Automatische Updates für FritzBoxen in Vorbereitung

[dil88]

Im Zusammenhang mit der Security-Diskussion im Allgemeinen und der Heartbleed-Problematik im Besonderen ging es hier im Forum auch um den schweren Fehler in der FritzBox und die Problematik, dass trotz schnellem Fix durch den Anbieter AVM immer noch Millionen FritzBoxen ungepatcht in Betrieb sind. AVM hat dies nun zum Anlass genommen, eine per default aktive automatische Firmware-Aktualisierung in die Labor-Version aufzunehmen (siehe Heise).

 

[jan_gagel]

Hallo,

also ich finde eine derartige Einstellung höchst fragwürdig. Und das, obwohl ich heute die aktuellste Laborfirmware drauf gebügelt hab. Aber bei jedem Update der Fritzbox habe ich Schweißperlen auf der Stirn und ich komme ins Grübeln "hab ich da jetzt das Richtige gemacht?". Denn was ist, wenn beim Flashvorgang was schief läuft? Eine 200 Euro-Box schnell mal vernichtet.

Die Sorge kommt nicht von Ungefähr. Denn bei einem regulären Update (ich glaube, es war sogar der oben beschriebene Fix) bootete die Box und alles schien zu funktionieren. Nur meine Internet-Verbindungsgeschwindigkeit wurde von 16.000 auf 3.000 degradiert. Durch mehrmalige Reboots und auch Stromlosmachen der Box ging die Geschwindigkeit sogar noch auf 1.000 runter, was mir auch Speedtests zeigten.

Anrufe bei Telekom, EMails an AVM usw. brachten keine Abhilfe. Auch das Einstellen der "vorigen DSL-Version" samt anderen Einstellungen brachte keine Abhilfe.

Eigentlich wollte ich schon wieder zurück zur vorigen Firmware, wenn ich nicht im Downloadverzeichnis die aktuelle Firmware gefunden hätte und einfach mal versuchte, die drüber zu flashen. Und was soll ich sagen, die Geschwindigkeit war wieder normal.

Was jetzt, wenn man bei einem automatischen Update die Box derart zerflasht?

Als ich noch im Außendienst in Sachen IT unterwegs war, habe ich nach Möglichkeit keine Firmware-Updates "draußen" gemacht. Was, wenn der Kunde der Meinung ist, ich hätte das Teil getötet?

Sicherlich für die Breite Masse interessant, ich bleibe skeptisch.

Ciao Jan

 

[dil88]

Deine Skepsis ist wohl begründet. Die Frage ist nur, was die Alternative wäre. Welche Maßnahmen können ergriffen werden, um aus Millionen von ungepatchten Routern keine "attackierenden Botnetze" zu machen? Mir fällt gerade keine bessere Formulierung ein, aber Du weisst, was ich meine.

 

[Tommes]

Denn was ist, wenn beim Flashvorgang was schief läuft?

So wie bei mir auch bereits geschehen. Nach einem Updateversuch blinkte die Info - LED an meiner 7390 lustig rot vor sich hin. Ein Anruf beim Service-Center brachte dann die Erkenntnis, das ich im Vorfeld hätte die Netzwerkkabel zu den Geräten trennen sollen, so das nur eine Verbindung zwischen Computer und Fritz!Box bestehe. Gesagt getan... danach konnte ich die Firmware einspielen. Seit dem ziehe ich vorher immer alle "nicht benötigten" Kabel, bevor ich ein Update einspiele.

Wenn AVM solch ein Update jetzt automatisch durchführen möchte, dann schlage ich jetzt schon die Hände über den Kopf zusammen.

Tommes

 

[dil88]

So wie bei mir auch bereits geschehen. Nach einem Updateversuch blinkte die Info - LED an meiner 7390 lustig rot vor sich hin. Ein Anruf beim Service-Center brachte dann die Erkenntnis, das ich im Vorfeld hätte die Netzwerkkabel zu den Geräten trennen sollen, so das nur eine Verbindung zwischen Computer und Fritz!Box bestehe. Gesagt getan... danach konnte ich die Firmware einspielen. Seit dem ziehe ich vorher immer alle "nicht benötigten" Kabel, bevor ich ein Update einspiele.

Das klingt wie ein Aprilscherz, einfach unfassbar.

 

[Tommes]

Ob das mit heutigen AVM-Updates immer noch so ist, weiß ich nicht. Mir ist das unter Fritz!OS 5.xx passiert und seit dem hab ich mich nicht mehr getraut, das Update mit verbundenen Netzwerkkabeln zu den Geräten durchzuführen. Das war damals ein Heidenaufwand. Denn wenn man kein Internet und Telefon mehr hat (Handy natürlich) und vom Support eine Mail erhält mit Infos zum Firmware-Recover und somit ja die Dateien benötigt... also erstmal zu Freunden... etc. pp.

Mir wäre da wohl einen einfache E-Mail oder von mir aus eine SMS vom AVM-Support wesentlich angenehmer.

 

[KlausKaa]

ich denke auch, dass AVM nach dem "Desaster" ein wenig überreagiert. Der Grund für die gravierenden Änderungen erschließt sich mir nicht ganz - mag sein, dass sie Angst vor Regress oder sonstigen Imageschäden haben. Wobei Meldungen, dass die Boxen wirklich missbraucht wurden, eigentlich überschaubar waren (zumindest bei der Menge potenziell angreifbarer Boxen).

Es ist ja nicht nur das Zwangsupdate, zusätzlich wurde geändert:
- das Ausführen der debug.cfg wird verhindert (keine eigene Modifikationen mehr möglich)
- der Schalter "-C" bei allcfgconv wurde entfernt (zum Auslesen der Passwörter)
- ????

Grüße, Klaus

 

[dil88]

Es ist ja nicht nur das Zwangsupdate

Klaus, da muss ich jetzt nochmal nachfragen: Im Heise-Artikel steht, dass es sich nicht um eine Zwangseinstellung sondern um eine deaktivierbare Option handelt. Was ist jetzt richtig?

 

[KlausKaa]

Was ist jetzt richtig?

man kann den Haken natürlich entfernen, per default ist er (anders als bisher ?) allerdings gesetzt (ist also kein wirkliches Zwangsupdate).

 

[dil88]

Danke für die Aufklärung.

Eine kleine Ergänzung noch, die ich ganz interessant finde. Im Heise-Artikel ist ja nur von der 7490 die Rede. Jetzt habe ich gerade im ip phone forum gelesen, dass die Option in der Labor-Firmware der 7390 fehlt.

Nachtrag: Hier einmal die Fußnote zu der hier diskutierten Option in den Release-Notes zur 7490 - finde ich ganz aufschlussreich:

* FRITZ!Box kann periodisch nach neuen Versionen von FRITZ!OS suchen und diese automatisch zu einem geeigneten Zeitpunkt installieren, z.B. nachts. Wählen Sie unter System/Update/Auto-Update aus, ob FRITZ!Box notwendige Updates (z.B. Sicherheitsupdates) automatisch installieren soll, alle Updates automatisch installieren soll oder lediglich auf neue Updates hinweisen soll. Voreingestellt ist die automatische Installation von notwendigen Updates (z.B. Sicherheitsupdates).

Sollte AVM Security- und Feature-Updates konsequent trennen, könnte das das Risiko minimieren. Ob ich AVM das zutraue, ist eine andere Frage, aber ich würde es auch nicht ausschließen wollen.

 

[jan_gagel]

Also ich hab die Option in meiner 7390 auch nicht gefunden. Steht nur was von Push-Service, also EMail-Benachrichtigung bei neuer Version.

Die Sache mit dem Abziehen der Kabel bei einem Update ist zwar im ersten Moment etwas kurios. Bei genauerer Betrachtung aber schon wieder sinnig. Viele Leute verwenden die Fritzbox ja auch als GBit-Switch. Meiner Vermutung nach (und bei einem Blick auf die Auslastungsanzeige bestätigt) läuft wohl der Netzwerk-Traffic auch über den Prozessor. Wenn der durch Netzwerk-Traffic dann ausgelastet ist, kann schon sein, daß das Update aus den Tritt gebracht wird. Demzufolge müßte man ja dann auch DECT, Telefonie (extern) und WLAN vor dem Update deaktivieren.

Eigentlich müßte man bei einer Fritzbox / bei einem Router generell Betriebssystem und Anwendungen trennen. Zumal man bei Anwendungs- oder Feater-Updates nicht die ganze Firmware flashen müßte.

Ich denke mal, daß die Kampange für AVM einerseits Schadensbegrenzung darstellt, andererseits dann auch einen Marketing-technischen Mehrwert hat. Denn welcher Router-Hersteller hat automatische Firmware-Updates im Einsatz?