standard-Router. Laut Heise waren zwei davon akut durch eine Sicherheitslücke gefährdet. Wer also die Wi-Fi-Option dazubucht, bucht unfreiwillig auch zwei Schwachstellen mit. Das öffnet Hackern Tür und Tor, um die Netzwerke zu übernehmen. Angreifer in Reichweite können drahtlos mitsurfen, den Datenverkehr mitlesen und sogar manipulieren sowie andere im Netzwerk angemeldete Geräte attackieren.

Betroffen sind die beiden Modelle CVE-30360 des Herstellers Hitron und der CH6640E der Firma Compal Broadband Networks (CBN). Vodafone verteilt auch noch einen weiteren Router der Firma Technicolor – allerdings hat jener wohl nur eine geringe Verbreitung. Daher ist derzeit offen, ob auch jenes Modell von den Sicherheitslücken betroffen ist. Für fünf Euro im Monat erhalten die Kunden übrigens eine Kabel-Fritzbox, welche ausdrücklich nicht in der Problematik steckt, so Heise.

Das konkrete Problem betrifft übrigens die WPS-PIN, welche man aus der MAC-Adresse des Routers berechnen kann, wenn man sich in Funkreichweite befindet. So kommt man dann ans Wi-Fi-Passwort im Klartext. Das Prinzip ist so einfach, dass man die PIN sogar über einen Taschenrechner ermitteln könnte: So ergibt die zweite Hälfte der MAC-Adresse umgerechnet von Hex- in Dezimalschreibweise und auf die letzten sieben Stellen verkürzt die ersten sieben Stellen der WPS-PIN. An die achte Stelle kommt man dann noch einfacher, da es sich um die WPS-Checksumme handelt, die sich aus dem zuvor errechneten Teil generieren lässt.

Die zweite Schwachstelle ist eine Pixiedust-Attacke und gestaltet sich komplexer, kann aber auch von frei verfügbaren Tools wie pixiewps übernommen werden. Man nutzt hier aus, dass die Zufallszahlen der WPS-PIN eigentlich keine sind, sondern sich vorhersehbar gestalten. Erneut kommt man so über die aufgebrochene WPS-PIN an die Wi-Fi-Passwörter im Klartext. Das Knacken dauert selbst an betagter Hardware mit den Tools weniger als eine Sekunde.

Besonders brisant ist, dass die Angreifbarkeit allgemein hoch ist, denn die Router richten bei gebuchter Wi-Fi-Option einen Hotspot ein, den andere Vodafone-Kunden nutzen dürfen. Jene Hotspots kann man ganz einfach über die Provider-Website aufstöbern und auf einer Google-Karte präzise lokalisieren. Damit verschaffen sich Dritte ironischerweise benutzerfreundlich einen Überblick über verwundbare Geräte.

Kleiner Trost: Bei den CBN-Routern kann man WPS deaktivieren. Bei den Hitron-Routern bleibt die Hoffnung, bereits eine neue Firmware erhalten zu haben. So hatte Heise Vodafone bereits am 1. September 2015 über das Problem informiert – lange vor Publizieren des aktuellen Berichts zu den Sicherheitslücken. Die ersten Updates hat Vodafone ab Anfang Oktober ausgerollt, allerdings noch nicht an alle Geräte. So soll das Procedere sich bis Ende 2015 hinziehen. Ob man selbst bereits eine sichere Firmware nutzt, erkennt man daran, dass die WPS-PIN-Funktion dann bereits in der Oberfläche als Option entfernt wurde.

Laut Heise verharmlose Vodafone das Problem aktuell jedoch, da der Anbieter von „weit unter 1000“ betroffenen Routern spreche. Es seien in der Praxis allerdings laut eigenen Untersuchungen mit Sicherheit weit mehr Geräte tangiert – vermutlich fast alle der ca. 1 Mio. Kunden mit gebuchter Wi-Fi-Option. Wer sich absichern will, bevor die Firmware seitens Vodafone zur Verfügung steht, kann an den CBN-Routern das WPS-Verfahren deaktivieren. Beim Hitron-Modell hilft das Aktivieren der Push-Button-Methode (PBC).

Wer auf das ganze Brimborium so oder so keine Lust hat, sollte einen eigenen Access-Point einsetzen – dann entfallen als weiterer Anreiz außerdem die monatlichen Zusatzgebühren.