Google: automatische router-updates erg belangrijk
Een ernstig beveiligingslek in de OnHub-router van Google dat eerder dit jaar werd ontdekt kon binnen een paar dagen bij alle gebruikers worden gepatcht doordat het apparaat over een automatische updatefunctie beschikt, wat volgens Google het belang van automatische router-updates aantoont.
Veel routers kampen namelijk met beveiligingsproblemen en zelfs als de fabrikant een update hiervoor uitbrengt, wordt die vaak niet door gebruikers geïnstalleerd. "Als het updaten niet automatisch gebeurt, doen veel mensen geen moeite", zegt Chris Millikin van Google. Daardoor zijn er inmiddels zeer grote botnets van gehackte routers die worden gebruikt voor het uitvoeren van grootschalige ddos-aanvallen. Waar computers, programma's en smartphones in steeds meer gevallen automatisch worden bijgewerkt, geldt dat nog altijd niet voor apparaten zoals routers.
De OnHub-router beschikt hier wel over en dat maakt een groot verschil, stelt Millikin. Eerder dit jaar werd er een ernstige kwetsbaarheid in de GNU C-softwarebibliotheek ontdekt die ook in het apparaat aanwezig is. Door de automatische updatefunctie kon het probleem bij alle OnHub-routers in een paar dagen worden gepatcht. "De meeste routers vereisen actieve tussenkomst van de gebruiker om tegen dit soort dreigingen te beschermen", gaat Millikin verder. Dat automatische updates een "unique selling point" van een router kunnen zijn bleek ook eind vorig jaar bij de aankondiging van de Turris Omnia. Deze router beschikt namelijk ook over automatische updates en zal in oktober worden geleverd.
Automatisch aanbieden van updates helemaal voor. Echter het door laten voeren zonder dat de eindgebruiker (eigenaar) er van weet is weer een stap te ver. Zou een gebruiker/eigenaar bijvoorbeeld een bepaalde configuratie er op na willen houden dan is dit het recht van de gebruiker/eigenaar dit te kunnen willen behouden.
Automatisch updating kan ook worden aangeboden met een opt-in voor het ook uitvoeren van het firmware.
Router fabrikanten halen nog wel eens bestaande features weg met motivaties als "wettelijke bepalingen", claims
van anderen (rechten op software of protocollen), of domweg omdat er niet genoeg geheugen meer is nadat er andere
features zijn toegevoegd.
Als een bestaande gebruiker een update installeert moet die wel de kans krijgen om de release notes te lezen en af
te wegen of deze update wel geinstalleerd moet worden of dat dit moet worden uitgesteld tot er andere maatregelen
genomen zijn of de hele router vervangen kan worden.
Een automatische update functie moet minstens optioneel zijn.
Met het toenemen van internet apparaten (IoT), waar routers ook toe behoren, lukt het de normale sterveling het echt niet om dit allemaal up to date te houden. Het is te complex. En het zijn teveel apparaten op den duur.
Twee dingen zijn nodig:
1. Het vertrouwen in de fabrikant dat hij het ook goed doet. Dus geen backdoors, en geen rare fratsen zoals HP deed.
2. De termijn waarop je over updates kunt beschikken. Dat is dan gelijk aan de veilige levensduur, je moet weten waar je aan toe bent. Ter plekke verzonnen idee nog: Een verplicht rood ledje dat gaat branden als de ondersteuning opgehouden is, zou een goed plan kunnen zijn.
Ik gebruik graag DD-WRT op routers. Geweldig besturingssysteem voor routers is dat. Maar helaas het updaten gaat niet automatisch. Dat is echt een tekortkoming.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.