FritzBox: "Entwischter" Krypto-Key gefährdet Zugänge von Kabelkunden

Die FritzBox-Modelle des deutschen Herstellers AVM genießen einen guten Ruf, entsprechend sind sie auch überaus populär. Doch nun wurde ein Fehler des Anbieters im Zusammenhang mit einem an sich geheimen Krypto-Schlüssel bekannt. Dieser ist essentiell für die Sicherheit von Kabelnetzen und könnte missbraucht werden, um die Zugänge von Kabelkunden zu übernehmen.

Essentiell für Kabelkunden

Der Krypto-Schlüssel ist laut einem Bericht in der aktuellen Ausgabe des Technik-Magazins c't im Speicher der FritzBox zu finden und dieser Key dürfte dort eigentlich nicht sein. Denn er ist von zentraler Bedeutung für die Sicherheit deutscher Kabelnetze und kann dafür "schlimmstenfalls" eingesetzt werden, um fremde Anschlüsse zu übernehmen.

Laut Heise wurde der Schlüssel vom Sicherheitsexperten Joel Stein entdeckt: Der Key dient zum Unterschreiben jener Zertifikate, mit denen sich die AVM-Router bei Providern ausweisen. Im Fall der Kabel-FritzBoxen wird ein individuelles Zertifikat mit der MAC-Adresse des Modems gekoppelt. Bei der Authentifizierung der FritzBox beim Kabelanbieter werden Zertifikat und die AVM-Signatur überprüft, wenn alles passt, dann kann sich die Box beim Cable Modem Termination System (CMTS) des ISPs anmelden.

Die nun aufgetauchte AVM-Signatur lässt sich aber missbrauchen, um damit ein Zertifikat zu fälschen. Im Zusammenhang mit der MAC-Adresse eines Kunden des jeweiligen Providers kann ein Angreifer Zugang zu dessen Anschluss bekommen und unter dessen Identität ins Netz gehen.

Laut c't ist das Problem bereits seit längerem bekannt, bereits 2015 sind Provider von AVM über diese potenzielle Sicherheitslücke informiert worden. Details, wie der Schlüssel in die FritzBoxen gelangen konnte, sind nicht bekannt, der Berliner Hersteller schweigt sich dazu aus.

Die Umstellung der Krypto-Schlüssel ist bereits im Gange, aber noch nicht abgeschlossen. Die alten können aber erst geblockt werden, wenn die Modems aller Kunden aktualisiert worden sind. Wer aber beispielsweise seine FritzBox schon länger nicht aktiv hatte und das Update nicht bekommen hat, der könnte nach einer Reaktivierung in Bezug auf den Internetzugang vor "verschlossenen Türen" stehen.