בחודשיים האחרונים נתקלתי בבעיית אבטחה חמורה בהגדרת הרשת שאצלי (תשתית בזק).

במספר מועט של פעמים, שמתי לב שהגדרת ההצפנה של הרשת האלחוטית ב-D-Link 2650u הפכה מ-WPA2 ל-OPEN באופן עצמאי...

תחילה הייתי מבקש מכל מי שיש ברשותו ראוטר של D-Link ויודע שהרשת האלחוטית שלו מוגדרת כמוצפנת, לבדוק אם זה לא השתנה לרשת פתוחה מעצמו, או מי שכבר שם לב לתופעה שכזו אצלו בעבר, לדווח כאן בשרשור.

כיוון שמדובר ב-WEP2 ובסיסמה חזקה (המוגדרת מ-12 תווים ומעלה) ובנוסף גם סיסמא חזקה ל-Admin, ומשום שהגולשת היחידה היא אימי, ואין מישהו שפיזית הגיע לראוטר, נשללת האפשרות שמישהו פרץ לראוטר דרך הרשת האלחוטית או הקווית.

החשודה העיקרית שנשארה היא בזק, ע"י גישה מרוחקת לראוטר שלי דרך הקו בפרוטוקול TR-069 (כתוצאה למשל מעדכוני תוכנה מרוחקים או שינויי הגדרות גורפים וכו'), בשילוב של באג כלשהו בתוכנת הראוטר או אצלם בשרתי ה-TR-069.

כיוון שגרסת הראוטר שלי היא BZ_1.15, לא ניתן לבצע ביטול של פרוטוקול זה, כפי שניתן בגרסאות ישנות יותר (אולי אפשרי דרך TELNET, אבל לא מצאתי איך).

לאור האמור החלטתי להתקשר לתמיכת בזק בעניין.

כמובן שבזק מייד טענו שזה לא מהצד שלהם, וכנראה שהבעיה היא מהצד שלי, למשל שמישהו פרץ - טענת קסם שעובדת כמעט על כל אחד (לפי מה שקראתי באינטרנט, WPA2 ניתנת לפריצה ע"י BRUTE-FORCE בלבד, כך שעבור סיסמה חזקה זה ייקח כמה אלפי שנים טובות לביצוע על חומרה חזקה).

כיוון שמראש ציפיתי לתגובה שכזו, ולאחר מעבר לתומך בכיר, פשוט ביקשתי לחסום גישה לפרוטוקול TR-069 בראוטר, כי חשבתי שאולי הוא בתור משתמש SUPPORT כן יכול לבצע זאת, או לחילופין לאפשר לי לשנות את סיסמת משתמש ה-SUPPORT. לאחר בדיקה התברר שגם הוא לא יכול להגדיר את הראוטר לחסום את ה-TR-069, ואין לו אפשרות לשנות לי את סיסמת ה-SUPPORT.

כאלטרנטיבה לחסימת הפרוטוקול אצלי בראוטר, הציע התומך לבצע מחיקה של פרופיל הראוטר אצלם במערכות, כך שברגע שלא קיים פרופיל שכזה, לא יכולה להתבצע כל גישה משרתי בזק אל הראוטר, ורק איפוס הגדרות בראוטר (קרי, לחיצה על כפתור ה-RESET הפנימי, זה שנדרשת סיכה לצורך לחיצה עליו), יביא לרישום הפרופיל מחדש.

הסכמתי, ונפרדנו לשלום.

כחצי שעה לאחר מכן החלטתי לבדוק האם באמת אין גישה לראוטר מהשרתים של בזק, וניגשתי לדף הגדרות הראוטר שנעשה דרך השרתים של בזק, שמן הסתם משתמש בפרוטוקול TR-069 לצורך הגדרת הראוטר מהצד של בזק, ובאמת קיבלתי הודעת שגיאה: "לקוח יקר, שלב ההתקנה לא עבר בהצלחה, אנא פנה למוקד 166 לקבלת סיוע", כלומר השרתים שלהם לא יכלו לגשת לתוך הראוטר ולכן נתקבלה השגיאה.

ליתר ביטחון החלטתי לבצע כיבוי והדלקה של הראוטר, כדי לראות שגם זה לא משפיע, אבל לצערי התבדתי. לא רק שלאחר הכיבוי ניתן היה לגשת לדף הנ"ל, אלא שבנוסף לכך שוב קרתה התופעה שבגללה החלה כל הסאגה - הרשת האלחוטית השתנתה שוב מרשת מוצפנת לגלויה(!!!) כתוצאה מהתהליכים הנ"ל, כל שאר ההגדרות נותרו כפי שהיו קודם.

הפעם שכבר יש לי הוכחה לאקדח המעשן, שוב התקשרתי לבזק.

לא עלה בידי לשוחח שוב עם התומך הקודם, והפעם נטען בפני ש:

א. הפרופיל עדיין לא רשום, ולכן לשרתים של בזק אין גישה בכלל לראוטר שלי.

ב. הגישה שביצעתי לדף ההגדרות שציינתי קודם לכן (זה שנמצא בשרתים של בזק), גרם לרישום מחודש של הפרופיל (אז איך זה מסתדר עם סעיף א'? זה גם לא מסתדר עם הטענה של התומך הקודם שאמר בפירוש שרק אחרי לחיצה על RESET, יתבצע רישום מחודש).

ג. ה-TR-069 לא חסום מהשרת הספציפי שמחובר לאתר הנ"ל אם אני ניגש אליו באופן יזום (גם לא מסתדר עם א').

ד. אם היה באג אצלנו אז כבר היו מתקשרים אלינו עוד אנשים (מה לא יכול להיות שאני הראשון שמדווח? כאילו לא יכול להיות קיים באג שמופיע בתדירות נמוכה, שעוד לא דווח).

ה. הבעיה היא כנראה בראוטר ולא אצלנו - תחליף ראוטר (זה מה שאעשה, אבל זה מכיוון שככה הם דורשים לפני שהם יהיו מוכנים לעשות בדיקות אצלם, מה גם שכיוון שזו בעיה שמופיעה בתדירות נמוכה, עד הפעם הבאה שזה יקרה, אני אצטרך לעבור שוב על כל הסאגה הזאת...).

מה אתם חושבים, יש מישהו שבאמת יודע איך הדברים עובדים שם, והאם זה מתאים למה שנאמר לי?

יש למישהו אולי רעיון למשהו אחר שאני יכול לעשות (למשל חסימת TR-069 ב-TELNET) שעוד לא ניסיתי?

תודה.

אני לא חושב שיש דרך למחוק אותך בשום צורה ממערכת הTR כי ברגע שאתה מחובר לאינטרנט המערכת אוטומטית מזהה אותך ומתחברת אותך.

עצתי לבעיה שלך שקודם נסה לשדרג גירסת קושחה כי יש 1.16, לא בטוח שזה יעזור משהו אבל שווה לנסות אולי היה באמת איזה באג שתוקן.

אם לא עזר קיים סיכוי סביר שבאמת יש בעיה בנתב ולך תחליף אותו.

fatbox, תודה, עדכנתי. אני לא חושב שהעדכון הזה עוזר לבעיה הספציפית שתיארתי, ולמען האמת גם לא שהראוטר עצמו תקול. הדברים הבאים יבהירו למה אני חושב שיותר סביר שזו בעיה בצד של בזק.

העלתי את הבעיה שלי במקביל בפורום הרשתות של hometheater.co.il, ושם אחד החברים אמר משהו שהביא לי רעיון לבדיקה.

שיחקתי עוד קצת עם דף ההגדרות של בזק וראיתי שכאשר אני מבצע הגדרה שלא קשורה להגדרה של הרשת האלחוטית, למשל הוספת הפניית פורט חדשה, בינגו! הדבר שוב מחזיר לי את הרשת האלחוטית ממוצפנת לפתוחה!!! (אגב, גם אם היא לא מוגדרת כלל כפתוחה בדף ההגדרות שלהם).

ניחוש שלי - השגרה שלהם שיושבת על השרתים שלהם ומבצעת שינויי הגדרות בראוטר שלי דרך TR-069, מגדירה גם את הרשת האלחוטית כפתוחה, גם אם היא לא נתבקשה בכלל. במילים אחרות - באג.

אני משער לי שהבאג הזה קיים גם כאשר מועברות הגדרות אחרות, ולכן כנראה זו הייתה הסיבה שהרשת האלחוטית שלי הפכה להיות גלויה "באופן עצמאי" בפעמים הקודמות.

(בתמיכה אומרים שבזק לא ניגשת אף פעם להגדרות הראוטר שלא באופן יזום כשהם מול הלקוח, אבל אני לא מאמין להם. לדוגמה הראוטר שלי עודכן אוטומטית ביולי מבלי ליידע אותי, אז אולי ישנם עוד דברים.)

כמובן ששוב התקשרתי לבזק.

עכשיו כשיש לי יכולת להראות ולשחזר את הבאג, שכנראה אשם בהפיכת הרשת האלחוטית שלי לגלויה בפעמים הקודמות (וכנראה גם לחלק מכם שלא יודעים על כך בכלל...), בטוח יקשיבו לי הפעם. אתם יודעים מה? אפילו יכו על חטאי העבר....

מהר מאוד החזירו אותי לקרקע המציאות - שוב נאמר לי שלא יכול להיות שיש באג וזה כנראה הראוטר, "ובכלל אנחנו תמיכה טכנית שלא מתעסקים בבאגים, אלא בתמיכה מול הלקוחות. באגים זה פניות הציבור, אז יש משהו שאני כן אוכל לעזור לך?"... אולי תנסה לשחזר איתי את הבאג ביחד שיהיה לך מושג למה אני מתכוון ולא תהיה מקובע בתשובות שלך, ואולי אחר כך כשתבין על מה אני מדבר אז תדווח על הבאג הלאה למי שאמור לתקן אותו??? (בכל אופן ככה זה בתמיכה היכן שאני עובד...)

אין עליהם...

בנוסף, מתוך כל ההתמזמזות עם הדבר, עלתה בי פתאום ההכרה שיש כאן בעיית אבטחה נוספת בפני עצמה - דף ההגדרות של בזק, מאפשר לכל אחד ברשת המקומית להכנס ולהגדיר בה דברים, גם אם אין לו הרשאה!

כאשר אני מגדיר סיסמה ל-Admin בראוטר, אני בעצם מתכוון שאף אחד לא יוכל להגדיר הגדרות חוץ ממני. באה בזק, ומשנה סדרי עולם - כל אחד ברשת שלך יכול מעתה לשנות הגדרות דרכינו ואפילו לא נבקש ממך סיסמה. איזה יופי!

אתה אומר את זה לתמיכה של בזק, והתשובה: "כן אנחנו מאפשרים לכל אחד ברשת המקומית לשנות את ההגדרות, אבל זה נועד רק להגדרות ראשוניות, ולא אמורים לגשת לדף הזה מעבר לכך. ובכלל זו רשת מקומית מאובטחת אז מה יש לך לדאוג?" באמת? יופי, עכשיו לך תגיד את זה למי שעלול להכנס ולשנות דברים בזדון (אולי החברים של הילד שלך שבאים לבקר עם הלפטופ של אבא?)... ואגב גם הבאג הנוסף שלכם, זה שדיברתי עליו קודם, גם קצת מקל על כניסה לזרים לא קרואים...

הקיצר, כל שנותר לי כרע זה להפנות את פניות הציבור שלהם, אל התכתובת הזאת כאן שבשרשור, ונראה מה יעשו.

עדכונים - לכשיבואו...

יש לי את אותו הראוטר . אומנם אין לי בעיה שהרשת פתוחה ככה פתאום .

אבל זה באמת קטע דפוק !!!!!!!

אני בכלל לא השתמשתי בממשק של בזק כדי להגדיר את הראוטר . פשוט נכנסתי ל 10.0.0.138 והגדרתי שם הכל

עכשיו התחברתי עם הנייד באלחוטי . ויש לציין שהוא מפורמט מאתמול. פעם ראשונה שאני נכנס להגדרות של הראוטר

ולא התחברתי ל 10.0.0.138

נכנסתי חלק לממשק ניהול של בזק בלי סיסמא בלי כלום בחרתי "ללא סיסמא" ובום זה פתח לי את הראוטר .

מזל שאני המשתמש היחידי ברשת בבית .

מוזר, לי יש NETGEAR של בזק.

וכניסה כרגע לכתובת של הרשת הביתית שאמורה להיות מוצפנת, יש הודעת שגיאה :

"לקוח יקר, שלב ההתקנה לא עבר בהצלחה, אנא פנה למוקד 166 לקבלת סיוע",

מיותר לציין שהרשת כרגע עובדת ...

קודם כל אני חייב לציין שTR זו אחלה מערכת. נכון מידי פעם אפשר למצוא בה באגים אבל בגדול היא עושה חיים קלים לבזק וללקוחות.

80% מהאנשים אין להם מושג בכל מה שקשור להגדרת רשת ודרך הTR אפשר פשוט להגדיר להם הכל בדקות ספורות.

אתה באמת מציג פה נושא שצריך להבדק, הבעיה היא שרוב שאת הנציגים שאתה מגיע אליהם זה לא מעניין.

אתה צריך פשוט להתעקש לדבר עם בכיר ולבצע איתו את הבדיקות. אם באמת יתגלה שזה באג אני מאמין שכבר אותו בכיר ידאג להעביר את זה למי שצריך והנושא יטופל.

במקום כל הבלאגן עם בזק תנסה פשוט לעדכן לגרסת קושחה המקורית של DLINK. לדעתי זה יפתור לך את כל הבעיות הTR.

המשך השתלשלות האירועים ופתרון זמני שחוסם את השרתים של בזק מלהתעסק עם הראוטר, ניתן לקרוא כאן:

http://www.hometheater.co.il/vt131102

המשך השתלשלות האירועים ופתרון זמני שחוסם את השרתים של בזק מלהתעסק עם הראוטר, ניתן לקרוא כאן:

http://www.hometheater.co.il/vt131102

איזה קטע יש לי בדיוק את אותה הבעיה כמו שלך !!! ההצפנה אחרי שבוע בערך סתם ככה נעלמת !!!! מה יש לעשות מצאת פתרון ?