Evitando roteadores de ISP (2024)
(routersecurity.org)- O RouterSecurity.org considera que modems e roteadores comprados pelo próprio usuário são mais seguros do que os equipamentos fornecidos pelo ISP, e aponta como riscos centrais a falta de controle sobre configuração inicial, manutenção, gerenciamento remoto e firmware
- Equipamentos de ISP podem receber configurações voltadas à conveniência para reduzir custos de suporte técnico, e senha padrão, DNS bloqueado, atualização de firmware bloqueada e Wi‑Fi público podem reduzir o controle do usuário
- Nos casos de Sky, Virgin Media, Comcast, Verizon, TalkTalk, EE, AT&T e Deutsche Telekom, problemas como DNS rebinding, vazamento de dados, vulnerabilidades de WPS, contas com backdoor, exposição de TR-069 e credenciais padrão se repetem
- Em regiões como os EUA, onde o mercado de internet rápida funciona como um quase monopólio, parte-se da ideia de que os ISPs têm pouco incentivo para oferecer equipamentos ou segurança melhores; uma nota de outubro de 2024 ressalva que essa visão pode se limitar aos EUA
- Ao usar equipamentos próprios, o usuário pode controlar firmware, DNS, equipamento de backup e a escolha do roteador, mas como é difícil acertar de primeira no produto ideal, o mais prático é comprar em lojas que aceitam devolução
Por que recomendar modems e roteadores comprados pelo usuário
- A posição é que a configuração mais segura é evitar equipamentos de ISP e usar modems e roteadores comprados pelo próprio usuário
- Considera-se que os equipamentos fornecidos pelo ISP trazem os seguintes riscos
- Pode haver uma baixa qualidade geral na configuração inicial e na manutenção contínua
- Equipamentos instalados com senha padrão são interpretados como sinal de que o ISP não dá importância suficiente à segurança do usuário
- Segurança e conveniência entram em conflito, e o ISP provavelmente configurará o roteador priorizando a conveniência para reduzir custos de suporte técnico
- O mesmo equipamento distribuído para milhões de clientes vira um grande alvo para atacantes e agentes de vigilância
- Considera-se mais seguro usar equipamentos menos populares
Equipamentos de ISP que limitam o controle do usuário
- Alguns equipamentos de ISP ficam bloqueados para impedir que o usuário altere configurações essenciais
- Houve casos em que não era possível trocar a senha
- Também houve casos em que não era possível trocar o servidor DNS; exemplos citados incluem o BT Business Hub e o Sky Broadband no Reino Unido, além de muitas regiões da França
- No gateway Arris TG1682G fornecido pela Comcast, não era possível alterar o endereço IP da LAN, e mesmo mudando a sub-rede o número do equipamento continuava sempre sendo 1
- A função de atualização de firmware também pode ficar bloqueada, e a visão é que o usuário deveria ter controle total sobre a atualização de firmware
- O ISP normalmente fornece apenas um equipamento, então em caso de falha o usuário pode ficar offline até receber uma substituição
- Ao possuir o próprio equipamento, é possível manter um modem ou roteador reserva para emergência
- No longo prazo, comprar o próprio equipamento pode sair mais barato
- Alguns ISPs cobram aluguel pelo modem ou gateway
- São citados como exemplo a lista de compra de modems para clientes da Time Warner e o site mydeviceinfo.comcast.net da Comcast
Motivação do ISP na escolha do equipamento e a ressalva sobre o mercado dos EUA
- Uma nota de outubro de 2024 afirma que essa avaliação parte da perspectiva do usuário nos EUA e pode não se aplicar da mesma forma a outras regiões
- Considera-se que os EUA passam por concentração de grandes empresas em vários setores, e os ISPs fazem parte desse movimento
- A avaliação é que muitos usuários nos EUA, talvez a maioria, dependem de um único ISP
- Muitas regiões dos EUA estariam perto de uma situação de quase monopólio no acesso à internet rápida
- Um ISP em quase monopólio teria pouco incentivo para oferecer bom serviço, e os clientes ficariam em situação próxima à de cativos
- Como o objetivo do ISP é ganhar dinheiro, espera-se que ele forneça o hardware mais barato que cumpra apenas o necessário
- Reforçar a segurança tende a aumentar chamadas ao suporte técnico, e como esse custo recai sobre o ISP, segurança dificilmente vira prioridade
- Uma resposta de um fórum financeiro de junho de 2022, baseada na experiência de vender equipamentos de rede para operadoras e empresas de cabo, resumiu a prioridade dos equipamentos nas instalações do cliente como “custo, gerenciamento remoto, custo”
- Isso é reformulado como a ideia de que o ISP quer roteadores baratos e controláveis
Wi‑Fi público, vigilância e coleta de dados
- Muitos ISPs tentam implementar redes Wi‑Fi públicas com os equipamentos instalados nas casas, e não haveria motivo para presumir que isso seja feito com segurança
- Texto crítico ao Comcast XFINITY WiFi: Comcast XFINITY WiFi: Just say no
- A Cablevision também faz o mesmo, e Timothy Geigner escreveu que clientes da Cablevision deveriam comprar seu próprio roteador e modem
- A Juniper Research chama esse tipo de equipamento de “homespot router”
- Há casos em que ISPs cooperaram com agências de vigilância ou governos, e a avaliação é que mesmo sem influência externa eles podem inserir backdoors em equipamentos de clientes
- Your ISP is Probably Spying On You, de Harrison Sand, trata de um caso em que o roteador coletava informações dos dispositivos da LAN e as enviava ao ISP
Casos recorrentes de vulnerabilidades em equipamentos de ISP
- Em maio de 2023, um cliente da Spectrum recebeu um roteador com baratas dentro; não é um problema de segurança, mas aparece como exemplo do nível de gestão dos equipamentos de cliente
- Em novembro de 2021, foi divulgada uma vulnerabilidade de DNS rebinding em 6 milhões de roteadores da Sky
- A Sky levou 18 meses para corrigir o problema e teria ignorado com frequência a Pen Test Partners, que encontrou a falha
- Texto relacionado: SkyFail. 6 million routers left exposed
- Em setembro de 2021, foi noticiado que a Virgin Media não corrigia uma vulnerabilidade em roteadores havia mais de 2 anos
- Texto relacionado: Virgin Media Routers Left VPN Users Vulnerable Since at Least 2019
- Uma apresentação da BlackHat em agosto de 2021 tratou do problema de alguns ISPs continuarem incluindo o endereço MAC em endereços IPv6 públicos
- Os pesquisadores encontraram mais de 12 milhões de roteadores e gateways com endereço MAC embutido
- Nos EUA, mais de 1 milhão de roteadores gateway Comcast Xfinity tinham essa falha de projeto
- Em 2019, a Sky Broadband deixou alguns clientes offline após uma atualização no broadband hub, afetando especialmente quem usava servidores DNS diferentes dos da Sky
- Também foi dito que a atualização mais recente parecia ter removido a própria função de troca de servidor DNS
Casos de Comcast, Verizon, TalkTalk e EE
- Uma vulnerabilidade no site da Comcast em 2018 podia expor endereço residencial, nome da rede Wi‑Fi e senha do Wi‑Fi de clientes Xfinity
- O atacante só precisava saber o número da conta do cliente e o número da casa ou do apartamento
- Isso afetava apenas clientes que usavam equipamento da Comcast; quem usava o próprio roteador estava seguro
- O atacante também podia alterar o SSID ou a senha do Wi‑Fi
- Em junho de 2018, foi revelado outro vazamento de dados no qual qualquer dispositivo da rede do cliente Comcast podia chamar uma API e obter número da conta, endereço residencial, tipo de conta e informações sobre serviços ativos
- Em dezembro de 2018, a Tenable encontrou 3 bugs em roteadores e gateways Verizon FIOS
- A Verizon não escrevia o firmware diretamente, então precisava terceirizar a correção, e a resposta aos bugs também ficou dividida entre vários grupos
- Havia bugs já conhecidos que não tinham sido corrigidos, e aparentemente não havia plano de divulgá-los publicamente
- Em maio de 2018, foi confirmado que roteadores da TalkTalk eram vulneráveis ao ataque por PIN do WPS, já conhecido desde 2011
- Em outubro de 2018, o gateway 4GEE HH70 da EE tinha uma conta com backdoor acessível por SSH a partir da LAN
- A EE inicialmente ignorou o problema, e só reagiu depois da intervenção do The Register
- Depois saiu um patch, mas o cliente precisava instalar o novo firmware manualmente
Botnets, spyware e vulnerabilidades em massa
- Em novembro de 2017, foi descoberta uma nova botnet explorando vulnerabilidades em equipamentos ZyXEL
- Era possível fazer login remoto com ID de usuário e senha padrão, e a porta estava aberta
- Havia também uma senha de superusuário hardcoded, permitindo ao atacante obter privilégios de root
- Havia cerca de 100 mil equipamentos infectados, quase todos na rede da Telefonica de Argentina
- Em setembro de 2017, a ESET informou que alguns ISPs de dois países não identificados pareciam cooperar na distribuição do spyware FinFisher
- O método redirecionava usuários-alvo que tentavam baixar apps legítimos como WhatsApp, Skype, Avast, WinRAR e VLC Player para versões infectadas
- A avaliação era de que o ataque tinha fortes sinais de man-in-the-middle em nível de ISP
- Na DEF CON 25, Marc Newlin, Logan Lamb e Chris Grayson anunciaram ter encontrado 26 bugs em gateways e set-top boxes fornecidos por ISPs
- Estavam incluídos equipamentos da Cisco, Arris, Technicolor, Motorola e Xfinity
- Havia várias vulnerabilidades de execução remota de código sem autenticação
- A distribuição de patches levava meses, relatórios formais de bug não eram enviados, e os clientes não eram avisados do problema
- Um documento da Trend Micro de 2017 recomenda, como ponto de partida para a segurança de roteadores domésticos, evitar roteadores gratuitos incluídos no plano de internet
Problemas antigos com configuração padrão e backdoors
- Em 2016, Scott Helme argumentou que o principal critério na escolha de equipamento por parte do ISP era o custo, e que o baixo custo podia levar a baixa qualidade não só no hardware, mas também em áreas como segurança
- Ele cita como exemplo vulnerabilidades graves no roteador EE BrightBox e falhas que continuaram existindo mesmo após patches tardios
- Em outubro de 2016, um ISP australiano distribuiu roteadores com SSIDs muito parecidos com o ID de usuário e a senha padrão
- Em 2015, Lucian Constantin escreveu que a segurança de roteadores fornecidos por ISP frequentemente era pior do que a de produtos vendidos no varejo
- Quando o gerenciamento remoto fica ativado, a interface de administração e suas vulnerabilidades podem ficar expostas à internet
- Mesmo quando o ISP pode atualizar o firmware remotamente, ele nem sempre faz isso com frequência, e o usuário pode não conseguir atualizar por conta própria por causa do acesso limitado
- Em 2015, Bernardo Rodrigues escreveu que os gateways Arris TG862A, TG860A e DG860A tinham XSS, CSRF, senha hardcoded e um backdoor dentro de outro backdoor
- Uma interface HTTP oculta ou um MIB SNMP personalizado podiam ser usados para ativar Telnet e SSH remotamente
- Estimava-se que havia mais de 600 mil equipamentos vulneráveis acessíveis externamente
- A Verizon continuou fornecendo roteadores para novos clientes com WEP como configuração padrão, mesmo depois de já estar estabelecido havia muito tempo que o WEP não era seguro
- A FTC enviou uma carta dizendo que investigava se, em 2014, a Verizon deixou de proteger de forma razoável e adequada os roteadores fornecidos a clientes DSL e FiOS
- O WEP é um padrão abandonado pelo IEEE em 2004 em favor do WPA e, depois, do WPA2
TR-069 e exposição do gerenciamento remoto
- A configuração remota de roteadores e modems fornecidos por ISP é tratada como um grande problema de segurança
- Um dos mecanismos de atualização remota é o TR-069, também chamado de CWMP
- Bugs nesse protocolo foram explorados diversas vezes
- Em novembro de 2016, cerca de 900 mil clientes da Deutsche Telekom ficaram offline por causa de problemas em roteadores
- O ataque começou com uma variante do Mirai, e um dos problemas apontados foi o fato de o ISP não ter protegido portas TCP/IP abertas
- Alguns roteadores fornecidos por ISP executavam servidores TR-064 expostos à internet pública, o que é visto como um grave erro de configuração
- Em abril de 2017, a Wordfence escreveu que a porta 7547 de roteadores não deveria ser acessível pela internet pública
- O Shodan informou que mais de 41 milhões de roteadores domésticos tinham a porta 7547 aberta na internet pública
- Foram encontrados mais de 10 mil roteadores domésticos infectados na Argélia e mais de 11 mil na Índia, algo associado à exposição da porta 7547
- Em 2014, Lucian Constantin escreveu que roteadores domésticos fornecidos por ISP podiam ser comprometidos em massa
- Em 2011, 147 milhões de equipamentos com TR-069 ativo estariam online escutando na porta TCP 7547
- Shahar Tal, da Check Point, considerava que servidores ACS podiam ser facilmente comprometidos
- A especificação do TR-069 recomenda o uso de HTTPS, mas cerca de 80% usavam HTTP inseguro, ficando expostos a ataques man-in-the-middle
AT&T U-Verse e outras portas expostas
- O problema de portas expostas não se limita ao TR-069
- Em setembro de 2017, a Nomotion tratou de duas portas abertas em equipamentos gateway AT&T U-Verse
- Uma era SSH, e a porta TCP 49152 permitiria que um atacante do lado WAN contornasse o firewall
- Também foram encontradas 3 contas com backdoor hardcoded
- O título do texto relacionado é SharknAT&To
- Diz-se que a AT&T, mesmo após a exposição pública do caso, ficou 2 semanas sem falar sobre o problema de segurança, e a Arris também teria permanecido em silêncio após dizer que investigaria
- HD Moore, da Rapid7, considera que alguns ISPs agravam a situação ao distribuir equipamentos de banda larga, como roteadores domésticos, sem validação suficiente ou com configurações de segurança inadequadas
Honestidade, velocidade e escolha de equipamento
- Além da segurança, também se levanta a questão da honestidade do ISP
- Time Warner Cable, isto é, Spectrum e Charter, foram processadas em 2017 no estado de Nova York por supostamente mentirem sobre as velocidades de download fornecidas aos clientes
- Susan Crawford escreveu que quase tudo o que a empresa disse desde 2012 aos moradores de Nova York sobre acesso à internet e serviços de dados parecia não ser verdade
- Os 2,5 milhões de assinantes em Nova York teriam sido informados de que recebiam velocidades de download e upload maiores do que as reais
- As formas como Charter/Spectrum/Time Warner Cable reduziam a velocidade são resumidas em 3 pontos
- Colocavam mais residências em conexões de dados compartilhadas já insuficientes nos bairros
- Pressionavam as conexões entre a rede Spectrum e outras redes
- Empurravam a responsabilidade para consumidores que deveriam receber equipamentos domésticos atualizados
- O processo terminou em dezembro de 2018 com um acordo pelo qual a Charter/Spectrum pagaria US$ 176 milhões
- Os roteadores mesh para consumidores eero, AmpliFi e Google Wifi conseguem executar testes de velocidade no próprio roteador
- O eero aparentemente faz testes de velocidade todos os dias
- AmpliFi e Google Wifi guardam o histórico dos testes, o que facilita ver tendências
- O eero não guarda histórico
- Como os roteadores variam bastante, não se deve esperar acertar de primeira na compra do modelo perfeito para sua necessidade
- Se possível, é melhor comprar o roteador em um lugar que permita devolução
1 comentários
Opiniões do Hacker News
Quem dera. Tenho meu próprio modem e roteador, mas a Comcast não me deixa usá-los a menos que eu pague muitas taxas extras ou aceite um limite mensal de dados ridiculamente baixo
Então uso meu roteador atrás do equipamento da Comcast, o que é bem irritante. Especialmente porque o equipamento modem-roteador integrado da Comcast superaquece e precisa ser desligado da tomada para reiniciar pelo menos uma vez por mês
Infelizmente, na minha casa em San Francisco não há outra opção. Não temos linha telefônica, então DSL não rola, e os serviços de fibra óptica que dizem estar crescendo em San Francisco geralmente chegam só ao centro ou a prédios grandes. A minha casa, que é unifamiliar, não recebe nem a nova fibra da AT&T nem Webpass
No fim, é Comcast ou sem internet. Dizem que San Francisco é a capital mundial da tecnologia, mas a conectividade de internet é pior que a do interior da China. Já passei bastante tempo no interior e em regiões montanhosas da China e, tirando o problema do firewall, tanto a rede móvel quanto a fixa eram muito melhores que as de San Francisco
É inacreditável que, em 2025, esse tipo de problema ainda exista em uma grande cidade de tecnologia
Antes eu ligava a fibra diretamente no meu Fritz!Box com um módulo XGS-PON SFP e, hoje, uso o ONT do provedor conectado a um Unifi Cloud Gateway Max. Esse ONT é, na prática, apenas um conversor de mídia que transforma fibra em Ethernet
Por aqui, também há muita gente conectando equipamentos UDM ou OpnSense diretamente à fibra com módulos Zaram XGS-PON. É triste ter que lidar com limite de dados; na Holanda, desde que passamos de 56k6 para ADSL, sempre foi ilimitado. Também uso 5G ilimitado por 25 euros por mês
Mas acho que também devo mencionar que não temos água encanada potável, então precisamos usar água da chuva
Pago 130 dólares por mês por 1,4 Gbps e dados ilimitados. É caro, mas eu também não tenho outra opção. A Sonic termina um quarteirão antes, e não consegui convencê-los a passar cabeamento até o nosso quarteirão
Como estou nesse plano há vários anos, talvez eu ainda tenha condições de assinante antigo, ou talvez o representante de vendas da Comcast tenha ocultado as opções de você
Os grandes provedores de internet também fazem acordos informais para não competir em determinadas regiões. Isso afeta áreas residenciais suburbanas, urbanas e rurais, e imagino que seja muito pior no campo
Como sabem que não há opções, não têm motivo para se esforçar no atendimento ao cliente ou em melhorias
A internet baseada em redes móveis deu um certo respiro, mas tem a desvantagem de sofrer limitação de velocidade quando há congestionamento, e a latência em geral também não é boa
O exemplo ideal de internet municipal que conheço é a EPB, de Chattanooga, Tennessee. Ela oferece conexões simétricas de 1000 Mbps a 25.000 Mbps até para clientes residenciais https://epb.com/fi-speed-internet/?#choose-your-plan
O plano de 1 Gbps é mais barato que o Google Fiber, e o de 2,5 Gbps também é competitivo. O dinheiro fica no ecossistema local, cria empregos bem pagos, e os lucros são reinvestidos na rede em vez de irem para recompra de ações ou executivos que fazem longos deslocamentos de jatinho particular
A história da colônia de baratas é meio injusta
Insetos gostam do calor e do ruído de eletrônicos. Se um eletrônico fica armazenado por muito tempo, insetos podem entrar nele a partir de objetos ao lado
Isso pode acontecer do mesmo jeito com roteadores que não são equipamentos de provedor de internet. Claro, não tenho estatísticas para sustentar essa afirmação, mas o outro lado também não tem
Seu roteador open source favorito também pode ter ficado mais tempo no depósito
Tenho opiniões complicadas sobre roteadores de provedores de internet e sobre os próprios provedores, mas infestação de insetos em eletrônicos é um problema sério e não está diretamente ligado aos provedores de internet
E por que deveria haver equipamento usado na prateleira ao lado do roteador novo que eu quero comprar?
Se for equipamento usado, dá para dizer que “é possível nessa medida”, mas, se eu for comprar um roteador, não vou comprar usado
O texto linkado diz que havia uma colônia de baratas vivas dentro da embalagem enviada pelo provedor de internet. Se a empresa não percebeu algo assim, o que pensar da segurança da cadeia de suprimentos dela?
Se você recebe uma embalagem com insetos de um lugar onde compra eletrônicos, precisa trocar de fornecedor. Isso não é normal
Por sorte, a UPS deixou aquilo jogado na neve, e eu só encontrei alguns dias depois, então as baratas tinham congelado e morrido. Por isso não recomendo roteadores de provedores de internet nem equipamentos relacionados
Em uma notícia parecida, a agência reguladora alemã BNetzA reafirmou há duas semanas que redes ópticas passivas não são exceção ao TKG, ou seja, ao §73(1) da Lei de Telecomunicações https://www.bundesnetzagentur.de/SharedDocs/Pressemitteilung...
Esse dispositivo exige que a interface entre o provedor e o cliente seja uma interface passiva, portanto obrigar o uso de um ONT já é, por si só, uma violação
E isso vai na direção certa. Os vários padrões PON são suficientemente bem padronizados e conseguem operar no modo padrão da maioria dos fabricantes de equipamentos. As operadoras podem perder alguns recursos proprietários, mas, olhando para o passado, os fabricantes se adaptaram ao mercado alemão
A lei também permite exceções, mas elas se limitam principalmente a quando isso é necessário por causa da tecnologia de acesso. Mesmo nesses casos, ela deixa claro que o equipamento que conecta o dispositivo do usuário final ao serviço, ou seja, o roteador, não pode ser imposto pelo provedor de internet. Ele pode ser oferecido, mas não se pode impedir o usuário de conectar seu próprio equipamento
Às vezes sinto saudade da época em que morava na Alemanha
Vendo o comportamento dos provedores de internet daqui, há muita coisa absurda. A Austrália tem um histórico considerável de ter estragado sua infraestrutura nacional de internet, mas pelo menos você pode escolher praticamente qualquer provedor e usar o roteador que quiser
Acho que faz uns 15 anos que não uso um roteador fornecido pelo provedor de internet
As opções de provedor por região são totalmente uma loteria. Mesmo em cidades regionais grandes, muitas vezes eram péssimas, e quem mora no campo ou em lugares remotos é tratado como se não existisse. Se eu me mudasse para um lugar onde só a Telstra atende, acho que consideraria seriamente ficar sem internet. Pagar à Telstra e ter acesso à internet dá mais ou menos na mesma, só que não pagar é muito mais barato
A pegadinha mais marcante foi com a DSL da Verizon. A cada tentativa de conexão de entrada, eles me alugavam um novo IP público. O IP mudava na mesma velocidade com que eu conseguia registrar o novo IP na configuração remota e reconectar, e dava para levar isso a mais de 6 vezes por minuto
Não é necessário um modem auxiliar, e você pode até conectar um PC diretamente, o que reduz bastante o sofrimento e também diminui a necessidade do modem fornecido pelo provedor
Os roteadores da AT&T Fiber antigamente tinham tendência a superaquecer, faziam promessas vazias como o modo “DMZ Plus” e, por causa de vários problemas, chegou a surgir um mercado clandestino de compra e venda de arquivos de certificado da AT&T roubados da internet
Isso porque, quando os equipamentos eram separados, a AT&T usava 802.1x entre o equipamento combinado “roteador/gateway” e o ONT. A rede XGS-PON da AT&T hoje é em sua maior parte integrada, então desta vez as pessoas estão criando módulos SFP+ compatíveis para substituir toda a pilha GPON
Posso estar errado, mas entre os provedores de internet dos EUA, parece que só a AT&T Fiber nem sequer permite que o usuário se conecte diretamente à rede. Se você usa o roteador fornecido, eles oferecem apenas o modo “DMZ Plus”, mas ainda assim esse roteador/gateway gerencia a tabela de estados, então você fica vulnerável a problemas de hardware e software do equipamento do provedor
No fim, as pessoas acabam programando módulos SFP+ só para usar um roteador/modem mais seguro e aprendem sobre a rede do provedor muito mais profundamente do que seria necessário
Por causa de questões de segurança, várias pessoas publicaram guias ou até tocaram negócios explorando o firmware do roteador/gateway para extrair certificados e chaves privadas dos equipamentos da AT&T. Isso não serve para usar internet de graça, apenas permite autenticar na rede com o próprio equipamento
Como é meu equipamento, que a operadora me obrigou a comprar para usar o serviço, posso fazer com ele o que quiser
Se isso fosse para roubar o serviço, eu concordaria, mas nós só não queremos usar um equipamento instável e inaceitável
Só olhando para o custo, concordo totalmente. Em comparação com o aluguel pago ao provedor de internet, meu modem a cabo já se pagou há muito tempo
E é melhor comprar modem e roteador separados. Equipamentos integrados são mais difíceis de diagnosticar, e você não consegue reutilizar o roteador ao mudar para outro tipo de acesso
“No longo prazo, comprar seu próprio hardware pode sair mais barato” é exatamente o motivo pelo qual meu provedor de internet me obriga a alugar o equipamento deles
É a história clássica de empurrar o poder dominante de um mercado para outro
No fim, trato a rede como qualquer outra rede. Presumo que a rede já foi comprometida, e a segurança deve ficar nos dispositivos finais
Concordo com o texto, mas, sobre a parte “a função de atualização de firmware também pode estar bloqueada. Você deve ter controle total sobre as atualizações de firmware”, vale acrescentar que, estranhamente, em modems DOCSIS, mesmo quando você comprou o modem, o provedor de internet controla o firmware
Eles podem empurrar firmware arbitrário para o meu modem, e de fato fazem isso. Por algum motivo, os fabricantes também colaboram com isso
Por isso também é essencial separar modem e roteador
Ou seja, ele sabe muito bem para onde você está indo; só nem sempre sabe o que está sendo transmitido lá. Às vezes, sabe isso também
Por outro lado, se você usa o roteador e o modem deles, a fronteira de responsabilidade se desloca para a porta Ethernet do lado interno do roteador, e fica muito mais fácil receber suporte
Para mim, isso é mais importante do que o controle. E sei bem que eles não têm tempo para me vigiar. Já que apelar para autoridade é divertido, acrescento que trabalhei por décadas como engenheiro e arquiteto de redes
Meu provedor de internet me enviou um Fritz!Box e também ofereceu a opção de usar meu próprio equipamento. O aparelho já vinha pré-configurado para uso com o provedor
Nas configurações, desativei por alternância o acesso remoto e o TR-069, e troquei a senha de administrador. Para controlar um roteador desses, na prática isso já basta
Há motivos para não gostar dos roteadores da AVM, mas o software é bem sólido em termos de configurações do usuário e segurança de rede. Não é um equipamento ruim, e grandes provedores de internet conseguem descontos consideráveis em compras em volume, então podem oferecê-lo por um aluguel mais barato do que comprar na loja
Em um dos meus empregos anteriores, encomendamos um palete de roteadores Huawei, e eles chegaram com um firmware customizado feito por outro provedor de internet. Estavam completamente bloqueados e só podiam ser configurados via TR-069 e recursos ONT proprietários da Huawei
Outro cliente distribuiu roteadores que eram gerenciados apenas pela nuvem do provedor de internet. Nem era TR-069: faziam apenas DHCP e depois contatavam a central por um protocolo proprietário. O cliente dizia que era mágico poder reiniciar remotamente o roteador dos clientes, mas o fabricante faliu oito meses depois, deixando um monte de roteadores pré-configurados sem portal na nuvem e sem caminho adiante. É até surpreendente que ainda não tenha surgido um caso de sequestro de DNS
Joguei o aparelho fora logo no dia seguinte