Wifi-AP EOL, är nätverket fortfarande säkert?

Permalänk

Wifi-AP EOL, är nätverket fortfarande säkert?

Mitt nuvarande hemnätverk är väldigt enkelt: Jag får in internet i en Teltonikarouter, och från den går en kabel till en Asusrouter som sänder ut wifi med WPA2 och ett extremt starkt lösenord. Vanligtvis har enbart enheter inom hushållet tillgång till wifi, men det händer ibland att gäster får tillgång till ett tidsbegränsat gästnätverk. Anledningen till att jag använder Asusen för wifi är att Teltonikans wifi inte är särskilt bra, varken i räckvidd eller hastighet.

Problemet är dock att Asusen är EOL och får därför inte några uppdateringar. Teltonikan får regelbundna uppdateringar.

Är Asusen en säkerhetsrisk (och i så fall, hur) och bör därför bytas ut, eller spelar det ingen roll eftersom den enbart används som en AP och nätverkets gränssnitt mot internet är en uppdaterad enhet? Prestandan är godkänd som den är, det är enbart säkerheten jag tänker på.

Om svaret är att den bör bytas ut, vilken produkt är ett bra alternativ med avseende på säkerhet (bland annat god säkerhetshistorik, regelbundna uppdateringar och inte EOL inom snar framtid) och är det säkrare/bättre att skaffa en ren AP istället för en router då jag ändå inte använder routerfunktionaliteten i Asusen?

Permalänk
Arvid Nordqvist-mannen

Eftersom du redan har en router kan det vara värt att titta på en nyare AP från typ Teltonika, TP-link eller Ubiquiti.
Är det ett tidsbegränsat är det lite skitsamma men når ditt WiFi utomhus överhuvudtaget? Om inte så gör det ju inget.

Permalänk
Hedersmedlem

Alla produkter har säkerhetshål. Det är bara en tidsfråga innan de upptäcks.

Om Asus inte längre kommer ut med säkerhetsuppdateringar till din accesspunkt är risken att du inte får säkerhetsfixar när problem upptäcks, och därmed att du inte stänga hålet genom en uppdatering. Du får inte heller "med automatik" koll på kända säkerhetshål i och med att de patchas, och behöver därmed själv hålla koll på säkerhetshålen i fråga.

Om du kan leva med att stänga ner och skrota din Asus-router om och när ett säkerhetshål upptäcks som är allvarligt, och du kan hålla på koll på detta genom att hålla dig uppdaterad om säkerhetshål på andra sätt, så är det i sig ingen större risk att köra något som inte får uppdateringar jämfört med att köra något som inte är EOL.

Sannolikt är det ganska osannolikt att det kommer något slags säkerhetshål som låter en användare som en blixt från klar himmel att bryta sig in i ditt hemmanät, utan att hen först har lösenord till nätverket, däremot finns ju risken att någon som kommit in på din dator kan komma vidare in till routern och göra sig hemmastadd däri. Men det känns inte särskilt sannolikt för en normal hemanvändare att råka ut för.

Ett alternativ kan ju dock vara att köra en tredjeparts firmware som fortfarande får säkerhetsuppdateringar? Finns en hel del sånt på marknaden.

Permalänk
Medlem

Säkerhetsproblemen är sällan på Wifi-stacken, utan mest vanligast i webbgränssnitten.

Du kan säkert flasha typ openwrt om du vill ha något som inte kommer att sluta uppdateras.

Permalänk
Skrivet av tcntad:

Eftersom du redan har en router kan det vara värt att titta på en nyare AP från typ Teltonika, TP-link eller Ubiquiti.
Är det ett tidsbegränsat är det lite skitsamma men når ditt WiFi utomhus överhuvudtaget? Om inte så gör det ju inget.

Ubiquiti UniFi U6+ eller U6 Pro verkar vara rimliga modeller för mig, men jag har ingen koll på Ubiquiti förutom att deras ekosystem är omfattande. Skulle jag kunna använda en sådan AP fristående i mitt nätverk utan att jag har någon av deras andra produkter eller konton?

Skrivet av pv2b:

Alla produkter har säkerhetshål. Det är bara en tidsfråga innan de upptäcks.

Om Asus inte längre kommer ut med säkerhetsuppdateringar till din accesspunkt är risken att du inte får säkerhetsfixar när problem upptäcks, och därmed att du inte stänga hålet genom en uppdatering. Du får inte heller "med automatik" koll på kända säkerhetshål i och med att de patchas, och behöver därmed själv hålla koll på säkerhetshålen i fråga.

Om du kan leva med att stänga ner och skrota din Asus-router om och när ett säkerhetshål upptäcks som är allvarligt, och du kan hålla på koll på detta genom att hålla dig uppdaterad om säkerhetshål på andra sätt, så är det i sig ingen större risk att köra något som inte får uppdateringar jämfört med att köra något som inte är EOL.

Sannolikt är det ganska osannolikt att det kommer något slags säkerhetshål som låter en användare som en blixt från klar himmel att bryta sig in i ditt hemmanät, utan att hen först har lösenord till nätverket, däremot finns ju risken att någon som kommit in på din dator kan komma vidare in till routern och göra sig hemmastadd däri. Men det känns inte särskilt sannolikt för en normal hemanvändare att råka ut för.

Ett alternativ kan ju dock vara att köra en tredjeparts firmware som fortfarande får säkerhetsuppdateringar? Finns en hel del sånt på marknaden.

Absolut kan jag skrota routern om (när) ett hål upptäcks och inte åtgärdas. Det skulle dock kännas tryggare och enklare att föregripa problemet och slippa göra något i sista sekunden, men samtidigt förstår jag att det är osannolikt att något händer i praktiken, därav dilemmat.

Tredjepartsmjukvara var min första tanke men jag lyckades inte hitta någon för just min router (Asus Zenwifi CT8). Om du känner till någon mjukvara som stödjer routern skulle jag gärna vilja veta det, det optimala skulle ju vara att kunna fortsätta få säkerhetsuppdateringar då jag är nöjd med produkten i övrigt.

Skrivet av dlq84:

Säkerhetsproblemen är sällan på Wifi-stacken, utan mest vanligast i webbgränssnitten.

Du kan säkert flasha typ openwrt om du vill ha något som inte kommer att sluta uppdateras.

Det stämmer nog, men det borde väl kunna gå att utnyttja eventuella säkerhetshål via internet även om just mitt nätverk enbart använder routern som en AP? Om ett stort säkerhetshål upptäcks för en produkt borde väl just den produkten bli ganska attraktiv att försöka leta upp, tänker jag.

Angående tredjepartsmjukvara, se svar ovan.

Permalänk
Hedersmedlem
Skrivet av IRQ7_DMA1:

Det stämmer nog, men det borde väl kunna gå att utnyttja eventuella säkerhetshål via internet även om just mitt nätverk enbart använder routern som en AP? Om ett stort säkerhetshål upptäcks för en produkt borde väl just den produkten bli ganska attraktiv att försöka leta upp, tänker jag.

Det beror på.

Din AP är inte direkt exponerad mot internet med några öppna portar i och med att den ligger bakom en annan NAT-burk, därför kan inte vem som helst skicka någon trafik direkt till din AP. De hade behövt gå genom någon enhet på ditt LAN för att nå den. (Däremot finns det ju attacker som inte kräver att accesspunkten är direkt nåbar...)

Men ärligt talat, om någon kommit så långt in så att de är inne på någon annan enhet på ditt LAN är nog att WiFi-AP:n är EOL det minsta av dina problem.

I praktiken kommer detta sannolikt inte vara något problem för dig. Finns betydligt lägre hängande frukt på Internet.

Permalänk
Skrivet av pv2b:

Det beror på.

Din AP är inte direkt exponerad mot internet med några öppna portar i och med att den ligger bakom en annan NAT-burk, därför kan inte vem som helst skicka någon trafik direkt till din AP. De hade behövt gå genom någon enhet på ditt LAN för att nå den. (Däremot finns det ju attacker som inte kräver att accesspunkten är direkt nåbar...)

Men ärligt talat, om någon kommit så långt in så att de är inne på någon annan enhet på ditt LAN är nog att WiFi-AP:n är EOL det minsta av dina problem.

I praktiken kommer detta sannolikt inte vara något problem för dig. Finns betydligt lägre hängande frukt på Internet.

Det låter onekligen som att direkta attacker från internet som utnyttjar oåtgärdade sårbarheter i en inre AP inte är det viktigaste, och att det är mer sannolikt med attacker direkt mot användarnas enheter (och eventuellt AP:n genom dem). Men om jag hade använt Asusen som router istället, alltså att Asusen har direkt kontakt med internet istället för att gå igenom Teltonikan, då antar jag att svaret hade varit att byta ut Asusen eftersom den inte får säkerhetsuppdateringar och har öppna portar direkt mot internet som kan skannas och utnyttjas?

Permalänk
Hedersmedlem
Skrivet av IRQ7_DMA1:

Det låter onekligen som att direkta attacker från internet som utnyttjar oåtgärdade sårbarheter i en inre AP inte är det viktigaste, och att det är mer sannolikt med attacker direkt mot användarnas enheter (och eventuellt AP:n genom dem). Men om jag hade använt Asusen som router istället, alltså att Asusen har direkt kontakt med internet istället för att gå igenom Teltonikan, då antar jag att svaret hade varit att byta ut Asusen eftersom den inte får säkerhetsuppdateringar och har öppna portar direkt mot internet som kan skannas och utnyttjas?

Samma sak där, det beror lite på vad du aktiverar på utsidan och var buggen finns någonstans. Ju färre funktioner man använder desto mindre exponering för risk. Finns inget svart eller vitt säkert eller ej

Permalänk
Hedersmedlem
Skrivet av IRQ7_DMA1:

Det låter onekligen som att direkta attacker från internet som utnyttjar oåtgärdade sårbarheter i en inre AP inte är det viktigaste, och att det är mer sannolikt med attacker direkt mot användarnas enheter (och eventuellt AP:n genom dem). Men om jag hade använt Asusen som router istället, alltså att Asusen har direkt kontakt med internet istället för att gå igenom Teltonikan, då antar jag att svaret hade varit att byta ut Asusen eftersom den inte får säkerhetsuppdateringar och har öppna portar direkt mot internet som kan skannas och utnyttjas?

Om du gillar Teltonika så finns det prisvärda accesspunkter från dem nuförtiden. Jag har själv inte testat dem men generellt brukar de har robusta produkter.

Finns lite olika modeller men TAP200 är den snabbaste, dock endast 802.11ac Wave 2 (WiFi 5). Ett prisvärt alternativ till Ubiquiti om du inte heller har superhöga krav på prestandan eller extremt många klienter anslutna.

Visa signatur

SWECLOCKERS.COM :: If Quake was done today ::
WS: Gigabyte Z690 UD DDR5 :: Core i5 12600K :: 32 GB RAM :: Geforce RTX 3060 Ti :: 10 GbE NIC :: AOC C32G1 32" :: Seagate FireCuda 530 1TB :: Deepcool Matrexx 55
NAS: SM X10-SLM-F :: Mellanox Connect2X SFP+ :: Intel XL710-QDA1 QSFP+

Permalänk
Medlem
Skrivet av IRQ7_DMA1:

Ubiquiti UniFi U6+ eller U6 Pro verkar vara rimliga modeller för mig, men jag har ingen koll på Ubiquiti förutom att deras ekosystem är omfattande. Skulle jag kunna använda en sådan AP fristående i mitt nätverk utan att jag har någon av deras andra produkter eller konton?

Unifi kan du köra utan att ha andra produkter. Aningen via en app i telefonen eller en kontroller mjukvara på en server/dator. Tyvärr inget webgui i sig själva men server mjukvaran blir ett webgui. Kan känns omständligt om man bara ha en enhet, men du kan alltid testa telefon appen. Du behöver inte ha ett online konto utan allt funkar offline, iaf med server mjukvaran.

Men jag skulle nog inte brytt mig om detta om jag inte ansåg att mina grannar var en säkerhetsrisk. Ev långsökt att en besökare skulle ha malware som skulle kunna infektera själva oset på din router, men om du redan segmenterat det så är det kanske inte ens görbart. Att 3rdje part mjukvara skulle göra detta säkert är nog att lura sig själv, wifi stacken kan mycket väl vara stängd kod eller kod som ingen kollar i om den skulle vara öppen. Det är mer troligt att det som patchas är web gui.