Groups | Search | Server Info | Keyboard shortcuts | Login | Register [http] [https] [nntp] [nntps]

Groups > ger.ct > #289321 > unrolled thread

T-bakel

Back to article view | Back to ger.ct

Contents

  T-bakel Michael Zink <michael@swamp.franken.de> - 2016-12-22 11:02 +0100
    Re: T-bakel Holger Marzen <holger@marzen.de> - 2016-12-22 10:08 +0000
    Re: T-bakel Shinji Ikari <shinji@gmx.net> - 2016-12-22 14:50 +0100
      Re: T-bakel Gerrit Heitsch <gerrit@laosinh.s.bawue.de> - 2016-12-22 15:13 +0100
        Re: T-bakel Michael Bode <m.g.bode@web.de> - 2016-12-22 18:25 +0100
        Re: T-bakel Shinji Ikari <shinji@gmx.net> - 2016-12-22 18:31 +0100
        Re: T-bakel Holger Marzen <holger@marzen.de> - 2016-12-22 18:38 +0000

#289321 — T-bakel

Hallo,

obwohl hier heute schon die c´t 1/17 im Briefkasten lag, habe ich
nochmal eine Frage zum Bericht "T-bakel" aus der 26/16:

Da beschwert sich Fabian A. Scherschel ja darüber, daß die Telekom
nicht grundsätzlich Port 7547 (außer natürlich von den zuständigen
Konfig-Servern aus) geblockt hat.

Wie ist eure Meinung dazu?
Oder kennt jemand einen RFC o.ä., der sowas vorschreibt oder
empfiehlt?

Meine Meinung:

Es ist Aufgabe eines ISPs, Daten zu transportieren und nicht zu
filtern. Zumindest wenn nicht gerade ein entspr. Angriff läuft oder
so.

Aber den Port zu blocken, weil ein fehlerhafter Router darauf
fehlerhaft reagieren könnte, geht IMHO zu weit. Der könnte auch auf
irgendwelche anderen Pakete fehlerhaft reagieren. Also alles
vorsichtshalber sperren?

Eine Ausnahme gilt IMHO höchstens bei TR-069 o.Ä., wenn ein
"Zwangsrouter" verwendet werden muß und der definitiv diese Pakete
ignorieren soll. Dann könnte man vielleicht noch argumentieren, daß es
egal ist, ob der Router die Pakete ignoriert oder gar nicht erst
bekommt. Aber Zwangsrouter gibt es ja eigentlich nicht mehr. Also darf
ich doch ein Gerät einsetzen, daß Pakete auf diesem Port (zumindest
von anderen Servern) wie auch immer bearbeitet.

TIA

Auf Wiederlesen

Michael

-- 
Das Internet darf kein GRUNDrechtsfreier Raum werden!

[toc] | [next] | [standalone]

#289324

* On Thu, 22 Dec 2016 11:02:45 +0100, Michael Zink wrote:

> Da beschwert sich Fabian A. Scherschel ja darüber, daß die Telekom
> nicht grundsätzlich Port 7547 (außer natürlich von den zuständigen
> Konfig-Servern aus) geblockt hat.
>
> Meine Meinung:
>
> Es ist Aufgabe eines ISPs, Daten zu transportieren und nicht zu
> filtern. Zumindest wenn nicht gerade ein entspr. Angriff läuft oder
> so.
>
> Aber den Port zu blocken, weil ein fehlerhafter Router darauf
> fehlerhaft reagieren könnte, geht IMHO zu weit. Der könnte auch auf
> irgendwelche anderen Pakete fehlerhaft reagieren. Also alles
> vorsichtshalber sperren?

Ich sehe das genauso und habe einen Leserbrief losgeschickt:

Date: Sat, 10 Dec 2016 21:54:50 +0100 (CET)                                                 
From: Holger Marzen <holger@marzen.de>                                                      
To: leserbriefe@ct.de                                                                       
Subject: Macht die Schotten dicht                                                           

Kommentar von Fabian A.Scherschel in c't 26, Seite 21

Der Provider soll die Ports dichtmachen, die "wir nicht unbedingt
brauchen"? Der Provider hat überhaupt nichts dichtzumachen. Als
Sofortmaßnahme zur Schadensbegrenzung akzeptiere ich das Blockieren von
Paketen zu meiner ip-Adresse und dem Zielport TCP/7547 temporär,
keinesfalls aber als Dauerzustand und schon gar nicht als Beginn einer
Sperrorgie unter dem Vorwand des Schutzes vor unsicheren Routern. Was
kommt als nächstes? Tatsächliche oder behauptete Backdoors auf TCP/22
auf Geräten von Hersteller X, unsichere und von außen erreichbare
Webinterfaces auf TCP/80 und TCP/443 auf Geräten von Hersteller Y, und
nach und nach kommt nichts mehr bei mir an, was ich nicht ausdrücklich
angefordert habe? Vielleicht sogar nicht einmal das, weil - leider,
leider, aber nur in der besten Absicht - dabei Fehler in Ausführung und
Konzeption passieren. So nach der Art "Der Kunde braucht keine
DNS-Antworten von anderen Nameservern als unseren". Die Zensursulas
Deutschlands würden frohlocken. Man könnte eine
Cyberstabsinfrastrukturschutzfilterstelle gründen, die sich einen
Vorwand nach dem anderen ausdenken und selbstverständlich als Konsequenz
Deep Packet Inspection fordern würde. Fein alles zunageln zum heroischen
Schutz gegen Cyberterrorismus. Scherschels Forderung ist ein Bärendienst
am Kunden und ein Freibrief für Provider und Hersteller, unsichere
Router auch dann noch unbeeindruckt weiter auszurollen, wenn
Sicherheitslücken bekannt sind. Auch ist es ein Freibrief, dem Kunden
mehr und mehr Freiheiten zu nehmen. Nicht jeder zieht "optimierte"
DNS-Antworten den echten vor, und so mancher verlässt sich - wenn es um
seine Sicherheit geht - eh lieber auf einen Router mit offener Software
statt auf Sperraktionismus von Providern und deren blind eingekaufter
Mauschelsoftware.

[toc] | [prev] | [next] | [standalone]

#289388

Guten Tag

Michael Zink <michael@swamp.franken.de> schrieb

>Da beschwert sich Fabian A. Scherschel ja darüber, daß die Telekom
>nicht grundsätzlich Port 7547 (außer natürlich von den zuständigen
>Konfig-Servern aus) geblockt hat.
>Wie ist eure Meinung dazu?

zweischneidiges Schwert.
Wenn irgendetwas ohne erkennbaren Anlasss geblockt wird gibt es
bestimmt wieder jemand der deswegen zeter und mordio schreit.
Wenn nicht geblockt wird passiert eben sowas.

>Meine Meinung:
>Es ist Aufgabe eines ISPs, Daten zu transportieren und nicht zu
>filtern. Zumindest wenn nicht gerade ein entspr. Angriff läuft oder
>so.

Sehe ich aehnlich. 
Wenn sowas pauschal geblockt wird ist der SChritt zu weiteren Filtern
und so weiter nicht mehr ganz so weit...

>Aber den Port zu blocken, weil ein fehlerhafter Router darauf
>fehlerhaft reagieren könnte, geht IMHO zu weit.

Temporaer (wie aktuell) sehe ich, das als okay an. Permanent moechte
ich aber keine Blockierungen sehen/haben.

[toc] | [prev] | [next] | [standalone]

#289393

On 12/22/2016 02:50 PM, Shinji Ikari wrote:
> Guten Tag
>
> Michael Zink <michael@swamp.franken.de> schrieb
>
>> Da beschwert sich Fabian A. Scherschel ja darüber, daß die Telekom
>> nicht grundsätzlich Port 7547 (außer natürlich von den zuständigen
>> Konfig-Servern aus) geblockt hat.
>> Wie ist eure Meinung dazu?
>
> zweischneidiges Schwert.
> Wenn irgendetwas ohne erkennbaren Anlasss geblockt wird gibt es
> bestimmt wieder jemand der deswegen zeter und mordio schreit.
> Wenn nicht geblockt wird passiert eben sowas.

Vor allem, wenn der Router den Port schon belegt kannst du damit sowieso 
nichts anfangen. Mit diesem Block verlierst du also erstmal nichts. Aber 
bitte nur solange bis der Fehler behoben ist.

  Gerrit

[toc] | [prev] | [next] | [standalone]

#289434

Am 22.12.2016 um 15:13 schrieb Gerrit Heitsch:
> On 12/22/2016 02:50 PM, Shinji Ikari wrote:
>> Guten Tag
>>
>> Michael Zink <michael@swamp.franken.de> schrieb
>>
>>> Da beschwert sich Fabian A. Scherschel ja darüber, daß die Telekom
>>> nicht grundsätzlich Port 7547 (außer natürlich von den zuständigen
>>> Konfig-Servern aus) geblockt hat.
>>> Wie ist eure Meinung dazu?
>>
>> zweischneidiges Schwert.
>> Wenn irgendetwas ohne erkennbaren Anlasss geblockt wird gibt es
>> bestimmt wieder jemand der deswegen zeter und mordio schreit.
>> Wenn nicht geblockt wird passiert eben sowas.
> 
> Vor allem, wenn der Router den Port schon belegt kannst du damit sowieso
> nichts anfangen. Mit diesem Block verlierst du also erstmal nichts. Aber
> bitte nur solange bis der Fehler behoben ist.

Und wenn nicht, dann kann man was damit anfangen. Das alles wird darauf
hinauslaufen, dass es überhaupt keine eingehenden Verbindungen mehr
geben wird. Außer natürlich auf die Backdoors äh Fernwartungszugänge der
Provider.

[toc] | [prev] | [next] | [standalone]

#289437

Guten Tag

Gerrit Heitsch <gerrit@laosinh.s.bawue.de> schrieb

>> zweischneidiges Schwert.
>> Wenn irgendetwas ohne erkennbaren Anlasss geblockt wird gibt es
>> bestimmt wieder jemand der deswegen zeter und mordio schreit.
>> Wenn nicht geblockt wird passiert eben sowas.
>Vor allem, wenn der Router den Port schon belegt kannst du damit sowieso 
>nichts anfangen.

Tja, aber nicht jeder Router macht das und diese Kunden koennten dann
irritiert reagieren.

>Mit diesem Block

... des Port durch den Router...

>verlierst du also erstmal nichts.

... mit einem entsprechenden Router. Gluecklicherweise ist die
Produktionsvielfalt groesser als die verbreitung von TR-064 und
TR-069.

[toc] | [prev] | [next] | [standalone]

#289459

* On Thu, 22 Dec 2016 15:13:13 +0100, Gerrit Heitsch wrote:

> On 12/22/2016 02:50 PM, Shinji Ikari wrote:
>> Guten Tag
>>
>> Michael Zink <michael@swamp.franken.de> schrieb
>>
>>> Da beschwert sich Fabian A. Scherschel ja darüber, daß die Telekom
>>> nicht grundsätzlich Port 7547 (außer natürlich von den zuständigen
>>> Konfig-Servern aus) geblockt hat.
>>> Wie ist eure Meinung dazu?
>>
>> zweischneidiges Schwert.
>> Wenn irgendetwas ohne erkennbaren Anlasss geblockt wird gibt es
>> bestimmt wieder jemand der deswegen zeter und mordio schreit.
>> Wenn nicht geblockt wird passiert eben sowas.
>
> Vor allem, wenn der Router den Port schon belegt kannst du damit sowieso 
> nichts anfangen. Mit diesem Block verlierst du also erstmal nichts. Aber 
> bitte nur solange bis der Fehler behoben ist.

Ob der Router den Port nutzt, kannst Du selbst festlegen, wenn Du einen
eigenen, selbstverwalteten Router einsetzt.

[toc] | [prev] | [standalone]

Back to top | Article view | ger.ct

csiph-web