הסרה אוטומטית של הצפנת הרשת האלחוטית - באג בבזק או בראוטר D-Link 2650U?

oreach · שליחה 31/12/2010 16:24

בחודשיים האחרונים נתקלתי בבעיית אבטחה חמורה בהגדרת הרשת שאצלי (תשתית בזק).
במספר מועט של פעמים, שמתי לב שהגדרת ההצפנה של הרשת האלחוטית ב-D-Link 2650u הפכה מ-WPA2 ל-OPEN באופן עצמאי...

תחילה הייתי מבקש מכל מי שיש ברשותו ראוטר של D-Link ויודע שהרשת האלחוטית שלו מוגדרת כמוצפנת, לבדוק אם זה לא השתנה לרשת פתוחה מעצמו, או מי שכבר שם לב לתופעה שכזו אצלו בעבר, לדווח כאן בשרשור.

כיוון שמדובר ב-WEP2 ובסיסמה חזקה (המוגדרת מ-12 תווים ומעלה) ובנוסף גם סיסמא חזקה ל-Admin, ומשום שהגולשת היחידה היא אימי, ואין מישהו שפיזית הגיע לראוטר, נשללת האפשרות שמישהו פרץ לראוטר דרך הרשת האלחוטית או הקווית.

החשודה העיקרית שנשארה היא בזק, ע"י גישה מרוחקת לראוטר שלי דרך הקו בפרוטוקול TR-069 (כתוצאה למשל מעדכוני תוכנה מרוחקים או שינויי הגדרות גורפים וכו'), בשילוב של באג כלשהו בתוכנת הראוטר או אצלם בשרתי ה-TR-069.
כיוון שגרסת הראוטר שלי היא BZ_1.15, לא ניתן לבצע ביטול של פרוטוקול זה, כפי שניתן בגרסאות ישנות יותר (אולי אפשרי דרך TELNET, אבל לא מצאתי איך).

לאור האמור החלטתי להתקשר לתמיכת בזק בעניין.

כמובן שבזק מייד טענו שזה לא מהצד שלהם, וכנראה שהבעיה היא מהצד שלי, למשל שמישהו פרץ - טענת קסם שעובדת כמעט על כל אחד (לפי מה שקראתי באינטרנט, WPA2 ניתנת לפריצה ע"י BRUTE-FORCE בלבד, כך שעבור סיסמה חזקה זה ייקח כמה אלפי שנים טובות לביצוע על חומרה חזקה).
כיוון שמראש ציפיתי לתגובה שכזו, ולאחר מעבר לתומך בכיר, פשוט ביקשתי לחסום גישה לפרוטוקול TR-069 בראוטר, כי חשבתי שאולי הוא בתור משתמש SUPPORT כן יכול לבצע זאת, או לחילופין לאפשר לי לשנות את סיסמת משתמש ה-SUPPORT. לאחר בדיקה התברר שגם הוא לא יכול להגדיר את הראוטר לחסום את ה-TR-069, ואין לו אפשרות לשנות לי את סיסמת ה-SUPPORT.

כאלטרנטיבה לחסימת הפרוטוקול אצלי בראוטר, הציע התומך לבצע מחיקה של פרופיל הראוטר אצלם במערכות, כך שברגע שלא קיים פרופיל שכזה, לא יכולה להתבצע כל גישה משרתי בזק אל הראוטר, ורק איפוס הגדרות בראוטר (קרי, לחיצה על כפתור ה-RESET הפנימי, זה שנדרשת סיכה לצורך לחיצה עליו), יביא לרישום הפרופיל מחדש.
הסכמתי, ונפרדנו לשלום.

כחצי שעה לאחר מכן החלטתי לבדוק האם באמת אין גישה לראוטר מהשרתים של בזק, וניגשתי לדף הגדרות הראוטר שנעשה דרך השרתים של בזק, שמן הסתם משתמש בפרוטוקול TR-069 לצורך הגדרת הראוטר מהצד של בזק, ובאמת קיבלתי הודעת שגיאה: "לקוח יקר, שלב ההתקנה לא עבר בהצלחה, אנא פנה למוקד 166 לקבלת סיוע", כלומר השרתים שלהם לא יכלו לגשת לתוך הראוטר ולכן נתקבלה השגיאה.

ליתר ביטחון החלטתי לבצע כיבוי והדלקה של הראוטר, כדי לראות שגם זה לא משפיע, אבל לצערי התבדתי. לא רק שלאחר הכיבוי ניתן היה לגשת לדף הנ"ל, אלא שבנוסף לכך שוב קרתה התופעה שבגללה החלה כל הסאגה - הרשת האלחוטית השתנתה שוב מרשת מוצפנת לגלויה(!!!) כתוצאה מהתהליכים הנ"ל, כל שאר ההגדרות נותרו כפי שהיו קודם.

הפעם שכבר יש לי הוכחה לאקדח המעשן, שוב התקשרתי לבזק.

לא עלה בידי לשוחח שוב עם התומך הקודם, והפעם נטען בפני ש:

א. הפרופיל עדיין לא רשום, ולכן לשרתים של בזק אין גישה בכלל לראוטר שלי.
ב. הגישה שביצעתי לדף ההגדרות שציינתי קודם לכן (זה שנמצא בשרתים של בזק), גרם לרישום מחודש של הפרופיל (אז איך זה מסתדר עם סעיף א'? זה גם לא מסתדר עם הטענה של התומך הקודם שאמר בפירוש שרק אחרי לחיצה על RESET, יתבצע רישום מחודש).
ג. ה-TR-069 לא חסום מהשרת הספציפי שמחובר לאתר הנ"ל אם אני ניגש אליו באופן יזום (גם לא מסתדר עם א').
ד. אם היה באג אצלנו אז כבר היו מתקשרים אלינו עוד אנשים (מה לא יכול להיות שאני הראשון שמדווח? כאילו לא יכול להיות קיים באג שמופיע בתדירות נמוכה, שעוד לא דווח).
ה. הבעיה היא כנראה בראוטר ולא אצלנו - תחליף ראוטר (זה מה שאעשה, אבל זה מכיוון שככה הם דורשים לפני שהם יהיו מוכנים לעשות בדיקות אצלם, מה גם שכיוון שזו בעיה שמופיעה בתדירות נמוכה, עד הפעם הבאה שזה יקרה, אני אצטרך לעבור שוב על כל הסאגה הזאת...).

מה אתם חושבים, יש מישהו שבאמת יודע איך הדברים עובדים שם, והאם זה מתאים למה שנאמר לי?
יש למישהו אולי רעיון למשהו אחר שאני יכול לעשות (למשל חסימת TR-069 ב-TELNET) שעוד לא ניסיתי?

תודה.

מספיקלי · שליחה 31/12/2010 16:59

אני לא מומחה כמוך וחצי ממה שכתבת אני בכלל לא מבין אבל יש לי גם נתב כזה
ואצלי הגדרתי WPA2+PSK מהיום הראשון.

בעבר היה לי רק מקרה אחד שגיליתי שזה נעלם ונפתח, חשבתי שזה קרה כי הנתב היה מנותק ושכח את ההגדרות.
מאז זה לא קרה שוב, הנתב מחובר לנייח ולאנונה עם כבל רשת ולנייד בWIFI.
בנייד אני רואה שהרשת מופיעה כמוגנת.

- כשאני משתמש בלינק שנתת BNET, מופיעים לי נתוני הנתב אבל מופיע ש"הגנת הרשת לא פעילה"
אבל כשאני נכנס לנתב באדמין אני רואה שכן מופעל WAP2+PSK
אז מה זה אומר?

Elad8 · שליחה 31/12/2010 17:05

אצלי מעולם לא קרה שהאבטחה החליטה להעלם מעצמה, זה תמיד על WPA2.

רוביןהוד · שליחה 31/12/2010 18:13

oreach · שליחה 01/01/2011 14:23

מספיקלי, אכן יש חוסר סינכרון בין דף ההגדרות של בזק לבין ההגדרות האמיתיות של הראוטר - מה שהביא לי רעיון לבדיקה.

שיחקתי עוד קצת עם דף ההגדרות של בזק וראיתי שכאשר אני מבצע הגדרה שלא קשורה להגדרה של הרשת האלחוטית, למשל הוספת הפניית פורט חדשה, בינגו! הדבר שוב מחזיר לי את הרשת האלחוטית ממוצפנת לפתוחה!!! (אגב, גם אם היא לא מוגדרת כלל כפתוחה בדף ההגדרות שלהם).
ניחוש שלי - השגרה שלהם שיושבת על השרתים שלהם ומבצעת שינויי הגדרות בראוטר שלי דרך TR-069, מגדירה גם את הרשת האלחוטית כפתוחה, גם אם היא לא נתבקשה בכלל. במילים אחרות - באג.

אני משער לי שהבאג הזה קיים גם כאשר מועברות הגדרות אחרות, ולכן כנראה זו הייתה הסיבה שהרשת האלחוטית שלי הפכה להיות גלויה "באופן עצמאי" בפעמים הקודמות.
(בתמיכה אומרים שבזק לא ניגשת אף פעם להגדרות הראוטר שלא באופן יזום כשהם מול הלקוח, אבל אני לא מאמין להם. לדוגמה הראוטר שלי עודכן אוטומטית ביולי מבלי ליידע אותי, אז אולי ישנם עוד דברים.)

כמובן ששוב התקשרתי לבזק.
עכשיו כשיש לי יכולת להראות ולשחזר את הבאג, שכנראה אשם בהפיכת הרשת האלחוטית שלי לגלויה בפעמים הקודמות (וכנראה גם לחלק מכם שלא יודעים על כך בכלל...), בטוח יקשיבו לי הפעם. אתם יודעים מה? אפילו יכו על חטאי העבר....

מהר מאוד החזירו אותי לקרקע המציאות - שוב נאמר לי שלא יכול להיות שיש באג וזה כנראה הראוטר, "ובכלל אנחנו תמיכה טכנית שלא מתעסקים בבאגים, אלא בתמיכה מול הלקוחות. באגים זה פניות הציבור, אז יש משהו שאני כן אוכל לעזור לך?"... אולי תנסה לשחזר איתי את הבאג ביחד שיהיה לך מושג למה אני מתכוון ולא תהיה מקובע בתשובות שלך, ואולי אחר כך כשתבין על מה אני מדבר אז תדווח על הבאג הלאה למי שאמור לתקן אותו??? (בכל אופן ככה זה בתמיכה היכן שאני עובד...)

אין עליהם...

בנוסף, מתוך כל ההתמזמזות עם הדבר, עלתה בי פתאום ההכרה שיש כאן בעיית אבטחה נוספת בפני עצמה - דף ההגדרות של בזק, מאפשר לכל אחד ברשת המקומית להכנס ולהגדיר בה דברים, גם אם אין לו הרשאה!
כאשר אני מגדיר סיסמה ל-Admin בראוטר, אני בעצם מתכוון שאף אחד לא יוכל להגדיר הגדרות חוץ ממני. באה בזק, ומשנה סדרי עולם - כל אחד ברשת שלך יכול מעתה לשנות הגדרות דרכינו ואפילו לא נבקש ממך סיסמה. איזה יופי!

אתה אומר את זה לתמיכה של בזק, והתשובה: "כן אנחנו מאפשרים לכל אחד ברשת המקומית לשנות את ההגדרות, אבל זה נועד רק להגדרות ראשוניות, ולא אמורים לגשת לדף הזה מעבר לכך. ובכלל זו רשת מקומית מאובטחת אז מה יש לך לדאוג?" באמת? יופי, עכשיו לך תגיד את זה למי שעלול להכנס ולשנות דברים בזדון (אולי החברים של הילד שלך שבאים לבקר עם הלפטופ של אבא?)... ואגב גם הבאג הנוסף שלכם, זה שדיברתי עליו קודם, גם קצת מקל על כניסה לזרים לא קרואים...

הקיצר, כל שנותר לי כרע זה להפנות את פניות הציבור שלהם, אל התכתובת הזאת כאן שבשרשור, ונראה מה יעשו.

עדכונים - לכשיבואו...

מספיקלי · שליחה 01/01/2011 16:36

מעניין OREACH שאתה מזכיר טיפול בפורטים...
מה שמצאתי כשנכנסתי לנתב דרך הBNET שלא מופיע שם פורט שפתחתי לתוכנה ספציפית שקיימת לי על הנייד בלבד
אבל בכניסה דרך האדמין אני כן רואה את הפורט הזה.

בקיצור סלט, כנס בהם OREACH !!!
ושאלת תם, למה בכלל צריכה להיות גישה דרך BNET?

truejoker · שליחה 01/01/2011 23:42

oreach יש מצב שאולי תוכל להסביר למאותגר טכנולוגי כמוני , איך זה שבדף של בזק , מופיע שידור אלחוטי פעיל אם הלחצן שעל הנתב שלי כבוי ?
דהיינו כיביתי את האפשרות לאלחוטי ?
כמו כן האם ניתן משם לשנות את זה ?
כלומרא הם מאפשרים לי לכבות את זה , האם לעשות את זה גם מהצד שלהם ?
והאם לעשות הגנת רשת מאצלהם ?
בתודה מראש

truejoker · שליחה 02/01/2011 22:39

אני רוצה להעלות את זה ולכן אשאל בפוסט חדש .
מישהו מצא שאפשר למעשה לעשות האקינג של כול האיננטרנט שלך ע"י מישהו שיגיע אליו קרוב הבייתה ויתחבר לאתר (הוא אפילו לא צריך שיהיה WIFI בשביל זה (ואני באמת לא רוצה להסביר , המבין יבין )?
אני חושב שצריך לוודא שלא יוכלו לעשות זאת , וצריך לפנות לבזק על זה

zovirax · שליחה 02/01/2011 23:09

oreach - תשמע ...

שלושה ראוטרים של DLINK באותו שבוע איפסו את הסיסמה.
כמובן שאחרי האיפוס סיסמה המחשבים הניידים שמוגדרת אצלם סיסמה לא הצליחו להתחבר - לכן קראו לי לסדר להם.

זה לא קורה רק אצלך.

truejoker · שליחה 03/01/2011 0:08

הבעיה היא לא רק איפוס סיסמא , הבעיה יכולה להיות כזו שיקחו לך הכול

Lee · שליחה 03/01/2011 3:21

oreach

גם לי קרה כבר מספר פעמים בנתב המדובר (D-Link 2650U) שהרשת עברה עצמאית מ- WPA-2 לרשת פתוחה ללא אבטחה. לדעתי אצלי זה קורה לאחר איתחול של הנתב ע"י התוכנה JDownloader (שמוגדרת לבצע איתחול נתב לצורך קבלת IP חדש). כמובן שלאחר שהרשת הופכת לפתוחה, המחשב לא מצליח להתחבר אליה מחדש, ולפעמים נותר כך לילה שלם, עד שאני שם לב לכך בבוקר... מעצבן!!!

מיותר לציין שבנתבים אחרים שברשותי (3COM) כבר זמן רב, מעולם לא התרחשו בעיות מסוג זה.
בכלל, זה אחד הנתבים היותר גרועים שנתקלתי בהם : כמו שהוזכר, לא תמיד קיים סינכרון בין ההגדרות בפורטל BNET (המיותר לחלוטין), לבין ההגדרות בממשק -הנתב - למשל בפתיחת פורטים.

עוד דבר חמור - למרות שעברתי על ממשק הנתב הלוך ושוב לא מעט פעמים, לא מצאתי שקיימת אפשרות לשנות את ברירת המחדל של היוזר / סיסמה של הכניסה לממשק הנתב (Admin / Admin) - שזו אמורה להיות הפעולה הראשונה והבסיסית בכל נתב עוד לפני הגדרת הצפנה!
מישהו מצא דרך לעשות זאת בנתב הנ"ל?
בעיה נוספת שנתקלתי בה אך ורק עם הנתב הזה כשהוא עובד באלחוטי, היא ככל הנראה התנגשות של התדרים עם הטלפון האלחוטי עד כדי חוסר יכולת לדבר בו בצורה נורמלית בשל ההפרעות.
לא עזר ששיניתי ערוצי אלחוט בראוטר ובטלפון, ושהגדרתי עוצמת שידור קטנה יותר בראוטר - הבעיה בעינה עומדת (כ"כ מיקרופילטרים קיימים על כל השקעים).
כמובן שגם בעיה זו יחודית רק לראוטר של בזק ולא קיימת עם ראוטרים אחרים שברשותי.
לסיכום, נתב לא משהו...

שליחה 03/01/2011 5:17

זה קרה לי פעם בTP-LINK 841 שלא קשור להוט/בזק ונקנה בחנות, הדבר היחיד שפתר את זה היה להחליף לנתב חדש.

שליחה 03/01/2011 8:08

אני קיבלתי מבזק את ה DSL-2760U. אחרי יומיים החזרתי את ה Netgear הישן חזרה. באופן כללי היה לי נסיון רע עם הנתבים וה AP של D-Link ואני מעדיף להתרחק ממוצרי חברה זו.

sam22 · שליחה 03/01/2011 8:18

Catskinner כתב:אני קיבלתי מבזק את ה DSL-2760U. אחרי יומיים החזרתי את ה Netgear הישן חזרה. באופן כללי היה לי נסיון רע עם הנתבים וה AP של D-Link ואני מעדיף להתרחק ממוצרי חברה זו.
...

יש לי את ה2760 והוא עובד מעולה כבר שנתיים (אני חושב)
בהתחלה היו בעיות שדרשו עדכון קושחה
ולאחר העדכון, הוא מעולה

שליחה 03/01/2011 8:27

קיבלתי אותו חדש לפני 3 חודשים ולי הוא נפל והתנתק פעמיים ביום.

sam22 · שליחה 03/01/2011 9:47

לא שזה ממש משנה כבר...
אבל עדכנת לו קושחה?

שליחה 03/01/2011 12:42

לא, וגם מעולם לא ניסיתי להנשים גופה. כפי שאמרת - זה כבר לא אקטואלי.

sam22 · שליחה 03/01/2011 12:45

Catskinner כתב:לא, וגם מעולם לא ניסיתי להנשים גופה. כפי שאמרת - זה כבר לא אקטואלי.
...

אני פותח את הבוקר בהנשמת גופה. מומלץ

Lee · שליחה 03/01/2011 12:52

מישהו מצא דרך לשנות את היוזר וסיסמת ברירת המחדל (Admin / Admin) בנתב הזה (D-Link 2650U) ?

oreach · שליחה 03/01/2011 14:56

zovirax ו-Lee,
תודה על הפידבק, זה מאוד עוזר שהם רואים שיש עדויות נוספות לבעיה.

truejoker,
ההסבר המתבקש לחוסר הסינכרון בין המידע שבדף של בזק, לבין מה שמוגדר בפועל אצליך נובע מבאגים, כפי שבעיה שציינתי גם מושפעת מבאג... היכן בדיוק הבאג נמצא (במערכות שלהם או בקושחת הראוטר), זה תפקידה של בזק למצוא ולתקן.

Lee,
שינוי סיסמת ה-Admin נעשית ב-Management/Access Control/Passwords, אבל כמו שציינתי זה לא ימנע מאחרים ברשת שלך לבצע שינויים בהגדרות דרך הדף של בזק.

בכל אופן, קצת עדכונים:

בזק התקשרו אלי בבוקר, רוצים לנסות להגדיר ביחד איתי חסימה לפרוטוקול TR-069. לפי הבחור שעמו שוחחתי, האופצייה רק הוסרה מהתפריט הראשי, אבל ניתן לגשת אליה באופן ישיר לכתובת URL מסויימת בראוטר שבה ניתן לשנות את ההגדרות. ביקשתי שישלח אלי את הכתובת במייל שאוכל לבדוק זאת עצמאית, כיוון שלא אהיה ליד הראוטר עד סוף השבוע (שיושב אצל אימי), אך עדיין לא שלח.

אעדכן אותכם בהמשך.