ZTE F601 אבטחה

elxyzad · שליחה 14/08/2023 19:56

14/08/2023 19:48
DanielGR כתב: פרוטוקולים של אימות לא מעבירים ססמאות כטקסט גלוי. ישנה אפשרות לבצע החלפת מפתחות באופן מאובטח - למשל Diffie helman. ברגע שה-payload מוצפן ואין את המפתח אי אפשר לעשות עם זה הרבה. אבל ברגע שאין הצפנה וזה המצב כנראה אז כל זה לא רלוונטי, התעבורה לא מאובטחת. ולסייג: אני לא חוקר אבטחה ולא מתיימר להיות מומחה בתחום
...

איך זה סותר את התרחיש שתיארתי? אני לא צריך לדעת מה הסיסמא, רק להעביר את הפקטה ולדאוג שהתשובה תחזור אליי. כמו שכבר הבנת אי אפשר להצפין headers

Guy775 · שליחה 16/08/2023 0:18

האם שימוש ב-VPN (שמוגדר בראוטר עצמו, זה שבא אחרי הממיר), אכן פותר את בעיית האבטחה?
(אני לא מתכוון ל-NordVPN ודומיו, אלא ל-VPN שמוגדר ברמת הראוטר הפרטי).

ועוד דבר, ראיתי שבתפריט של הממיר, יש מקום להגדרת WAN.
אני מעוניין להשתמש בו כברידג' ולכן, אני מניח, שאין צורך להגדיר שם את ה-WAN, אלא בראוטר הפרטי שלי, שבא אחריו?

לגבי המהירות (או יותר נכון הקצב), האם ממיר של 1Gb/s תומך במהיריות נמוכות יותר?

Guy775 · שליחה 16/08/2023 0:32

13/08/2023 20:37
DanielGR כתב: עוד אפשרות היא שירות VPN כמו NORDVPN. אז התעבורה באמת מוצפנת...
זה כמובן כרוך בתשלום, ויש שתי אפשרויות לעבוד עם זה:
1. להתקין על כל מחשב ברשת, זה די פשוט
2. להתקין על הנתב, זה פחות טריוויאלי, לא על כל נתב אפשר. במידה ויש עניין אוכל להכין מדריך להתקנת NORDVPN על נתבים המריצים OPENWRT עם Wireguard
...

אפשר להתקין VPN (פרטי) על נתב שתומך בזה.
זה לא עולה כסף (פרט למחיר הנתב).
זה אולי בטוח יותר מ-VPN של NORDVPN ודומיו, כיוון שזה לא עובר דרכם.

DanielGR · שליחה 16/08/2023 1:53

13/08/2023 16:25
DanielGR כתב: פרוטוקול PPPOE מגדיר שירותים אופציונאלים כמו הצפנה ודחיסה, ההצפנה מוגדרת ב-RFC-1968. ראה גם כאן

https://www.techtarget.com/searchnetwor ... tion/PPPoE

לגבי מי מצפין, בוודאי שלא ה-bridge: בנתב ישנו PPPOE Client אשר יוזם את התקשורת ובמידה ויש הצפנה הוא מצפין. נוצר PPPOE Tunnel עד ל-PPPOE server. מה שעובר ב-ZTE זה ה-Tunnel.

מה שבכוונתי לעשות זה לקחת לוג של PPPOE ולבדוק האם ב-negotiation מתבצעת גם הצפנה

עריכה: צריך לרדת לפרטים להבין בדיוק מה אופציונאלי ומה קיים:

https://www.geektime.co.il/israeli-rese ... ber-optic/
...

דוגמא לקונפיגורציה של PPPOE Router OS Mikrotik

image.png

הנתב תומך בהצפנה של PPPOE וניתן לקנפג בהתאם, הבעיה שבזק לא תומכים/לא מיישמים. לאחר Negotiation אין הצפנה

DanielGR · שליחה 16/08/2023 2:05

16/08/2023 0:18
Guy775 כתב: האם שימוש ב-VPN (שמוגדר בראוטר עצמו, זה שבא אחרי הממיר), אכן פותר את בעיית האבטחה?
(אני לא מתכוון ל-NordVPN ודומיו, אלא ל-VPN שמוגדר ברמת הראוטר הפרטי).
...

למה כוונתך "אלא ל-VPN שמוגדר ברמת הראוטר הפרטי"?

16/08/2023 0:18
Guy775 כתב: ועוד דבר, ראיתי שבתפריט של הממיר, יש מקום להגדרת WAN.
אני מעוניין להשתמש בו כברידג' ולכן, אני מניח, שאין צורך להגדיר שם את ה-WAN, אלא בראוטר הפרטי שלי, שבא אחריו?
...

אכן כן

16/08/2023 0:18
Guy775 כתב: לגבי המהירות (או יותר נכון הקצב), האם ממיר של 1Gb/s תומך במהיריות נמוכות יותר?
...

הרשת והחיבור לממיר במקרה הזה מסונכרנת על 1Gbps, המהירויות הנמוכות יותר מתקבלות על ידי הגבלה של קצב הפקטות על ידי הספקית (אם הבנתי נכון כוונתך לחבילת שירות מהספקית אשר נמוכה מ-1Gbps)

elxyzad · שליחה 16/08/2023 5:59

16/08/2023 0:18
Guy775 כתב: האם שימוש ב-VPN (שמוגדר בראוטר עצמו, זה שבא אחרי הממיר), אכן פותר את בעיית האבטחה?
(אני לא מתכוון ל-NordVPN ודומיו, אלא ל-VPN שמוגדר ברמת הראוטר הפרטי).

ועוד דבר, ראיתי שבתפריט של הממיר, יש מקום להגדרת WAN.
אני מעוניין להשתמש בו כברידג' ולכן, אני מניח, שאין צורך להגדיר שם את ה-WAN, אלא בראוטר הפרטי שלי, שבא אחריו?

לגבי המהירות (או יותר נכון הקצב), האם ממיר של 1Gb/s תומך במהיריות נמוכות יותר?
...

לא, כי עדיין יש תקשורת לא מוצפנת, זאת שיוצאת החוצה. זאת אומרת שיש תקשורת מוצפנת אבל במקביל גם לא.
שרת vpn לוקאלי הוא מצוין להרבה תרחישים, אבל לא לזה.

Guy775 · שליחה 16/08/2023 11:20

16/08/2023 5:59
elxyzad כתב: לא, כי עדיין יש תקשורת לא מוצפנת, זאת שיוצאת החוצה. זאת אומרת שיש תקשורת מוצפנת אבל במקביל גם לא.
שרת vpn לוקאלי הוא מצוין להרבה תרחישים, אבל לא לזה.
...

לדעתי;
אם הממיר מעביר את ה-DATA כשהיא מגיעה אליו וממנו, כאשר היא כבר מוצפנת (VPN), אז גם אם הממיר
מתפקד כ- "man in the middle" - ה-DATA שהוא "רואה" חסר ערך, שהרי הוא מוצפן (ע"י ה-vpn client,
ששולח את הבקשה לראוטר בדרך הלוך, והן ע"י הראוטר, וששולח את התשובה לבקשה).

elxyzad · שליחה 16/08/2023 11:32

16/08/2023 11:20
Guy775 כתב: לדעתי;
אם הממיר מעביר את ה-DATA כשהיא מגיעה אליו וממנו, כאשר היא כבר מוצפנת (VPN), אז גם אם הממיר
מתפקד כ- "man in the middle" - ה-DATA שהוא "רואה" חסר ערך, שהרי הוא מוצפן (ע"י ה-vpn client,
ששולח את הבקשה לראוטר בדרך הלוך, והן ע"י הראוטר, וששולח את התשובה לבקשה).
...

כמו שאמרתי כבר, הצפנה לא פותרת את כל בעיות האבטחה שיש. נכון שאני לא יכול לראות את הpayload עצמו, אבל יש עוד הרבה דברים שאפשר לעשות איתם. תקרא על replay attack למשל

NACHUM37 · שליחה 16/08/2023 17:32

13/08/2023 20:37
DanielGR כתב: עוד אפשרות היא שירות VPN כמו NORDVPN. אז התעבורה באמת מוצפנת...
זה כמובן כרוך בתשלום, ויש שתי אפשרויות לעבוד עם זה:
1. להתקין על כל מחשב ברשת, זה די פשוט
2. להתקין על הנתב, זה פחות טריוויאלי, לא על כל נתב אפשר. במידה ויש עניין אוכל להכין מדריך להתקנת NORDVPN על נתבים המריצים OPENWRT עם Wireguard
...

נראה לי שאפשר לחשוש לגבי ספק VPN מסחרי לא פחות מ ZTE הזה.
קישור רלוונטי: https://gist.github.com/joepie91/5a9909939e6ce7d09e29

אם באמת התעבורה לבזק לא מוצפנת כל מכשיר בדרך יכול לעשות דברים זדוניים. חבל שאי אפשר להסניף בקלות את ה GPON אחרי ה ONT.
אגב, באותה מידה המודם הסלולרי של המכשיר הסלולרי של כל אחד יכול לעשות מה שהוא רוצה, ובלי ציוד LTE מתאים אין אפשרות לבדוק את זה.

Elnatan_isr · שליחה 16/08/2023 20:37

אני קצת מבולבל....
מה המסקננ הסופית פה?פשוט להישאר עם הממיר של בזק וה״בי סייבר״ המעצבן שלהם?
יש לי nord vpn אבל כפי שחשבתי, זה אולי רק יצפין את המידע שלי אבל לא סוגר את הרשת שלי מהתקפות אפשריית.

שליחה 16/08/2023 20:45

אתה יכול להיות די בטוח שלא תותקף, אתה לא נמצא על הכוונת של אף אחד.

Elnatan_isr · שליחה 17/08/2023 9:36

שאלה אחרת בערך באותו נושא, האם מתגים חכמים סיניים מהווים סכנת אבטחה? אני לא מדבר על מתגים עם OTA אלא כאלה שישובים על הרשת הביתית. והאם הם יושבים על homekit מהווה בטחון כלשהוא בעניין?

שליחה 17/08/2023 9:40

יש הרבה אנשים שיגגלו ויביאו לך קישורים מלפני כמה שנים על בעיות אבטחה בנתבים, אבל בתכלס, אנשים כאן ובעולם עם נתבים סינים כבר מספר שנים ללא שום בעיה.

נתב ה- Huawei AX3 Pro הוא אחד הכי נמכרים בקרב חברי האתר:
viewtopic.php?f=62&t=345150

Haimbin · שליחה 17/08/2023 10:27

המסקנה מכל זה שתמיד אפשר למצוא סיבה לפחד ולהיות פרנואיד לא עוזר לאף אחד. תקנה ציוד פרטי וראוטר שאפשר להצפין דרכו את התעבורה דרך VPN לבחירתך ועשית 90% מהעבודה. תזכור - אתה אחד מבערך 5 מיליארד משתמשי אינטרנט.

שליחה 17/08/2023 10:29

וגם אם לא תצפין שום תעבורה (בדיוק ההתנהגות של רוב האנשים), לא יקרה שום דבר.

DanielGR · שליחה 17/08/2023 19:01

17/08/2023 9:36
Elnatan_isr כתב: שאלה אחרת בערך באותו נושא, האם מתגים חכמים סיניים מהווים סכנת אבטחה? אני לא מדבר על מתגים עם OTA אלא כאלה שישובים על הרשת הביתית. והאם הם יושבים על homekit מהווה בטחון כלשהוא בעניין?
...

ראה פוסט כאן והודעות המשך:
viewtopic.php?p=3298488#p3298488

Elnatan_isr · שליחה 27/08/2023 20:58

תודה רבה לכולם!