Quickline und der Port 7547

Bei Quickline ist folgender Port standardmässig offen: 7547

Nun gibt es ja bekanntlich gerade über das T-069 Protokoll das Problem mit dem Mirai-Botnetz.

Heise.de zum Beispiel empfiehlt den Port zu sperren.

Quickline will den Port aber auch auf Nachfragen nicht schliessen. Gemäss Kundendiest, sei mein Anschluss und Modem trotz offenem Port 7557 sicher. Zudem bräuchten sie den Port um hin und wieder Konfigurationen auf das Modem aufzuspielen.

Sollte dieser Port nicht dringend geschlossen werden? Mindestens so lange, bis die bekannten Probleme des T-069 Protokolls behoben sind? Ich finde ja, sollte er. Was meint ihr?

Man könnte den Port ja vom Internet auf's QL-Netz sperren, aber "intern" offen lassen. So hätte man mehr Sicherheit und QL könnte trotzdem ihre Updates machen.

Wenn man keinen "standard Provider Router" benutzt, sondern einen selbst gekauften, und bei diesem die Firmware aktuell hält, sollte man ja auf der sicheren Seite sein.

Also der offene Port stellt noch kein Sicherheitsrisiko dar. Nur wenn die Implemtierung des TR-069 Stacks fehlerhaft ist, wird das ein Problem.

Aber man könnte sich schon fragen, wieso ein Anbieter nicht mal grundsätzlich keinen Traffic auf dem Port von aussen akzeptiert...

Warum die Geräte überhaupt über die PublicIP verwaltet werden?

Vermutlich weil mehrere virtuelle Interfaces parallel zu pflegen komplexer und somit fehleranfälliger ist...

Vermutlich weil mehrere virtuelle Interfaces parallel zu pflegen komplexer und somit fehleranfälliger ist...

Heisst das mit anderen Worten, die Sicherheit ist Opfer der Einfachheit?

Ich frag mich einfach, woher kann QL so sicher sein, dass ihre Implementierung des TR-069 zu 100% fehlerfrei ist.

Wenn man keinen "standard Provider Router" benutzt, sondern einen selbst gekauften, und bei diesem die Firmware aktuell hält, sollte man ja auf der sicheren Seite sein.

Aber den standard Router muss mann ja verwenden. Oder gibts da andere Lösungen?

Bei mir ist der QL Router im DMZ Modus. Die DMZ IP zeigt auf meinen eigenen Router. Da sind dann alle Ports geschlossen. Macht aber dann halt leider double Nat was ich für etwas unschön halte.

Im Anhang habe ich noch ein Infoblatt von Quickline. Darin wird gesagt, dass im  DMZ Mode die Ports 21 22 23 nicht weitergeleitet werden, da sie für die Quickline selbst reserviert sind. Aber dies gilt nun auch für Port 7547. Der wird nirgends erwähnt.

Wie könnte ich mein Netz besser und sicherer machen?

Anhang:

Anhang anzeigen FTTH__Migration_Endkunde_V6_Jan_2016.pdf

Aber den standard Router muss mann ja verwenden. Oder gibts da andere Lösungen?

Bei mir ist der QL Router im DMZ Modus. Die DMZ IP zeigt auf meinen eigenen Router. Da sind dann alle Ports geschlossen. Macht aber dann halt leider double Nat was ich für etwas unschön halte.

Eben gerade weil ich solchen "Murks" nicht mag, verzichte ich gerne auf "gratis" Provider-WLAN-Router (häufig mit eingeschränkter Firmware) und frage nur nach einem "dummen" Modem. Eine potentielle Fehlerquelle weniger.

Hat sich früher bei Cablecom und später bei Quickline bewährt. Wurde bei Erhöhung der Geschwindigkeiten auch schon gratis ausgetauscht. Sonst mal im lokalen Shop vorbeigehen und nachfragen bzw. austauschen lassen.

Auch die Swisscom verwendet das TR-069 über Port 7547. Und ja, auch die sind sich sicher, dass es sicher ist. 🙂

http://supportcommunity.swisscom.ch/t5/Diskussionen-über-Geräte-und/Hinweise-dass-der-aktuelle-Angriff-auf-deutsche-DNS-Server/td-p/470729