Abo
  • Services:

AVM im Interview: Vier externe Sicherheitsfirmen haben den Bug nicht gefunden

Die Sicherheitslücke in den Fritzboxen ist geschlossen, aber das ist für AVM noch nicht das Ende des Vorfalls. Im Interview mit Golem.de erklärt das Unternehmen, warum die Updates so schnell erschienen und wie solche Fehler in Zukunft vermieden werden sollen.

Artikel veröffentlicht am ,
Fritzbox-Modelle von AVM
Fritzbox-Modelle von AVM (Bild: Avm.de)

Über 80 Updates in zehn Tagen - das ist die Bilanz nach der Entdeckung einer Sicherheitslücke in beinahe allen Modellen des beliebten Routers Fritzbox. Natürlich sollten solche Fehler gar nicht erst entstehen, dass AVM sie so schnell ausgebessert hat, verdient aber Anerkennung. So meldeten sich auch auf der Cebit-Pressekonferenz von AVM mehrere Journalisten zu Wort, die dem Unternehmen ausdrücklich Lob aussprachen - in dieser Form ist das recht selten.

Inhalt:
  1. AVM im Interview: Vier externe Sicherheitsfirmen haben den Bug nicht gefunden
  2. Automatische und manuelle Tests sowie Fuzzing

Golem.de wollte es aber noch etwas genauer wissen und traf AVM-Sprecher Urban Bastert und den Produktmanager Jan Schöllhammer, der bei AVM für Security zuständig ist, zu einem ausführlichen Gespräch. Schöllhammer erklärte dabei zunächst, dass AVM die Geschichte der Lücke inzwischen nachvollziehen konnte: "Diese Schwachstelle steckt in einem von uns selbst entwickelten Teil der Software. Seitdem fanden dort zweimal Neuerungen statt, der Fehler fiel aber auch dabei nicht auf. Wir testen unsere Produkte nicht nur selbst, sondern auch mit vier externen Unternehmen."

Diese Sicherheitsdienstleister, so Schöllhammer weiter, bekommen von AVM umfangreiche Dokumentationen: "Wir freuen uns über jede Lücke, die so ein Unternehmen findet". Dazu weist der Routerhersteller die externen Firmen auch stets darauf hin, an welcher Stelle Änderungen stattfanden. Im Falle der Fritzbox-Lücke war der Bug aber alles andere als trivial: "Der war tief vergraben und schwer zu finden - sowohl für uns als auch für die externen Unternehmen und auch die Angreifer. Das heißt aber auch, dass da jemand mit sehr viel Energie gesucht und es leider auch gefunden hat."

Für diese These spricht laut AVMs Security-Chef auch, dass die Lücke nicht für die Übernahme von Heimnetzen oder andere Dinge genutzt wurde, sondern sofort zu Geld gemacht werden sollte: "Die Auswertung über Mehrwertnummern ist ein relativ etablierter Weg, um Geld zu machen. Dahinter stecken kriminelle und organisierte Strukturen." Dass sich bisher bei AVM nur rund 80 von dem Telefonbetrug betroffene Kunden gemeldet haben, führt Schöllhammer auf die Mechanismen bei Providern zurück, die solche automatisierten Anwahlen auch automatisch erkennen können.

Automatische und manuelle Tests sowie Fuzzing 
  1. 1
  2. 2
  3.  


Anzeige
Hardware-Angebote
  1. ab 119,98€ (Release 04.10.)
  2. und Assassins Creed Odyssey, Strange Brigade und Star Control Origins kostenlos dazu erhalten
  3. ab 399€

kosst.amojan 29. Mär 2014

Hallo, vielleicht hast DU nur vergessen, die Ethernet-Ports auf 1Gbit zu stellen? Bei...

xmaniac 16. Mär 2014

...besteht darin das man jetzt bei einigen älteren Boxen außerhalb der Gewährleistung...

Moe479 15. Mär 2014

naja grundsätzlicher entzug und fein granulierte vergabe nur an stellen die es wirklich...

HerrMannelig 13. Mär 2014

So einfach? Ich dachte es gibt einen "echten" Exploit... aber dass man über eine URL...

Yes!Yes!Yes! 13. Mär 2014

War mir erst gar nicht aufgefallen. :)


Folgen Sie uns
       


BMW stellt seinen Formel-E-Rennwagen vor - Bericht

BMW setzt auf elektrischen Motorsport: Die Münchener treten als zweiter deutscher Autohersteller in der Rennserie Formel E an. BMW hat in München das Fahrzeug für die Saison 2018/19 vorgestellt.

BMW stellt seinen Formel-E-Rennwagen vor - Bericht Video aufrufen
Leistungsschutzrecht: So viel Geld würden die Verlage von Google bekommen
Leistungsschutzrecht
So viel Geld würden die Verlage von Google bekommen

Das europäische Leistungsschutzrecht soll die Zukunft der Presse sichern. Doch in Deutschland würde derzeit ein einziger Verlag fast zwei Drittel der Einnahmen erhalten.
Eine Analyse von Friedhelm Greis

  1. Netzpolitik Willkommen im europäischen Filternet
  2. Urheberrecht Europaparlament für Leistungsschutzrecht und Uploadfilter
  3. Leistungsschutzrecht/Uploadfilter Wikipedia protestiert gegen Urheberrechtsreform

Oldtimer-Rakete: Ein Satellit noch - dann ist Schluss
Oldtimer-Rakete
Ein Satellit noch - dann ist Schluss

Ursprünglich sollte sie Atombomben auf Moskau schießen, dann kam sie in die Raumfahrt. Die Delta-II-Rakete hat am Samstag ihren letzten Flug.
Von Frank Wunderlich-Pfeiffer

  1. Stratolaunch Riesenflugzeug bekommt eigene Raketen
  2. Chang'e 4 China stellt neuen Mondrover vor
  3. Raumfahrt Cubesats sollen unhackbar werden

Shadow of the Tomb Raider im Test: Lara und die Apokalypse Lau
Shadow of the Tomb Raider im Test
Lara und die Apokalypse Lau

Ein alter Tempel und Lara Croft: Diese Kombination sorgt in Shadow of the Tomb Raider natürlich für gewaltige Probleme. Die inhaltlichen Unterschiede zu den Vorgängern sind erstaunlich groß, aber trotz guter Ideen vermag das Action-Adventure im Test nicht so richtig zu überzeugen.
Ein Test von Peter Steinlechner

  1. Square Enix Systemanforderungen für Shadow of the Tomb Raider liegen vor
  2. Shadow of the Tomb Raider angespielt Lara und die Schwierigkeitsgrade
  3. Remasters Tomb Raider 1 bis 3 bekommen neue Engine

    •  /