Sommige modellen (mesh) routers delen 'live' ongevraagd data met fabrikant en security bedrijven

[Webkabouter]

Dankzij Pihole kwam ik erachter data mijn nieuw gekochte Netgear Nethawk ongedefinieerd contact maakt met netgear.com. Dit is niet uit te schakelen, zowel niet in AP Mode als in Router Mode. Dat vind ik vreemd en heb dus contact opgenomen met de fabrikant. Blijkt dus dat dit na de laatste firmware update is geactiveerd in verband met de security. Security van wat vroeg ik mij af? Kreeg daarop een hoop blabla te horen dat gewoon in strijd is met mijn privacy.

Toevallig lees ik zojuist dat zoiets dergelijks ook het geval is bij hardware van TP-Link
@ https://www.techzine.nl/nieuws/secur...dns-verzoeken/

Geen reden tot paniek voor de bezitters van hardware van bovengenoemde fabrikanten. Is een goed product; ik vind het alleen misleidend dat dit niet duidelijk wordt aangegevens op zowel verpakkingen als websites.

Ben zelf inmiddels weer terug overgestapt naar Draytek (never change a winning team).

[driepinter]

The manufacturer NETGEAR also incorporates software of this style called NETGEAR Armor, and together with the collaboration of the BitDefender cybersecurity company, it is capable of providing its clients with complete protection when they connect to the WiFi at home.

NETGEAR Armor | Powered by BITDEFENDER | Premium Online Protection

[reddwarf]

En hoe kan een router controleren of er een nieuw firmware beschikbaar is? Om via een dns request te conncluderen dat er ongevraagd gegevens worden verzonden klinkt mij wat kort door de bocht.

Laat dan in ieder geval eens een tijdje tcpdump of een andere package capture tool, zoals wireshark, meelopen om te kijken wat voor gegevens er worden aangevraagd en eventueel verzonden.

[Webkabouter]

En hoe kan een router controleren of er een nieuw firmware beschikbaar is?

Checken vanuit je adminpanel (of handmatig downloaden vanaf een supportpagina) en updaten.

Om via een dns request te conncluderen dat er ongevraagd gegevens worden verzonden klinkt mij wat kort door de bocht.

Niet helemaal. Zoals ik schreef heb ik via Pihole gemerkt dat er veel DNS requests werden uitgestuurd naar, in mijn geval, Netgear server(s):

Jun 1 13:53:33: query[A] registration.ngxcld.com from 10.10.10.200
Jun 1 13:53:33: cached registration.ngxcld.com is <CNAME>
Jun 1 13:53:33: cached d2r4ddhdzue4sy.cloudfront.net is 13.227.221.21
Jun 1 13:53:33: cached d2r4ddhdzue4sy.cloudfront.net is 13.227.221.94
Jun 1 13:53:33: cached d2r4ddhdzue4sy.cloudfront.net is 13.227.221.122
Jun 1 13:53:33: cached d2r4ddhdzue4sy.cloudfront.net is 13.227.221.84
Jun 1 13:53:33: query[A] www.netgear.com from 10.10.10.200
Jun 1 13:53:33: cached www.netgear.com is 13.33.232.34
Jun 1 13:53:36: query[A] registration.ngxcld.com from 10.10.10.200
Jun 1 13:53:36: cached registration.ngxcld.com is <CNAME>
Jun 1 13:53:36: cached d2r4ddhdzue4sy.cloudfront.net is 13.227.221.84
Jun 1 13:53:36: cached d2r4ddhdzue4sy.cloudfront.net is 13.227.221.21
Jun 1 13:53:36: cached d2r4ddhdzue4sy.cloudfront.net is 13.227.221.94
Jun 1 13:53:36: cached d2r4ddhdzue4sy.cloudfront.net is 13.227.221.122
Jun 1 13:53:36: query[A] www.netgear.com from 10.10.10.200
Jun 1 13:53:36: cached www.netgear.com is 13.33.232.34
---

Zolang dit niet door een routerconfiguratiesetting wordt veroorzaakt, ga ik ervan uit dat er iets ongevraagd actief is waar je geen controle over hebt. En dat blijkt dus te kloppen (iig vwb Netgear en TP-Link).

Laat dan in ieder geval eens een tijdje tcpdump of een andere package capture tool, zoals wireshark, meelopen om te kijken wat voor gegevens er worden aangevraagd en eventueel verzonden.

Zo werkt het denk ik niet. Het gaat er niet om _wat_ voor gegevens worden verstuurd (ik schreef over 'ongedefinieerd contact maken'), maar _dat_ ze worden verstuurd en dan nog wel in een rap tempo.

Misschien de volgende router eens kijken voor een DD-WRT router (waarbij je de routerfirmware overschrijft met een veel uitgebreidere firmware).
@ https://nl.hardware.info/artikel/212...lag-met-dd-wrt

[Webkabouter]

Ben er overigens achtergekomen dat dit soort cloudservices (want daaronder vallen ze) hand over hand ook worden toegepast door andere routerfabrikanten. Zyxel doet dit bijvoorbeeld ook, maar als je tijdens de configuratie van de router geen cloudaccount aanmaakt, dan wordt de router in 'local mode' geconfigureerd (zonder die overmatige DNS requests). In dat geval heb je dus wel een duidelijke keuze...

[reddwarf]

Tja dit is de huidige techniek van hoe bedrijven hun servces in de cloud draaien op google, aws, azure etc. Deze kunnen zo nodig automatisch op- en afgeschaald worden en bieden ook voor ontwikkelaars veel voordelen.

Heeft ook zeker zijn nadelen en het is tegenwoordig niet meer eenvoudig te achterhalen waar je data staat of welke servers er worden gebruikt. Heeft mijn inziens niets te maken met of je wel of niet een cloud account aanmaakt maar waar en hoe bijvoorbeeld zyxel zijn servers heeft ingericht.
Afgelopen jaren was er echt een grote trend om van de private cloud (zelf gehoste servers) naar de cloud te gaan maar gelukkig zien we tegenwoordig ook wel weer een bewing terug en krijgen we meer een hybride cloud. De cloud is zeker geen oplossing voor alles zoals sommige managers denken….

Maar just my 2 cents of thoughts….

[Webkabouter]

Tja dit is de huidige techniek van hoe bedrijven hun servces in de cloud draaien op google, aws, azure etc.

Eens, in de drie genoemde voorbeelden blijft de data echter bij het bedrijf zelf (mogen we hopen) en worden ze in het geval TP-Link niet doorgestuurd naar een bedrijf als Avira. De fysieke serverlocatie van dat soort bedrijven speelt namelijk ook een rol (want als die drie servers in Europa hebben, hoeft Avira dat nog niet te hebben). Maar dat is een andere discussie