Roteadores Linksys Velop enviam senha do Wi‑Fi em texto puro para servidores nos EUA
(stackdiary.com)- A organização belga de defesa do consumidor Testaankoop afirmou que os roteadores mesh Linksys Velop Pro 6E e Velop Pro 7 enviam informações de login do Wi‑Fi em texto puro para servidores AWS nos EUA
- Os pacotes transmitidos durante verificações de instalação incluíam o SSID configurado e a senha, um token de identificação da rede e um token de acesso para a sessão do usuário
- O teste foi realizado com o firmware mais recente disponível na época, e embora a Linksys tenha lançado uma atualização de firmware após o alerta de novembro de 2023, o problema não foi resolvido
- Usuários afetados podem evitar a transmissão de texto legível ao alterar o nome da rede Wi‑Fi e a senha pela interface web em vez do app
- A Testaankoop desaconselhou fortemente a compra desses modelos, e como a linha Velop também é recomendada para pequenos escritórios, há preocupação tanto em ambientes pessoais quanto de trabalho
Modelos Velop com transmissão em texto puro confirmada
- A Testaankoop, organização belga de defesa do consumidor, confirmou que dois tipos de roteadores Linksys enviam informações de login do Wi‑Fi em texto puro para servidores AWS da Amazon
- Os modelos afetados são os roteadores mesh Linksys Velop Pro 6E e Velop Pro 7
- Durante verificações rotineiras de instalação, foi detectado o envio de vários pacotes de dados para servidores AWS nos Estados Unidos
- Os pacotes continham, em texto puro, o nome do SSID configurado e a senha
- Também incluíam um token para identificar a rede dentro de um banco de dados maior
- Um token de acesso para a sessão do usuário também era enviado
- Esse método de transmissão pode aumentar a possibilidade de ataques man-in-the-middle (MITM)
- Se um invasor interceptar a comunicação entre o roteador Linksys e os servidores da Amazon, poderá capturar o SSID e a senha transmitidos em texto puro
- Isso cria o risco de ler ou alterar o nome da rede e a senha, além de permitir acesso não autorizado à rede
Estado do firmware e resposta dos usuários
- A Testaankoop realizou os testes com o firmware mais recente disponível no momento
- O Velop 6E foi testado várias vezes, e o último teste foi feito com o firmware
V 1.0.8 MX6200_1.0.8.215731 - O novo Velop Pro 7 foi testado com o firmware
1.0.10.215314
- O Velop 6E foi testado várias vezes, e o último teste foi feito com o firmware
- A Linksys lançou uma atualização de firmware após o primeiro alerta, em novembro de 2023, mas as preocupações levantadas pela Testaankoop não foram resolvidas
- O problema de segurança pode ter se originado em software de terceiros usado no firmware da Linksys, mas a Testaankoop entende que isso não justifica a vulnerabilidade
- Para usuários que já possuem esses roteadores, recomenda-se alterar o nome da rede Wi‑Fi e a senha pela interface web em vez do app
- Essa medida é uma precaução para impedir que o nome do SSID e a senha sejam transmitidos como texto legível
Resposta da Linksys e recomendação de compra
- A Testaankoop entrou novamente em contato com a Linksys alguns dias antes da publicação e deu uma breve oportunidade de resposta, mas não recebeu confirmação nem solução do fabricante
- O Stack Diary também perguntou à Linksys em 9 de julho sobre os planos de resposta, e até 14 de julho não havia recebido resposta
- Após longos testes, a Testaankoop desaconselhou fortemente a compra do Linksys Velop Pro WiFi 6E e do Pro 7, concluindo que o risco de invasão de rede e perda de dados é grave
- Roteadores mesh como a série Velop são projetados para melhorar a distribuição de Wi‑Fi em casas grandes ou de vários andares com vários nós de conexão, mas a forma como o Velop Pro WiFi 6E e o Pro 7 transmitem dados enfraquece os benefícios de segurança que deveriam oferecer
2 comentários
A desculpa é que seria para que os atendentes de suporte possam ajudar usuários que esqueceram a senha
Opiniões no Hacker News
Ao ler estes comentários, parece que todo mundo acha aceitável enviar a senha para um servidor, e que o único problema é ela não estar criptografada?
Para começo de conversa, eu não esperaria que a senha fosse enviada a um servidor.
Um roteador que faz isso não serve ao seu propósito e, na verdade, já faz alguns anos que eu não considero os roteadores da Linksys bons produtos de modo geral.
Texto puro é fácil de observar, e as pessoas conseguem descobrir, o que pode gerar dano de imagem; já uma senha criptografada é, na prática, difícil de rastrear.
Pelo mecanismo TR-69, os roteadores Verizon FiOS enviam a senha do Wi-Fi local para um sistema central de gerenciamento.
A desculpa que ouvi foi: “para permitir que o suporte ajude usuários que esqueceram a senha” :-/
Além disso, se o app do provedor permite alterar a senha do equipamento fornecido, há grande chance de que essa senha trafegue em texto puro, pelo menos dentro de pacotes TCP/TLS.
Fico aliviado por ter o hábito, desde sempre, de não usar roteadores fornecidos pela operadora.
Depois era só fazer login no roteador e definir uma nova senha.
Se eu fosse um provedor de internet e recebesse solicitações demais de suporte relacionadas a senha de Wi-Fi, consideraria incentivar mais o uso de WPS.
Odeio muito a forma como a indústria de roteadores deixou de ser de equipamentos de rede local confiáveis e virou a de dispositivos inteligentes.
A mesma exploração do cliente que vimos em outros setores acontece aqui também. Por exemplo, a TP-Link, como empresas tipo Roku, usa dark patterns em seus roteadores e, depois de atualizar os termos de serviço, obriga o usuário a aceitar um pop-up para poder usar o app.
O app é o único meio de acessar a maioria das funções de configuração do roteador, diferente do método antigo de entrar em uma página web protegida por senha para configurá-lo. Se você não aceitar os novos termos, não consegue mais controlar o roteador que controlava até então.
Além disso, dentro do app, eles continuam empurrando testes de serviços inúteis e indesejados com mecanismos de indução, como badges circulares vermelhos ao lado de itens de menu ou elementos da interface.
Não me surpreenderia se houvesse termos que permitissem abusos da minha privacidade e segurança, como no caso da Linksys.
Mas para onde ir? Todas as empresas estão fazendo isso. Talvez nem consigam sobreviver sem isso. Por isso parece necessária uma regulação, como responsabilização por violações de segurança e limites para abusos em termos de serviço.
Isso é realmente texto puro, ou texto puro dentro de HTTPS? O artigo e o material original não dizem.
Uma senha estar em “texto puro” dentro de uma requisição HTTPS é bastante comum. Quase todos os logins de apps web funcionam assim.
Se não for HTTPS, há muitos outros problemas além de colocar uma senha em texto puro dentro da requisição.
Se for HTTPS, o problema real é a senha não permanecer local e ser enviada para algum lugar. Essa prática é muito mais controversa, mas infelizmente também é algo comum em muitos roteadores para oferecer recursos de gerenciamento por nuvem/app.
Os únicos motivos que me vêm à cabeça são configurar um segundo aparelho de forma mais “automática” para uma rede mesh, ou manter a mesma senha após uma redefinição de fábrica. Ambos têm soluções melhores.
Se a ideia é definir uma nova senha, não sei por que a senha atual seria necessária; e se a senha do Wi-Fi estiver sendo usada como credencial de acesso para gerenciamento remoto, isso é ruim, porque ter acesso à minha rede não deveria equivaler a ter permissão de administração.
Se isso for realmente necessário, daria para fazer muito melhor enviando apenas uma senha com hash e sal suficiente.
Se tivessem acesso à chave privada do certificado do servidor da Linksys, isso teria sido uma notícia muito maior.
É impressionante que uma organização de testes para consumidores tenha especialização técnica suficiente para descobrir isso.
Era um problema que não seria encontrado usando o produto como um consumidor comum; só daria para perceber fazendo esforço deliberado para encontrar bugs de segurança.
Seria muito bom se os fabricantes de roteadores WiFi usassem OpenWRT
Se quiserem, podem aplicar uma skin como a gli.net faz; no mínimo, a base poderia ser OpenWRT. É aberto e funciona bem
A diferenciação de produto pode continuar sendo feita colocando mais antenas e somando todos os números de velocidade para fazer parecer realmente rápido
https://www.gl-inet.com/support/firmware-versions/
https://github.com/gl-inet/openwrt
E também é simples instalar o OpenWRT puro usando o método sysupgrade do OpenWRT
https://openwrt.org/toh/gl.inet/gl-mt6000#installation
Era fácil de configurar, tinha bom desempenho, alguns recursos avançados e recebia atualizações de segurança por anos
Há uns 2 anos, quando o Fritz!Box de um colega do escritório e o meu quebraram, tiramos um AirPort Extreme antigo da gaveta; ele não só ainda funcionava muito bem, como também era bastante competitivo como roteador 802.11ac
Sou nerd a ponto de ter montado um roteador com OpnSense alguns anos atrás, e ele funcionava muito bem
O único motivo de eu ter parado foi um problema incontornável entre o BSD e uma placa Broadcom 10Gbe específica; no fim, improvisei algo com ClearOS e depois passei a usar NixOS
Não há motivo claro para não fazer isso
Portanto, comprar GLI.NET não garante que você terá hardware rodando um “OpenWrt de verdade”
Ainda é preciso verificar a lista de compatibilidade de hardware ou, melhor e mais atual, conferir a lista de arquivos DTS do git master atual do OpenWrt
Esse problema não se limita à linha Velop
Enquanto eu trocava um EA7500 para openWRT, vi exatamente as mesmas informações sendo enviadas quando ele forçava o login pelo portal web mylinksys e tentava estabelecer conexão com o servidor doméstico
“Apesar de termos alertado a Linksys em novembro, nenhuma medida efetiva foi tomada”
Novembro? Novembro mesmo? Claro, há muitos feriados nessa época
Ainda assim, se a empresa não está trabalhando ativamente no caso nem se comunicando, acho que algo assim deveria ter sido divulgado publicamente no máximo até o fim de janeiro
É vergonhoso. Ficar meses sem responder é uma conduta ativamente maliciosa, e a empresa inteira deveria ser punida de acordo, não apenas algum desenvolvedor descartável para levar a culpa
Eu gostaria que a Apple voltasse ao negócio de roteadores WiFi
Pela postura em privacidade e segurança, confio mais na Apple do que na maioria das outras marcas
Infelizmente, a Apple vende roteadores Linksys como substitutos dos produtos antigos dela
As pessoas querem ser donas do próprio hardware
O bootloader e todos os dispositivos onboard precisam ter código-fonte aberto
O código-fonte do firmware para todas as NPUs, mecanismos de offloading e outros dispositivos no caminho de dados Ethernet precisa ser fornecido
O kernel Linux mainline deve oferecer suporte a boot totalmente sem blobs, exceto para WiFi/RF
Deve ser possível habilitar acesso ao TrustZone por jumper, e o usuário final deve ter gerenciamento completo das chaves
Seria bom que houvesse um header de porta UART serial instalado internamente
Mas não acho que a Apple vá criar um dispositivo tão amigável ao usuário a ponto de permitir instalar OpenWrt facilmente em 5 minutos após tirar da caixa. Além disso, provavelmente cobraria caro por ele