Yousee-fejl gav eksterne brugere adgang til private filer

31. marts 2014 kl. 10:3827
Udefrakommende brugere kunne få adgang til delte filer på det private lukkede netværk som følge af softwarefejl i Yousees produkt, hvor hardwaren hos kunder får åbnet et ekstra wifi-hotspot, som alle kan koble på.
Artiklen er ældre end 30 dage
Manglende links i teksten kan sandsynligvis findes i bunden af artiklen.

Hvad der godt kunne kandidere til det værst tænkelige scenarie, ser ud til at være blevet en realitet i Yousees store wifi-sats, hvor hardware hos kunderne får åbnet et ekstra opkoblingspunkt, som andre Yousee-kunder kan bruge til at få internetforbindelse, når de er i nærheden.

Dørene mellem de to opkoblingspunkter, SSID'er, skulle - i sagens natur - være hermetisk lukkede, så de brugere, der kobler på det eksterne og åbne SSID ikke kan tilgå data på det private net hos kunden, hvor udstyret står. Men det har tilsyneladende ikke været tilfældet.

Pressechef hos TDC, der ejer Yousee, Ib Konrad Jensen oplyser til Version2, at det under bestemte omstændigheder har været muligt for brugere af det eksterne SSID at tilgå filer på det private net. Eksempelvis hvis der har været delte mapper eller en netværksharddisk på netværket.

»Der er en risiko for, at man kan få adgang til delte filer på tværs af nettene,« siger han og fortæller, at han ikke kan uddybe, hvori den præcise sårbarhed består, andet end det relaterer sig til 'nogle bestemte omstændigheder'.

Artiklen fortsætter efter annoncen

Yousee har som konskvens af sikkerhedsbristen lukket helt ned for det åbne wifi-hotspot i udstyret hos kunderne. Det er sket ved at opdatere en konfigurationsfil.

Ib Konrad Jensen oplyser, at Yousee ikke har kendskab til, at hullet er blevet udnyttet til at tilgå andres data.

En sådan uretmæssig adgang vil dog ikke nødvendigvis blive opdaget af den, det går ud over.

Yousees hotspot-produkt fungerer ved, at alle kunder i udgangspunktet, og hvis deres udstyr ellers understøtter det, har fået åbnet en ekstra trådløs forbindelse, som andre kan koble på. Det er altså ikke noget, folk har skullet tilvælge, men noget, de dog kan fravælge.

Det berørte udstyr er Netgear CG3000, CG3700 og Cisco EPC3925. Yousee er i kontakt med Netgear og Cisco for at få løst problemet. I den forbindelse vil Yousee også se på, hvad der kunne være et andet problem, og om det kan løses i forbindelse med en softwareopdatering.

»Vi har fået en tilbagemelding fra enkelte kunder, der har sagt, at deres bredbåndshastighed er gået ned i forbindelse med, at det her er blevet implementeret på deres router,« siger Ib Konrad Jensen og tilføjer, at Yousee endnu ikke kan sige, om bredbåndsproblemerne, kunderne melder om, er relateret til softwareopgraderingen og dermed også kan løses softwaremæssigt.

Ib Konrad Jensen fortæller, at Yousee har planer om at åbne op for wifi-hotspottene igen, når problemet er løst, han kan dog ikke sige, hvornår det er.

27 kommentarer.  Hop til debatten
Denne artikel er gratis...

...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.

Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.

Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.

Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.

Debatten
Log ind eller opret en bruger for at deltage i debatten.
settingsDebatindstillinger
27
1. april 2014 kl. 21:37

Jeg havde et pivåbent, ukrypteret hotspot, så man umiddelbart kunne komme på. Det gav straks fuld adgang til alle enheder på netværket, inkl. webcam og printer. Internettet var også fuldt tilgængeligt, og IP adressen var den samme som min.

Jeg havde afmeldt hotspot umiddelbart da jeg fik en mail, men det havde åbenbart ingen effekt. Sidst i sidste uge fik jeg godt nok besked om at der var lukket, men det var åbenbart "ukorrekt"! Selv i dag var der stadig åbent, og de kunne ikke forstå det inde hos YS.

Tilsyneladende skal der en total reset til, med ny opsætning forfra. Tak for et par timers arbejde, YS. Reset med efterfølgende restore af backup virkede ikke.

25
1. april 2014 kl. 03:48

Citat: "... at det under bestemte omstændigheder har været muligt for brugere af det eksterne SSID at tilgå filer på det private net. Eksempelvis hvis der har været delte mapper eller en netværksharddisk på netværket."

Eksempelvis "netværksharddisk" lyder da allerede uhyggeligt, nemlig adgang til alle virksomhedens ikke-krypterede data, såsom korrespondance, tilbud, fakturaer, ...

Eksempelvis hvad mere?

Citat: »Der er en risiko for, at man kan få adgang til delte filer på tværs af nettene,« ..."

Nåh, det har i virkeligheden ikke været muligt, der er kun en risiko?

Men, men, men, vi har da lige fået at vide, at det "har været muligt for brugere af det eksterne SSID at tilgå filer på det private net". Altså ikke blot en risiko, men sikkerhed for at det kunne forekomme.

Den slags kaldes væselsprog. Eller Tale udenom. Svare på noget andet, end det der spørges om. osv.

Desuden har vi fået at vide at der har været "Læserstorm mod åbne wifi-spots". Men Yousee afviste al kritik. "Der er ikke noget at komme efter, lyder svaret i store træk fra Yousee." http://www.version2.dk/artikel/laeserstorm-mod-aabne-wifi-spots-yousee-afviser-al-kritik-56987

Yousee tager det altså ganske roligt, at brugere af det eksterne SSID kan tilgå delte mapper eller en netværksharddisk på kundernes private netværk.

26
1. april 2014 kl. 09:43

Citat: "... at det under bestemte omstændigheder har været muligt for brugere af det eksterne SSID at tilgå filer på det private net. Eksempelvis hvis der har været delte mapper eller en netværksharddisk på netværket."

Netop, og hvem har ikke delte filer på sit netværk?? Det vil sige at den omstændighed ret sikkert er til stede mange steder, inklusive hjemme hos mig. Jeg har en synology NAS med dlna aktiveret, så udefrakommende ihvertfald kan tilgå mine film/serier og musik. resten er beskyttet af passwords, men hvor sikkert er det lige i længden.

Det stinker!

24
31. marts 2014 kl. 20:08

Har lige fået mulighed for at bestille fiber via Waoo/NRGi, endeligt, så nu ryger yousee ud igen, de er sku nogen kegler. Det er nu bestilt, og dette nyheds indlæg var faktisk indirekte årsag :)

Har dog ønsket mig fiber herhjemme længe, ligesom så mange andre danskere.

De har ikke haft mit SeeYou aktiveret, men fik et brev om at de havde tænkt sig at gøre det. Kunne vel bare prøve på at melde mig fra, men helt ærligt. Håber det giver bagslag til dem, og at folk så har et ok alternativ.

23
31. marts 2014 kl. 18:51

Afhjalp problemet for mig og da jeg ikke bruger nogen form for trådløst internet hindrede det mig heller ikke i noget som helst. Så min router kan hverken sende eller modtage wifi af nogen art.

20
31. marts 2014 kl. 15:03

at hotspottet stadig er der, trods afmelding?

22
31. marts 2014 kl. 16:06

der brodcastes vel et SSID der forsvinder når man slukker for routere.

19
31. marts 2014 kl. 14:50

Ja det burde være muligt at sætte det nye modem i bridge mode, han har dog ikke fundet ud af endnu hvordan man gør. Men vi giver ikke op endnu. Jeg regner med det nok skal komme til at virke. mvh, Erik.

17
31. marts 2014 kl. 13:24

Som der skrives længere oppe:

Jeg er glad for at jeg kun har et kabelmodem og ikke en router :-)

Ja det er jeg også glad for, lige indtil den dag, hvor posten pludselig har en pakke til dig med et nyt modem med router og wifi. Det skete ude hos en ven. Han skulle pludselig skifte uden forvarsel. Han boede måske i et område hvor "SeeYou" havde brug for et wifi spot. Han har kun fået en søforklaring på hvorfor han skulle skifte. Han har ikke bestilt noget nyt. Det er absolut ikke i orden. mvh, Erik.

21
31. marts 2014 kl. 15:08

Det indleder en ny interessant diskussion, når udbyderen kan tilgå og konfigurere udstyr hos slutbrugeren; Hvor er det dit netværk og hvor er det ISP'ens?

Hvor skal din firewall og dit wifi stå henne i kæden, når kassen fra ISP'en tilsyneladende er åben for omverdenen?

PS: Jeg fik en tilsvarende pakke fra min fiberudbyder for nogle måneder siden, med router og wifi og ip-telefon og backdoors i. Jeg har dog ikke sat udstyret til endnu, og mit fibermodem spiller stadig fint..

18
31. marts 2014 kl. 13:32

Han kan dog gå ind og sætte den i bridge mode, så er den tilbage til at være modem (Hvilket de alle burde være sat til, da de ikke er særlig stabile som routere)

16
31. marts 2014 kl. 13:17

...gennem YouSee Wifi Spot. Sjovt.

14
31. marts 2014 kl. 12:17

En tanke der lige strejfede mig....

Problemet er der ved både Netgear og Cisco, som bestemt ikke kører samme software på deres udstyr.

Så mon ikke mere det er en konfigurationsfejl fra Yousee's side, end en software fejl? (Ret pudsigt, hvis samme software bug skulle være der begge steder)

10
31. marts 2014 kl. 11:59

Jeg er glad for at jeg kun har et kabelmodem og ikke en router :-)

9
31. marts 2014 kl. 11:53

Så er det jo godt, at mit access point er omkonfigureret til kun at fungere som modem, og jeg har en rigtig firewall mellem modem og mit private netværk. ;)

12
31. marts 2014 kl. 12:04

Samme setup hjemme hos mig... Meldte mig også fra i det øjeblik jeg så deres reklame mail i min indbakke. Selvom min CG3000 kører i bridged-mode skulle det bare væk! Jeg er desværre ikke overrasket over at de har sikkerhedsproblemer, men synes det er svært utilfredsstillende at det er CSIS der skulle finde fejlen, og ikke YouSee, netgear eller Cisco. "Ups, det troede vi altså ikke kunne ske" bliver nok sagt på "krisemødet" på direktionsgangen hos YouSee lige nu :)

11
31. marts 2014 kl. 12:01

Det er desværre også dertil min tålmodighed er nået efterhånden..

8
31. marts 2014 kl. 11:45

Simpelthen til grin. Afmeldte allerede denne service allerede da de annoncerede den. Modtog intet svar.

Ringede til kundeservice efterfølgende, hvor de så kunne hjælpe mig. De nævnte at der nok lige skulle gå en dag, der skete stadig INTET. I mellemtiden modtog jeg et brev hvori der stod at servicen var blevet afmeldt.

Status er pt. at deres Hot-Spot STADIG er aktivt på min router, selvom de i nat har fremsendt omtalte mail.

TIL GRIN..

7
31. marts 2014 kl. 11:42

Jeg vil være med i en eventuel konkurrence med ALL SEE YOU Hvis præmien er et års abbonement hos TDC vil jeg ikke vinde! :-)

6
31. marts 2014 kl. 11:37

Da jeg læste denne artikel (http://www.version2.dk/artikel/udstyr-hos-yousee-kunder-daekker-snart-danmark-med-gigantisk-wifi-net-56643) og selv er kunde hos YouSee, meldte jeg mig øjeblikkeligt fra. Mit modem nåede dog at være aktivt wifi-hotspot i et døgn. Alt sagde mig, at der med stor sandsynlighed ville opstår sikkerhedsproblemer af en eller anden art. Den slags er vanen tro aldrig gennemtestet trods store forsikringer om, at man kan være helt tryg ved det. Det er fandeme amatøragtigt!

3
31. marts 2014 kl. 11:05

Så fik vi da i det mindste fundet en kandidat til årets Amanda-pris, hvis den stadig eksisterer...

"'Årets Amanda' er titlen på den statuette der gives til ... nogen der har brugt de teknologiske muligheder helt forkert."

2
31. marts 2014 kl. 10:55

Det er det, der bare ikke må ske, det bliver nærmest umuligt at genskabe tilliden til produktet nu..

1
31. marts 2014 kl. 10:55

Som en af de sølvpapirshatte der sagde nej tak med det samme ud fra en forventning om at der ville kunne være sikkerhedsproblemer i implementeringen siger jeg bare IHTSITYSBITYS.