Olimpo Informatico

[Zeus News]

Leggi l'articolo Falla nei router D-Link, l'unica soluzione è sostituirli
L'azienda non rilascerà mai patch per i firmware vulnerabili, perché i prodotti sono ormai considerati obsoleti.


 

 

Segnala un refuso

[Homer S.]

Dire che va buttato per forza equivale a suggerire di comprarlo da qualcun altro.
Ogni volta che questi episodi si verficano è un colpo di piccone alla credibilità del produttore.

Aggiungo: avrebbero potuto almeno fare lo sforzo di proporre una rottamazione con acquisto di un modello nuovo scontato. Sarebbe servito a farli sembrare meno insensibili al cliente.

[{ocean21}]

Per questo la cosa migliore è prendere router che possono installare firmware alternativi. Sul DIR-810L p.e. si può installare il firmware DD-WRT

[Homer S.]

Interessante tra l'altro osservare che in questo l'azienda è recidiva, motivo di più per tenersene a distanza.

[{clad}]

La più becera interpretazione del business....

[GOo]

Ennesima conferma che non vale la pena acquistare un router che non sia compatibile con OpenWRT, almeno in ambito consumer.

[Homer S.]

[Kar.ma]

Aggiungo un riflessione a mio parere ugualmente importante. Una grossa fetta (penso ALMENO il 90-95%) dei proprietari di questi modelli vulnerabili non verrà mai a sapere di questa falla, semplicemente perché non esiste un metodo standardizzato tra i produttori per mandare comunicazioni di questo genere. Anche quando venisse rilasciato un firmware aggiornato che correggesse la falla, l’utente non ha un modo automatizzato per saperlo.

Non dimentichiamoci peraltro che sono prodotti destinati a utenti aventi un grado di conoscenza informatica non necessariamente elevato, tutt’altro.

Considerata l’importanza che ormai riveste la cybersecurity, mi chiedo come mai non si sia ancora pensato a come risolvere questo problema.

Tecnicamente basterebbe che il router (o il NAS o l’access point o quello-che-è) facesse periodicamente delle chiamate a un servizio API per verificare la presenza di vulnerabilità e/o di aggiornamenti. Nel caso in cui sia necessario l’intervento dell’utente, potrebbe comunicarlo con una pagina “forzata” alla prima apertura di un browser e anche con una email a un indirizzo richiesto obbligatoriamente in fase di registrazione (con questa sola finalità, escludendo qualsiasi consenso marketing associato).

Questi due metodi sarebbero entrambi adatti anche agli utenti meno esperti. Può sembrare una scocciatura, ma vuoi mettere il vantaggio di evitare di avere dispositivi vulnerabili senza saperlo?

[Homer S.]

In realtà un metodo standardizzato esiste: passare dal CVE. Già adesso ci si può iscrivere alla sua newsletter, se fosse possibile ricevere avvisi personalizzati sarebbe ancora meglio.
Il vero problema è che ad oggi solo certi produttori di HW aderiscono al progetto, quindi per chi ne sta fuori il censimento delle falle, oltre che a carico dell'organizzazione, diventa una questione controversa.

Quanto all'intervento "coatto" ventilato, c'è da dire che a volte già accade, e ben più del semplice avviso: ad es. QNAP recentemente ha forzato l'upgrade del firmware dei suoi NAS da remoto per contrastare una falla ritenuta critica in quanto esponeva a ransomware, e per chi aveva gli apparati esposti in Rete la cosa è stata imposta senza tanti convenevoli, generando persino lamentele e proteste (qualcuno col sistema già compromesso, con l'aggiornamento ha perso tutti i dati senza speranza di recuperarli).

[Gladiator]

[Gladiator]

[{Raffaele Ferro}]

periodicamente, negli anni, sono state trovate back doors in questi dispositivi e sono state corrette. Evidentemente, questa e'l'unica rimasta. Ecco perche' non possono eliminarla.

[Homer S.]

[Gladiator]