Kuinka turvallinen on VDSL2-modeemi (TeleWell TW-EV902)?

[kessil]

Tarvitsen VDSL2-yhteyteen modeemin ja reitittimen. Ajattelin ensin ostaa yhdistelmälaitteen, mutta minulle suositeltiin erillistä modeemia ja reititintä, mikä alkoikin tuntua paremmalta vaihtoehdolta, kun reitittimille jää enemmän vaihtoehtoja.
Hinnan ja suht hyvien arvioiden vuoksi TW-EV902 kiinnostaisi modeemina.

TeleWell TW-EV902 VDSL2-modeemi 103,99

VDSL2 pääte, jossa keskustila ja asiakaslaitetila vakiona. Laite soveltuu kaikille VDSL2 -yhteyksille. Laite on puhdas silta. Voidaan käyttää myös COAX-verkossa erikseen tilattavalla adapterilla. ( Ethernet-yhteys huoneesta toiseen COAX-kaapelin kautta)

www.verkkokauppa.com

En vain tunne näitä laitteita riittävän hyvin että ymmärtäisin kahden laitteen kombon merkityksen tietoturvan kannalta. Sen tiedän, että tuommoiseen modeemiin ei saa laittaa mitään suojatonta laitetta kiinni. Mutta onko modeemi itsessään tietoturvariski, jos sen päähän kuitenkin laittaa reitittimen palomuureineen ja muut laitteet kiinni reitittimeen?

Eli voiko joku haavoittuvuus ja/tai hyökkääjä saada sen modeemin tekemään jotain epätoivottua? Onko oma sisäverkko tuommoisen Telewellin ja reitittimen takana ihan yhtä turvassa kuin yhdistelmälaitteen takana?

Mitä muuten tarkoittaa Verkkiksen kuvauksessa: ”Laite on puhdas silta.”?

Jotain ”kauhujuttuja” onnistuin itse löytämään (esim alla), mutta en oikein tajua onko nämä tuohon Telewelliin verrattavia laitteita vai jotenkin monimutkaisempia.

Intrusion Prevention | FortiGuard Labs

This indicates an attack attempt to exploit an Authentication Bypass Vulnerability in FiberHome VDSL2 Modem HG 150-UB devices.The vulnerability is ...

www.fortiguard.com

On the Recent DSL Modem Vulnerabilities | Rapid7 Blog

www.rapid7.com

 

[kurkimies]

@kessil Tässä on hyvä artikkeli siltauksesta ja reitityksestä:

https://elektronikkari.vuodatus.net/lue/2018/04/siltaus-ja-reititys

 

[Leo_Greta]

Tarvitsen VDSL2-yhteyteen modeemin ja reitittimen. Ajattelin ensin ostaa yhdistelmälaitteen, mutta minulle suositeltiin erillistä modeemia ja reititintä, mikä alkoikin tuntua paremmalta vaihtoehdolta, kun reitittimille jää enemmän vaihtoehtoja.
Hinnan ja suht hyvien arvioiden vuoksi TW-EV902 kiinnostaisi modeemina.

TeleWell TW-EV902 VDSL2-modeemi 103,99

VDSL2 pääte, jossa keskustila ja asiakaslaitetila vakiona. Laite soveltuu kaikille VDSL2 -yhteyksille. Laite on puhdas silta. Voidaan käyttää myös COAX-verkossa erikseen tilattavalla adapterilla. ( Ethernet-yhteys huoneesta toiseen COAX-kaapelin kautta)

www.verkkokauppa.com

En vain tunne näitä laitteita riittävän hyvin että ymmärtäisin kahden laitteen kombon merkityksen tietoturvan kannalta. Sen tiedän, että tuommoiseen modeemiin ei saa laittaa mitään suojatonta laitetta kiinni. Mutta onko modeemi itsessään tietoturvariski, jos sen päähän kuitenkin laittaa reitittimen palomuureineen ja muut laitteet kiinni reitittimeen?

Eli voiko joku haavoittuvuus ja/tai hyökkääjä saada sen modeemin tekemään jotain epätoivottua? Onko oma sisäverkko tuommoisen Telewellin ja reitittimen takana ihan yhtä turvassa kuin yhdistelmälaitteen takana?

Mitä muuten tarkoittaa Verkkiksen kuvauksessa: ”Laite on puhdas silta.”?

Jotain ”kauhujuttuja” onnistuin itse löytämään (esim alla), mutta en oikein tajua onko nämä tuohon Telewelliin verrattavia laitteita vai jotenkin monimutkaisempia.

Intrusion Prevention | FortiGuard Labs

This indicates an attack attempt to exploit an Authentication Bypass Vulnerability in FiberHome VDSL2 Modem HG 150-UB devices.The vulnerability is ...

www.fortiguard.com

On the Recent DSL Modem Vulnerabilities | Rapid7 Blog

www.rapid7.com

Modeemi ei tee mitään muutakuin muuntaa sen puhelinverkosta tulevan yhteyden ethernetiksi. Modeemissa itsessään ei ole siis mitään mitä vastaan hyökätä kun se vain tyhmä laite.

 

[MrPumpkin]

Modeemi ei tee mitään muutakuin muuntaa sen puhelinverkosta tulevan yhteyden ethernetiksi. Modeemissa itsessään ei ole siis mitään mitä vastaan hyökätä kun se vain tyhmä laite.

Noin puhtaan siltauksen kohdalla. Mutta entäs jos siltaus on toteutettu IP passthroughlla, kuten eräissä 4G modeemeissa?

 

[kurkimies]

Noin puhtaan siltauksen kohdalla. Mutta entäs jos siltaus on toteutettu IP passthroughlla, kuten eräissä 4G modeemeissa?

No tuo Telewell TW-EV902 VDSL2-modeemi kanssa tulee ihan aito siltaus eikä IP passthroughlla toteutettu ja yleensä kiinteissä verkoissa toimii siltaus ihan okein eikä noin kuten 4G-vehkeissä.

 

[mikajh]

Mitä muuten tarkoittaa Verkkiksen kuvauksessa: ”Laite on puhdas silta.”?

Joissakin reitittimissä, joissa on VDSL-modeemi, on toimintoja, joilla yhden tai useamman LAN-portin voi sillata WAN-porttiin. Muut portit ovat natattuja, ja reititin varaa yhden IPv4:n.
Tuossa nimenomaisessa laitteessa tällaisia toimintoja ei ole, joten se on käytännössä vähemmän haavoittuva (jos ollenkaan). Ainoat älytoiminnot rajoittuvat siihen, että se tarjonnee jotain diagnostiikkatietoa VDSL2:sta ja sisältänee siten web-hallinnan LAN-puolelle

EDIT: Taitaapa tuo TW-‐EV902 olla niin "tyhmä" (ts. turvallinen), että siinä ei ole minkäänlaista web-hallintaa

 

[kessil]

Ainoat älytoiminnot rajoittuvat siihen, että se tarjonnee jotain diagnostiikkatietoa VDSL2:sta ja sisältänee siten web-hallinnan LAN-puolelle

EDIT: Taitaapa tuo TW-‐EV902 olla niin "tyhmä" (ts. turvallinen), että siinä ei ole minkäänlaista web-hallintaa

Hetken jo säikähdin kun luulin, että siinä on jotain softaa, eli ymmärtääkseni samalla rajapintaa jollekin hyökkäykselle. Mutta hyvä jos on tyhmä laite.
Semmoisen vielä unohdin kysyä että jos tuollaista yhteyttä testaa ilman reititintä, riittääkö Windowsin palomuuri. Siis tietokone suoraan modeemiin kiinni.

 

[mikajh]

os tuollaista yhteyttä testaa ilman reititintä, riittääkö Windowsin palomuuri. Siis tietokone suoraan modeemiin kiinni.

Hätätapauksessa, kunhan varmistaa, että Windowsin palomuuri on siinä asennossa, että kyseinen verkko on Julkinen (ei Lähiverkko)

 

[Kautium]

Hetken jo säikähdin kun luulin, että siinä on jotain softaa, eli ymmärtääkseni samalla rajapintaa jollekin hyökkäykselle. Mutta hyvä jos on tyhmä laite.
Semmoisen vielä unohdin kysyä että jos tuollaista yhteyttä testaa ilman reititintä, riittääkö Windowsin palomuuri. Siis tietokone suoraan modeemiin kiinni.

Kaikissa laitteissa on jotain softaa, kun eivät ne ilmankaan voi toimia, mutta mitä vähemmän on hallittavuutta, sitä vähemmän on koodia ja sitä kautta hyökkäyspintaa. Ei se ihan näin suoraviivaista todellisuudessa ole, mutta sinnepäin. Tietoturvamielessä se modeemi ei ole ongelma.

Siltaavan laitteen taakse on suositeltavaa laittaa joku reititin, joka muodostaa sen sisäverkon ja johon laitteet kytkeytyvät. Se lisää tietoturvaa laitteesta ja asetuksista riippuen ja mahdollistaa yleensä myös useamman laitteen liittämisen kuin jos ne kytkisi suoraan modeemiin.

Jos kytket tietokoneen suoraan siihen siltaavaan modeemiin, se saa verkko-osoitteen suoraan operaattorilta ja on sitä kautta haavoittuvaisemmalla alueella. Windowsin palomuuri on kyllä riittävä, jos käyttäjä ymmärtää mitä tekee, mutta suosittelen laittamaan siihen väliin jonkin reitittimen ja sillä luomaan oman sisäverkon (ja siitä huolimatta pitämään sen palomuurin päällä).

 

[kessil]

Kiitos kaikille vastauksista, nyt asia paljon selkeämpi!