Zyxel-Passwort für Account "zwyfp" - wer kann helfen?

[Thomas (Gast)]

Wir haben hier ein Zyxel-FW hier stehen und würden gerne versuchen und 
mit dem Leak einzuloggen. Der Account lautet "zwyfp" doch im Netz finden 
wir nirgendwo das Passwort. Wer kennt es und kann es uns nennen? Wir 
würden gerne die Hardware testen ob wir betroffen sind.

[Hmmm (Gast)]

Thomas schrieb:
> Wir
> würden gerne die Hardware testen ob wir betroffen sind.

Da es selbstverständlich nur darum geht, einfach in die Liste gucken:

https://www.zyxel.com/support/CVE-2020-29583.shtml

[N.N. (Gast)]

zyfwp / PrOw!aN_fXp

Quelle:
https://www.zdnet.com/article/backdoor-account-discovered-in-more-than-100000-zyxel-firewalls-vpn-gateways/

[Thomas (Gast)]

Hmmm schrieb:
> Thomas schrieb:
>> Wir
>> würden gerne die Hardware testen ob wir betroffen sind.
>
> Da es selbstverständlich nur darum geht, einfach in die Liste gucken:
>
> https://www.zyxel.com/support/CVE-2020-29583.shtml

Das macht die Sache nicht sicherer für uns!

[Thomas (Gast)]

N.N. schrieb:
> zyfwp / PrOw!aN_fXp
>
> Quelle:
> 
https://www.zdnet.com/article/backdoor-account-discovered-in-more-than-100000-zyxel-firewalls-vpn-gateways/

Danke! Werde ich morgen testen! Sollte das Passwort funktionieren, haben 
wir die Anweisung alle Zyxel-Geräte aus der Firma zu entfernen und durch 
andere Hersteller zu ersetzen!

[Hmmm (Gast)]

Thomas schrieb:
>> Da es selbstverständlich nur darum geht, einfach in die Liste gucken:
>> https://www.zyxel.com/support/CVE-2020-29583.shtml
>
> Das macht die Sache nicht sicherer für un

Und warum genau soll es sicherer sein, wenn Du das Passwort kennst? Dass 
die genannten Versionen unsicher sind, ist bekannt, egal ob Dir der 
Login gelingt.

In neueren Versionen dürfte, falls es noch eine Backdoor geben sollte, 
ein anderes Passwort verwendet worden sein.

Thomas schrieb:
> haben wir die Anweisung alle Zyxel-Geräte aus der Firma zu entfernen und
> durch andere Hersteller zu ersetzen!

Relativ sicher kannst Du Dir nur bei Open-Source-Produkten sein.

[Εrnst B. (ernst)]

Thomas schrieb:
> haben
> wir die Anweisung alle Zyxel-Geräte aus der Firma zu entfernen und durch
> andere Hersteller zu ersetzen!

Und welcher Hersteller soll es werden?

Huawei? Da sind zumindest bislang keine NSA-Hintertüren bekannt 
geworden…

[EIWEI (Es_Ist_Wie_Es_Ist) (Gast)]

Εrnst B. schrieb:
> Huawei? Da sind zumindest bislang keine NSA-Hintertüren bekannt
> geworden…

Genauso wie in Cisco & Co amerikanische Backdoors drin sind, kannst Du 
davon ausgehen, dass in Huawei chinesische drin sind.

Ausweg: 100% open-source

[mh (Gast)]

EIWEI (Es_Ist_Wie_Es_Ist) schrieb:
> Genauso wie in Cisco & Co amerikanische Backdoors drin sind, kannst Du
> davon ausgehen, dass in Huawei chinesische drin sind.
Man kann von vielem ausgehen ... aber ob das ohne einen Beweis sinnvoll 
ist?

EIWEI (Es_Ist_Wie_Es_Ist) schrieb:
> Ausweg: 100% open-source
Nur wenn du es auch selbst auf Backdoorfreiheit überprüfst, 100%.

[Εrnst B. (ernst)]

mh schrieb:
> EIWEI (Es_Ist_Wie_Es_Ist) schrieb:
>> Ausweg: 100% open-source
> Nur wenn du es auch selbst auf Backdoorfreiheit überprüfst, 100%.

Auch dann ist das sehr schwer… Zur Erinnerung: der NIST-Standardisierte 
"Dual_Elliptic_Curve Deterministic Random Bit Generator" mit 
NSA-Backdoor.

Da kannst du den Open-Source-Quelltext tausendmal auf Übereinstimmung 
mit der Spec überprüfen und nix finden.

[Jan H. (j_hansen)]

Thomas schrieb:
> Sollte das Passwort funktionieren, haben wir die Anweisung alle
> Zyxel-Geräte aus der Firma zu entfernen und durch andere Hersteller zu
> ersetzen!

Merkwürdige Vorgehensweise. Ob ihr die Geräte austauscht hängt also 
davon ab, wie gewissenhaft ihr gepatcht habt?

[mh (Gast)]

Εrnst B. schrieb:
> mh schrieb:
>> EIWEI (Es_Ist_Wie_Es_Ist) schrieb:
>>> Ausweg: 100% open-source
>> Nur wenn du es auch selbst auf Backdoorfreiheit überprüfst, 100%.
>
> Auch dann ist das sehr schwer… Zur Erinnerung: der NIST-Standardisierte
> "Dual_Elliptic_Curve Deterministic Random Bit Generator" mit
> NSA-Backdoor.
>
> Da kannst du den Open-Source-Quelltext tausendmal auf Übereinstimmung
> mit der Spec überprüfen und nix finden.

Man muss eben alles überprüfen, wenn man sicher sein will, von benutzten 
Algorithmen bis zu den Innereien der tatsächlich verbauten Hardware.