Probleme grave securitate ONT ZTE 6605R

[andreivna]

Buna seara,

Va scriu referitor la echipamentul oferit la pachet cu serviciul Fibra 2300 si anume ZTE 6605R.

De aproximativ o luna ma confrunt cu un atac asupra sistemului de supraveghere din locatie si am identificat cateva brese majore de securitate si anume: utilizatorul nu are acces din interfata routerului la functia Firewall (pentru a o seta dupa nevoile proprii si a spori protectia) si mai mult, functia UPnP (Universal Plug and Play) care se ocupa de crearea de legaturi intre dispozitive din aceeasi retea si mapari automate de porturi pe router se reactiveaza automat dupa fiecare restart al echipamentului, lucru EXTREM DE PERICULOS!

Cum putem proceda, cum procedati dvs, ceilalti clienti si ce parere are compania care furnizeaza aceste echipamente (Orange Romania)?

Conform ANCOM, utilizatorul trebuie sa aiba acces deplin pe interfata de administrare si nu sa fie limitat asa cum se procedeaza la momentul de fata.

Multumesc!

[Gabubu]

Salut Andrei,

Si eu sunt client Orange, am abonament de Fibra 1000 cu acelasi router ZTE + aceeasi interfata, dar nu am patit niciodata ca UPnP-ul sa imi fie activat by default. Ba din contra, imi vine non-stop dezactivat la fiecare resetare cand sun la Serviciul Clienti pentru deranjament.

Iar la partea cu "acces deplin pe interfata de administrare" trebuie sa gandim ca producatorul de router nu este Orange, ci ZTE. Deci la aceasta zona, ZTE raspunde de cum lanseaza firmware-ul pentru acel router si care sunt optiunile pentru un end-useri. Tot odata, optiuni pentru Firewall se regaseste la tabul "Internet", urmat de "Security".

Eventual daca intampini probleme, este recomandat sa apelezi la Serviciul Clienti prin chat sau telefonic.

[FaneSauGicu]

Intr-o lume normala, ZTE este producatorul hardware-ului si "scriitor" de firmware. Functionalitatile echipamentului ar trebui sa fie dictate de capabilitatile hardware si cerintele clientului, in cazul de fata Orange.

Problema intervine cand (aproape) tot ceea ce conteaza este costul. Ah, era sa uit, ... si filosofia (inexistenta) de securitate. Nu trebuie sa mergi prea departe ca sa-i descoperi lipsa. Adica pana-n Anglia, nu in China. 

Las mai jos un raport al GCHQ, pentru cine are chef sa-l citeasca. Pe scurt: "Mai Huawei, daca vrei matale sa te punem provider de infrastructura in telecomunicatii, trebuie sa fiti auditati si sa patch-uiti ce va cerem." Hai noroc! Cu un centru deschis special in Anglia pentru task-ul asta si pe chinezi ii durea la bashcheti.

Si noi vrem ce? Cand un serviciu de securitate iti zice sa faci xyz (ca sa ramai in sistem) si pe tine te doare in "spate"... Noi vrem ca un firmware pentru un client, fie si Orange, sa fie bullet proof dpdv securitate? Aham... Nu. 🙂  

https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/7274...

[andreivna]

Salut Gabubu,

Eu am Fibra 2300 cu ZTE 6605R iar la rubrica specificata nu se regaseste nimic referitor la Firewall.

UPnP, la mine, dupa fiecare restart, revine pe ON, il opresc manual.

Producatorul este intr-adevar ZTE insa firmware-ul este personalizat Orange/OROC si de aici lipsa de optiuni, nu este softul de baza, din fabrica.

Cat despre Serviciul Clienti, mai bine ne lipsim, nu exista asa ceva!

[Razvan]

Salutare! Pentru acces total la sistemul de supraveghere prin internet se recomandă configurarea unui router personal după ONT, care va avea setări personalizate configurate de utilizator. Nu se pot da drepturi de administrare unui user la un echipament deținut de operatorul de telecomunicații care furnizează acel serviciu. Tot ce poate face Orange este să facă un update de soft la echipament, astfel încât să nu mai fie vulnerabil, însă nu va putea da acces cu drepturi de administrare niciunui utilizator.

[andreivna]

Salut! Multumesc pentru raspuns!

Nu gasesc nicaieri mentionat ca nu am dreptul la acces total pe echipament, reteaua de dupa echipament este personala, este ca si la utilitati, o configurez dupa nevoi/bunul plac.

Eu sunt de parere ca este abuziva aceasta practica, nu multi utilizatori acceseaza interfata de administrare si in principiu cine "umbla" are habar despre ce este vorba si ce face.

Eu am trecut prin toate tehnologiile de la RTC pana acum la Orange si am avut mereu admin mai putin pe S@gemcom dar si acolo aveam firewall configurabil si puteam salva config-ul.

Atat timp cat echipamentul se poate reseta la setarile din fabrica, in caz de configurare gresita, nu vad de ce nu as avea acces complet.

M-am lamurit pana la acest moment de capabilitatile serviciului tehnic Orange, asa ca nu am asteptari la actualizari (ar putea macar sa faca vizibila utilizatorului partea de firewall, cum era pe @5655).

P.S: Alt router dupa cel furnizat presupune costuri si nu vad de ce trebuie furnizorul sa constranga utilizatorul atat timp cat serviciile sunt pe bani.

Sanatate!

[Pololică]

Salutare!

Pentru siguranta si securitatea propriei  infrastructuri, cele mai bune masurile sunt cele proprii. Eu nu ma bazez pe securitatea venita de la operator intrucat (evident, e un pas in plus), in cazul in care crapa ceva la furnizor, degeaba vin toate asigurarile din lume daca nu am protejat ce aveam interes sa protejez. Eu am routerul furnizorului in mod bridge si am pus router care sa suporte protocoalele de securitate pe care le-am dorit (evident, nu sunt de nivel NASA, dar, in caz de atac, cam sare prima capsa de control...).

Legat de configurarea de catre client: nu este deloc recomandabil ca clientul sa aiba acces la toate setarile de securitate ale routerului intrucat poate strica ceva si va trebui sa intervina un operator sau chiar o echipa tehnica, si care interventie poate fi necesara in alta parte. Nu stiu daca 90% din clienti stiu ce se intampla dupa modificarea setarilor. Plus ca aparatura este, de obicei, pusa la dispozitie gratuit.

Legat de ANCOM: care este baza legala pe care o invoci? Chiar as vrea sa frunzaresc baza legala.

[andreivna]

Salut,

Am scris mai sus, atat timp cat tu nu poti resofta echipamentul ca user si faci config gresit, cu reset de fabrica se rezolva, asadar nu se justifica limitarea.

Cat despre ANCOM, voi cauta prin "hartii" ca este din 2019 treaba de la o reclamatie veche.

Cele bune!

[Pololică]

Nu e grabă, tot aici ma găsești. Doar sunt curios. Am accesat site-ul ancom și am citit puțin în diagonală și tare îmi e ca e ceva ce e într-un ordin actualizat cu altul (ca la noi...). 

[andreivna]

Salut,

Voi cauta, intre timp am cautat pe internet fugitiv si am mai citit despre limitari si drepturi una alta dar caut ceva solid, 

Cele bune!

[smilemp13]

Salut,

Cum ai reușit să îl pui în mod bridge? Te referi la ZTE 6605R??? Eu cred că am dat zeci de telefoane la 300 și îmi tot spun că nu se poate pune în mod bridge și că trebuie să aștept un nou firmware și/sau eventual un nou tip de router. 

Ce-i drept nu am reușit să vb cu cineva de la tehnic. Mereu când dau tel la 300 îmi răspunde cineva care se pretinde că este de la tehnic, cer la tehnic și îmi spun că ei sunt TEHNIC, foarte neserioși.

Mulțumesc!

[FaneSauGicu]

Salut!

Da, e vorba de un ZTE F6605R si am rezolvat sunand la ei/trimitand un mesaj. Dar, cum spui si tu, nu a fost usor.

[smilemp13]

Scuze,

Când ai trecut in mod bridge? Eu ultima data am vb la 300 săptămâna trecută, si au spus că nu se poate.

In acest moment am:

• Software Version: ZTEGF660504RT

Tu ce versiune ai?

Ca sa fie confuzia si mai mare OrangeAssistant in conversația din linkul de mai jos spune 
ca nu se poate.

Rezolvat: ZTE F6605 in bridge (OROC) - Comunitatea Orange

Multumesc.

[FaneSauGicu]

Salut!

Cam acum o luna. (nu mai stiu exact data)

In bridge mode nu pot sa vad ce versiune de software am, ZTE-ul devenind un fel de "transceiver". Nu mai am acces sa intru in el.

Se prea poate ca intre timp sa fi iesit un nou firmware si/sau sa fi actualizat ceva la ei in infrastructura.

[smilemp13]

NU știu ce sa cred, am vb cu un operator si îmi spune ca toți cei de pe forum care pretind ca au in bridge, de fapt sunt modate/hackerite de clienți, cine minte!??. Am un răspuns si de pe softpedia unde cineva cu acest tip de router a pus poze unde demonstrează ca e in bridge, tot degeaba... răspunsul e același... acest router nu se poate pune in bridge.