Router Attacke

Fräser-Angriff

dass es komplex genug ist, um einen Angriff sinnlos zu machen. Attacken auf Router Aber mit Cross Website Request Forgery (CSRF) wird der Router mit Unterstützung des Betroffenen neu programmiert, ohne dass dieser es mitbekommt. Mit CSRF nutzen Angriffe die Vorteile der trivialen Implementation von Authentisierungsfunktionen in Router, so dass der vorbereitete Verweis eines Angriffs auf einer Website ausreichend ist, um das örtliche Endgerät zu beeinflussen.

Mit Cross Website Request Forgery muss der Benutzer am Router eingeloggt sein und gleichzeitig im Netz browsen. Allerdings kann es sein, dass einige Veränderungen überhaupt keine aktivierte Session benötigen, so dass CSRF ohne Benutzerhilfe arbeitet zum Beispiel beim Linksys-Router WRT54GL die Firewalls abschaltet. Beim Router scheint es, als hätte der Benutzer den Link selbst angerufen.

Eine Grundvoraussetzung für einen gelungenen Anschlag ist jedoch, dass das betroffene Mitglied mit einem Web-Browser am Router angemeldet ist, z.B. zur Konfigurierung, und in einem anderen Browserfenster auf die vorbereitete Seite surft. Falls der Täter das Kennwort weiß oder sich noch in der Werkseinstellung befindet, muss das betroffene Mitglied nicht einmal angemeldet sein, damit der Bandentrick funktionieren kann.

Mit Hilfe von Java-Script kann sich die schädliche Website leicht authentifizieren. Daß solche Attacken bereits im Gange sind, beweist ein Beispiel in Mexiko, in dem mehrere hundert Benutzer die DNS-Einträge im Router gebogen und auf einen Namensserver von Fraudern hingewiesen wurden. Mit diesem Angriff, auch Drive-By Pharming genannt, mussten die Betroffenen nicht einmal eine vorbereitete Website abrufen, der Link war in einer HTML-Mail als Image-Tag verborgen.

Zahlreiche Router bieten Universal Plug and Play (UPnP), mit dem eine Applikation, die auf einem Computer läuft, z.B. Port-Forwarding aktiviert, über das Netz zugänglich ist. Es gibt jedoch einen Haken: Da das Script vom Mailserver des Tunichtgut kommt, kann es nicht wirklich mit dem Router kommunizieren, da die gleiche Ursprungsrichtlinie (SOP, s. Kasten) keinen Zugang erlaubt.

Um sicherzustellen, dass komplexere Änderungen, die nicht über eine einzelne URL vorgenommen werden können, weiterhin möglich sind, muss das Java-Script im Zusammenhang mit dem Router ablaufen. An dieser Stelle kommt wieder die standortübergreifende Skripterstellung ins Spiel, zum Beispiel im Authentisierungsdialog des Router. Die Manipulation mit Cross Website Request Forgery gefährdet nicht nur Router, sondern prinzipiell alle Applikationen mit einer Webschnittstelle, einschließlich Content Management Systeme, Web-Portale, P2P-Clients und so weiter.

Viel wahrscheinlicher ist es auch, dass ein Benutzer gerade angemeldet ist und in einem zweiten Browserfenster forscht, z.B. bei Google. Gerade für ausländische Kreditinstitute, die für eine Transaktion oft keine Authentisierung mit einer TAN benötigen, könnte eine Linie wie in einer unauffälligen Website eine monetäre Löschung bewirken.

Mehr zum Thema