[Thread Ufficiale] AVM FRITZ!Box 7590

[wrad3n]

Originariamente inviato da Tennic

Invece, nella tua specifica situazione, la frase diventa: "qualunque programma malevolo può instaurare connessioni a suo piacere, aprendo porte tramite VPN"
Quindi, togliamo la VPN perchè "qualunque programma malevolo può usarla per fare i suoi comodi senza rischio di essere tracciato"?

Il discorso della VPN era legato all'UPnP, visto che alcuni post fa c'erano dubbi sul funzionamento di app messaggistica etc. con UPnP disabilitato. Se hai la rete locale sotto VPN il portforward stesso (e di conseguenza l'UPnP) non serve a nulla perché il provider VPN ha un suo firewall su cui non puoi mettere mano. E con questa limitazione funziona comunque tutto quello che uso, compresi app di messaggistica, video conferenza tipo zoom o gotomeeting di citrix.

[Tennic]

Originariamente inviato da ebeb

Dal menu principale sulla sinistra seleziona

Internet ==> Abilitazioni ==> Abilitazioni porte

e trovi l'elenco di tutti i dispositivi che hanno abilitazioni porte attive.

Poi sempre dal menu seleziona

Diagnosi e trovi Funzioni e Sicurezza.

Con la prima opzione hai un quadro delle funzionalità del 7590.
La seconda ti permette di conoscere tutte le opzioni per la sicurezza, attive o no.
Ed anche un elenco di TUTTE le porte che il FRITZ!Box ha aperte.

Buona giornata

Quoto, e se si vogliono sapere le porte aperte solo da un determinato dispositivo (anzichè l'elenco globale), si possono vedere da "Rete Domestica" - "Rete", cliccando sul dispositivo interessato, e mostrerà le porte aperte con accanto la scritta UPNP, visto che sono state appunto aperte tramite UPNP.

Originariamente inviato da wrad3n

Il discorso della VPN era legato all'UPnP, visto che alcuni post fa c'erano dubbi sul funzionamento di app messaggistica etc. con UPnP disabilitato. Se hai la rete locale sotto VPN il portforward stesso (e di conseguenza l'UPnP) non serve a nulla perché il provider VPN ha un suo firewall su cui non puoi mettere mano. E con questa limitazione funziona comunque tutto quello che uso, compresi app di messaggistica, video conferenza tipo zoom o gotomeeting di citrix.

Si, ma rimane sempre valido il concetto da te espresso in precedenza ed attribuito al UPNP, ossia "è una vulnerabilità qualunque malware presente può fare quello che vuole con la connessione", per dimostrare che se un UPNP non può fare nulla contro il malware, non può neanche la VPN ne nessun altro sistema legato alla connessione, ma non per questo questi sistemi che loro malgrado vengono sfruttati dal malware sono da considerarsi "vulnerabilità" perchè "consentono al malware di fare quello che vuole"

[nelson1]

Originariamente inviato da ebeb

Dal menu principale sulla sinistra seleziona

Internet ==> Abilitazioni ==> Abilitazioni porte

e trovi l'elenco di tutti i dispositivi che hanno abilitazioni porte attive.

Poi sempre dal menu seleziona

Diagnosi e trovi Funzioni e Sicurezza.

Con la prima opzione hai un quadro delle funzionalità del 7590.
La seconda ti permette di conoscere tutte le opzioni per la sicurezza, attive o no.
Ed anche un elenco di TUTTE le porte che il FRITZ!Box ha aperte.

Buona giornata

La prima ok, la seconda mi preoccupa:

1) Nessuna abilitazione porte disponibile

2) xxxx ....
xxxx-xxxx ....
xxxx .....
xxxxx ....
xxxxx ....

[ebeb]

Originariamente inviato da nelson1

La prima ok, la seconda mi preoccupa:

1) Nessuna abilitazione porte disponibile

2) xx60 ....
xx78-xx09 ....
80xx .....
xxx67 ....
xxx01 ....

Ma tieni presente che alcune sono aperte per e funzioni interessate.
Nel caso la prima che hai indicato mi porta a pensare che potrebbe essere questa:

5060 TCP (IPv4/v6), UDP (IPv4/v6) Telefonia (SIP)

che viene usata come trovi indicato per la telefonia Voip..
Parimenti ti informa anche per le altre porte..

[hot_blaster]

Buongiorno,
Scusate ma avrei bisogno del vostro aiuto.
Possiedo un FRITZ!Box 7590 con FRITZ!OS: 07.13, gestore Vodafone.

Sia la telefonia che Internet sono configurati, ma ho un problema con la prima.

Non riesco ad effettuare chiamate ai call center, cioè quando provo a telefonare dal fisso ad esempio al numero 800.577.337 oppure 02 66897580 (servizio clienti leroy merlin), ricevo sempre come risposta numero occupato (quando invece non lo è.

La cosa assurda è che se al secondo numero aggiungo il prefisso 0039, la chiamata ha successo.

Qualcuno può aiutarmi a sistemare questo problema, ho cercato ma non riesco a trovare niente.

[Trotto@81]

Posta la schermata di configurazione del voip oscurando la parte sensibile del numero telefonico.

[hot_blaster]

Questa?

[nelson1]

Originariamente inviato da ebeb

Ma tieni presente che alcune sono aperte per e funzioni interessate.
Nel caso la prima che hai indicato mi porta a pensare che potrebbe essere questa:

5060 TCP (IPv4/v6), UDP (IPv4/v6) Telefonia (SIP)

che viene usata come trovi indicato per la telefonia Voip..
Parimenti ti informa anche per le altre porte..

ok, la seconda parte è:

Telefonia (SIP)
Telefonia (RTP)
Servizi provider
Diagnosi e manutenzione
Accesso al FRITZ!Box attraverso Internet

il primo VOIP (?) e l'ultimo (App) sono ok (?), tutti gli altri sono da lasciare attivi?

[wrad3n]

Originariamente inviato da Tennic

non può neanche la VPN ne nessun altro sistema legato alla connessione, ma non per questo questi sistemi che loro malgrado vengono sfruttati dal malware sono da considerarsi "vulnerabilità" perchè "consentono al malware di fare quello che vuole"

Con la VPN non volendo hai una sorta di protezione anche contro quel tipo di vulnerabilità perché il firewall del provider è molto restrittivo e non permette alcun traffico in entrata escludendo le porte standard (80,443 e poco altro), poi dipende dal tipo di server a cui sei connesso: double vpn, vpn + onion, vpn p2p (quest'ultimi supportano il traffico bittorrent etc.). Poi installati sul Router ho comunque altre contromisure: antivirus, packet inspection, geoip blocking, adblock etc.

Originariamente inviato da nelson1

ok, la seconda parte è:

Telefonia (SIP)
Telefonia (RTP)
Servizi provider
Diagnosi e manutenzione
Accesso al FRITZ!Box attraverso Internet

il primo VOIP (?) e l'ultimo (App) sono ok (?), tutti gli altri sono da lasciare attivi?

Possono esserci porte che non vengono elencate perché aperte comunque, es. quelle riguardanti la VPN (1293 per IPSec, 500 IKE etc.).

[Tennic]

Originariamente inviato da nelson1

ok, la seconda parte è:

Telefonia (SIP)
Telefonia (RTP)
Servizi provider
Diagnosi e manutenzione
Accesso al FRITZ!Box attraverso Internet

il primo VOIP (?) e l'ultimo (App) sono ok (?), tutti gli altri sono da lasciare attivi?

Normalissimo, sono servizi del provider, infatti sono sotto la categoria "Servizi FRITZ!Box" (parlando della schermata "Sicurezza"), io ho questi:

xxxx UDP, IPv4, TCP Telefonia (SIP)

xxxx-xxxx UDP, IPv4 Telefonia (RTP)

xxxx TCP, IPv4 Servizi provider (TR069)

xxxx TCP, IPv4 Accesso al FRITZ!Box attraverso Internet (HTTPS)

(ho la versione TIM Edition)

Piuttosto devi stare "attento" al campo
"Abilitazioni porte sui dispositivi di rete - Panoramica dei dispositivi della rete domestica con porte aperte verso Internet"

dove vengono elencate le porte aperte ed in quale dispositivo di quelli collegati alla tua rete.
E qui trovi le porte aperte in manuale e quelle aperte dal UPNP.

Inoltre, nei log "SISTEMA - EVENTI" (poi elenco filtrato su TUTTI, o su SISTEMA, se si vuole essere più selettivi nella visualizzazione), vedi lo storico delle porte aperte e da cosa (quale host). Quindi vedi anche se un host ha utilizzato UPNP per aprire una porta e quale.

A mio personale parere , questa possibilità di controllo semplice e completa (visualizzazione della situazione attuale, e dello storico), unito alla NON vulnerabilità lato UPNP del 7590 (e dei Fritz Box in generale), rendono il sistema UPNP "sicuro", relativamente parlando in termini informatici, ossia, l'utilizzo non è a prova di bomba (come non lo è nulla in informatica) ma sicuramente non introduce criticità che non si avrebbero comunque

Originariamente inviato da wrad3n

Con la VPN non volendo hai una sorta di protezione anche contro quel tipo di vulnerabilità perché il firewall del provider è molto restrittivo e non permette alcun traffico in entrata escludendo le porte standard (80,443 e poco altro), poi dipende dal tipo di server a cui sei connesso: double vpn, vpn + onion, vpn p2p (quest'ultimi supportano il traffico bittorrent etc.). Poi installati sul Router ho comunque altre contromisure: antivirus, packet inspection, geoip blocking, adblock etc..

Qui devo correggerti perchè i malware (appositi, visto che parliamo di programmi malevoli che sfruttano le comunicazioni in rete) sono progettati per utilizzare le normali porte, al fine di risultare trasparenti anche al firewall (senza cadere in spiegazioni troppo OT sulla Cyber Defence), quindi utilizzano la porta 80 etc
Ergo, passano il tuo firewall, il firewall del provider, e ringraziano per il noleggio gratuito della tua VPN quale strada digitale
Unica soluzione qual è? Firewall + Antivirus... Soluzione che guardacaso esula da VPN, UPNP, e qualunque altra cosa dove ci sia di mezzo il router, come dicevo ieri
Quindi, si torna sempre al discorso che l'utilizzo di una VPN, o del UPNP, o quello che preferisci sul router, non aggiunge ne toglie nulla ai malware, parliamo di concetti differenti, che necessitano di protezioni differenti

[wrad3n]

Originariamente inviato da Tennic

Qui devo correggerti perchè i malware (appositi, visto che parliamo di programmi malevoli che sfruttano le comunicazioni in rete) sono progettati per utilizzare le normali porte, al fine di risultare trasparenti anche al firewall (senza cadere in spiegazioni troppo OT sulla Cyber Defence), quindi utilizzano la porta 80 etc
Ergo, passano il tuo firewall, il firewall del provider, e ringraziano per il noleggio gratuito della tua VPN quale strada digitale

beh, no, come ho scritto sopra, sul router ho un packet inspection/intrusion detection che controlla i pacchetti in transito (Snort).

[Totix92]

Originariamente inviato da wrad3n

Possono esserci porte che non vengono elencate perché aperte comunque, es. quelle riguardanti la VPN (1293 per IPSec, 500 IKE etc.).

Se la VPN non è abilitata queste porte il Fritzbox non le apre e non le elenca, io che nel 7490 ho la VPN abilitata per la connessione degli smartphone fuori casa con l'applicazione My Fritz, nella pagina Diagnosi -> Sicurezza, oltre alle porte descritte prima vengono elencate anche la 500 e la 4500 con scritto proprio "VPN (IKE)" e "VPN (IPSec)" rispettivamente, oltre al server FTPS del Fritz stesso che io ho attivato su una porta personalizzata.

[wrad3n]

Originariamente inviato da Totix92

Se la VPN non è abilitata queste porte il Fritzbox non le apre e non le elenca, io che nel 7490 ho la VPN abilitata per la connessione degli smartphone fuori casa con l'applicazione My Fritz, nella pagina Diagnosi -> Sicurezza, oltre alle porte descritte prima vengono elencate anche la 500 e la 4500 con scritto proprio "VPN (IKE)" e "VPN (IPSec)" rispettivamente, oltre al server FTPS del Fritz stesso che io ho attivato su una porta personalizzata.

ok, quindi decisamente un passo avanti rispetto ad altri router casalinghi, per curiosità le porte di quei servizi (IPSec) sono modificabili?

[Yrbaf]

Originariamente inviato da Tennic

ossia, l'utilizzo non è a prova di bomba (come non lo è nulla in informatica) ma sicuramente non introduce criticità che non si avrebbero comunque

Bah per quanto possa concordare che soprattutto come è fatto sul Fritz (ossia device per device) sia molto meglio ed abbastanza sicuro, non direi che non introduce nessuna criticità.

Se io ho un sistema violato nel modo che preferite, magari un malware che riesce a prendere i diritti di root e poi a fare una sessione di amministrazione remota che attraversa il Nat (quindi uPNP off non sarebbe servito) e dà la gestione a qualcun altro.
Ora se quest'ultimo volesse usare il mio sistema per esporre servizi in internet (facilmente accessibili) deve poter mappare delle porte.
Quindi ora o viola anche il mio router per farlo o si trova la porta aperta perché io ho già attivato uPNP su quel device (per magari non perdere tempo a mappare io 4 o 5 porte ed ora lasciando a tutti la possibilità di mappare tutto quello che vogliono in modo silente).

Non sarà da fasciarsi la testa e può essere usato in modo relativamente sicuro soprattutto se ogni tanto si monitorizza cosa risulta attivo per scovare utilizzi strani e non voluti, ma di certo uPNP è solo una comodità e come tutte le comodità abbassa il livello di sicurezza senza se e senza ma.

[ebeb]

Originariamente inviato da wrad3n

Con la VPN non volendo hai una sorta di protezione anche contro quel tipo di vulnerabilità perché il firewall del provider è molto restrittivo e non permette alcun traffico in entrata escludendo le porte standard (80,443 e poco altro), poi dipende dal tipo di server a cui sei connesso: double vpn, vpn + onion, vpn p2p (quest'ultimi supportano il traffico bittorrent etc.). Poi installati sul Router ho comunque altre contromisure: antivirus, packet inspection, geoip blocking, adblock etc.




Possono esserci porte che non vengono elencate perché aperte comunque, es. quelle riguardanti la VPN (1293 per IPSec, 500 IKE etc.).

Nei FRITZ!Box sono elencate TUTTE, suddivise per sezioni.



Per favore, se non lo hai sottomano cerca almeno di evitare informazioni non corrette a chi come @nelson1 stà cercando di venirne a capo...

[ebeb]

Originariamente inviato da Tennic

Qui devo correggerti perchè i malware (appositi, visto che parliamo di programmi malevoli che sfruttano le comunicazioni in rete) sono progettati per utilizzare le normali porte, al fine di risultare trasparenti anche al firewall (senza cadere in spiegazioni troppo OT sulla Cyber Defence), quindi utilizzano la porta 80 etc
Ergo, passano il tuo firewall, il firewall del provider, e ringraziano per il noleggio gratuito della tua VPN quale strada digitale
Unica soluzione qual è? Firewall + Antivirus... Soluzione che guardacaso esula da VPN, UPNP, e qualunque altra cosa dove ci sia di mezzo il router, come dicevo ieri
Quindi, si torna sempre al discorso che l'utilizzo di una VPN, o del UPNP, o quello che preferisci sul router, non aggiunge ne toglie nulla ai malware, parliamo di concetti differenti, che necessitano di protezioni differenti

Concordo

Originariamente inviato da wrad3n

beh, no, come ho scritto sopra, sul router ho un packet inspection/intrusion detection che controlla i pacchetti in transito (Snort).

Puoi tranquillamente caricare tutto quanto vuoi... chi ha violato i siti della Nasa se ne fa un baffo pure di tutto questo

Originariamente inviato da Yrbaf

Bah per quanto possa concordare che soprattutto come è fatto sul Fritz (ossia device per device) sia molto meglio ed abbastanza sicuro, non direi che non introduce nessuna criticità.

Se io un sistema violato nel modo come preferite, magari un malware che riesce a prendere i diritti di root e poi a fare una sessione di amministrazione remota che attraversa il Nat (quindi uPNP off non sarebbe servito) e dà la gestione a qualcun altro.
Ora se quest'ultimo volesse usare il mio sistema per esporre servizi in internet (facilmente accessibili) deve poter mappare delle porte.
Quindi o ora viola anche il mio router per farlo o si trova la porta aperta perché io ho già attivato uPNP su quel device (per magari non perdere tempo a mappare io 4 o 5 porte ed ora lasciando a tutti la possibilità di mappare tutto quello che vogliono in modo silente).

Non sarà da fasciarsi la testa e può essere usato in modo relativamente sicuro soprattutto se ogni tanto si monitorizza cosa risulta attivo per scovare utilizzi strani e non voluti, ma di certo uPNP è solo una comodità e come tutte le comodità abbassa il livello di sicurezza senza se e senza ma.

E concordo pure con queste conclusioni.



In sintesi, in questo ambito dell'informatica la sicurezza assoluta è una chimera.
La sicurezza assoluta esiste al pari e con identiche modalità che indicava un famoso luminare in ordine alla pillola anticoncezionale.. l'unica sicura è quella che non si prende ne prima ne dopo, è quella che si prende invece..!!

Se lasci il computer ed il modem spenti ed i cavi scollegati sei a posto sicuramente.

E poi come raccomandavo sempre ai nuovi arrivati in ufficio il migliore antivirus che esista è quello che si pone tra sedia e tastiera...

[ebeb]

Originariamente inviato da hot_blaster

Questa?

Una curiosità.. perché hai il menu in lingua inglese? Il paese è correttamente impostato come Italia??

[hot_blaster]

Lo preferisco in inglese, spesso mi facilità la lettura di guide o ricerche online.

In System->Language Settings ho selezionato inglese
In System->Regional Option il paese selezionato è Italia

[Tennic]

Originariamente inviato da wrad3n

beh, no, come ho scritto sopra, sul router ho un packet inspection/intrusion detection che controlla i pacchetti in transito (Snort).

Configurato sulle singole porte immagino.
E allora stai barando
Pareva che disattivare UPNP fosse la panacea di tutti i mali, ed io rispondevo in tal senso... Ora invece saltano fuori altre misure protettive...
In tale ottica concordo pienamente, disattivare UPNP deve essere uno dei vari passaggi se si cerca massima sicurezza, non l'unico, quindi stiamo dicendo la stessa cosa
Disattivare UPNP e dire "ora sono al sicuro", mi trova non concorde, perchè ho citato come al malware non interessa del tuo UPNP, della tua VPN, etc
Ma se hai fatto tante altre cose, allora ovviamente hai esigenze avanzate di massima sicurezza e disattivare UPNP è un passo necessario (insieme ad altri 10 ) per raggiungere lo scopo

Ovviamente a casa ognuno ha le proprie esigenze, personalmente non mi sarebbe utile replicare a casa la mia configurazione lavorativa (router Cisco 2800, 3 server Linux, controller AP e relativi AP, e tutti i sistemi di controllo e filtraggio), semplicemente perchè il mio computer casalingo non è esposto, i server a lavoro (server web e non solo, con migliaia di utenti) sono invece esposti su internet.

Ma nel tuo caso, se a casa hai tali configurazioni, sicuramente avrai le tue ragioni, e nel contesto protettivo da te citato, mi trovi d'accordo sul disattivare UPNP.

Ma concorderai che per un comune utente domestico che si collega ad internet, non fa niente di speciale, non invia file classificati alla azienda, ed altri utilizzi particolari, quindi l'utente al quale il 7590 è rivolto, non avrebbe alcun beneficio in termini di sicurezza nel disattivare solo UPNP, in quanto l'eventuale malware (*) non si farebbe alcun problema, con o senza UPNP.

*ma a casa, quanto è probabile prendere un malware così avanzato che sfugge ad un buon antimalware, ed è in grado di stabilire connessioni remote anche aprendo porte ad hoc o attraverso una VPN?

Originariamente inviato da Yrbaf

Bah per quanto possa concordare che soprattutto come è fatto sul Fritz (ossia device per device) sia molto meglio ed abbastanza sicuro, non direi che non introduce nessuna criticità.

Se io un sistema violato nel modo come preferite, magari un malware che riesce a prendere i diritti di root e poi a fare una sessione di amministrazione remota che attraversa il Nat (quindi uPNP off non sarebbe servito) e dà la gestione a qualcun altro.
Ora se quest'ultimo volesse usare il mio sistema per esporre servizi in internet (facilmente accessibili) deve poter mappare delle porte.
Quindi o ora viola anche il mio router per farlo o si trova la porta aperta perché io ho già attivato uPNP su quel device (per magari non perdere tempo a mappare io 4 o 5 porte ed ora lasciano a tutti la possibilità di mappare tutto quello che vogliono in modo silente).

Non sarà da fasciarsi la testa e può essere usato in modo relativamente sicuro soprattutto se ogni tanto si monitorizza cosa risulta attivo per scovare utilizzi strani e non voluti, ma di certo uPNP è solo una comodità e come tutte le comodità abbassa il livello di sicurezza senza se e senza ma.

Parli di malware che assume i diritti di root sul tuo computer?
E che quindi può attivare servizi aprendo porte aggiuntive? Affermativo, col UPNP può, mentre senza UPNP utilizzerebbe porte lecite e già aperte (80, etc).
Ma se apre qualche porta, lo vedi dal router

Riguardo l'ultima frase, pienamente d'accordo, è una comodità, e può essere sfruttata da malware, ma, ripeto, gli stessi malware non pendono dalle labbra del UPNP, e se non riescono a mappare una porta, utilizzano quelle già presenti, senza farsi problemi nel bypassare anche eventuali firewall scadenti sul computer, attraverso tecniche di Dll injection ed altre tecniche che sono OT in questo topic.

Tuttavia, come scritto sopra, se la disattivazione del UPNP è parte di un percorso costituito anche da altre misure, allora ci sta, ma dire che la semplice disattivazione come unica misura porta dei benefici, è errato
Se non associ altre misure protettive, l'unica conseguenza del disattivare UPNP è che devi creare manualmente i port forwarding a TE necessari, mentre un malware riesce tranquillamente ad arrangiarsi anche senza la collaborazione del UPNP, come hanno sempre fatto

Ricordiamo che parliamo di UPNP perchè è una funzione di ausilio domestico, in un prodotto domestico, quale è il Fritzbox 7590 (e tutti gli altri).

Se si ricercano protezioni elevate, perchè il nostro computer è esposto ad attacchi anche dedicati (per qualunque ragione che non sta a noi conoscere), dobbiamo quindi rimboccarci le maniche e fare più o meno quello che ha fatto wrad3n, dove la disattivazione del UPNP è una delle tante cose, perchè se fosse stata l'unica non sarebbe servita a nulla (contro il malware, intendo)

Se parliamo del 7590 e delle sue funzioni, tutto va correlato all'ambito nel quale il 7590 viene utilizzato, dire che non è sicuro perchè... e citiamo esempi spesso improbabili in ambito domestico (a meno che non lavoriamo da casa nell'ambito della sicurezza informatica e testiamo configurazioni e malware), è in contrasto col concetto stesso del prodotto
Ma se ricerchiamo sicurezza a prova di bomba (relativamente parlando ), probabilmente il 7590 non è il dispositivo che ci serve, è un apparato domestico con prestazioni domestiche, seppur di buona qualità in tale ambito. Quello che ci serve è un router enterprise, dei server, e tanta buona volontà per configurarli

[wrad3n]

edit