"Cable Haunt" beveiligingslek en Ziggo modems

[Pasi]

Zo'n 6 maanden geleden ( op 12 jan. ), toen bekend werd dat er een ernstige kwetsbaarheid zit in miljoenen modems, is het draadje ‘Aanpak Ziggo modems verhelpen "Cable Haunt" beveiligingslek‘ aangemaakt.  In dat draadje wordt gevraagd of Ziggo modems dit lek ook bevatten.

Op 13 jan. reageert Ziggo met de onderstaande reactie.

Dat Ziggo dit moet onderzoeken is natuurlijk niet vreemd, maar dat er nooit een antwoord komt wel.

Het laatste logje ( in dat draadje ) is van 8 dagen geleden en onlangs is dat draadje afgesloten, terwijl Ziggo geen nieuwe informatie heeft bekend gemaakt of een echt antwoord heeft gegeven.

Helaas blijkt het ‘antwoord’  "... Wij hebben van Cable Haunt vernomen en hebben dit in onderzoek….” een dooddoener te zijn. Zoals vaak bij Ziggo, wordt er gereageerd ( een antwoord kan je het echt niet noemen ) met een vaag statement, waarmee je niets kan en waarmee/waarover je Ziggo ook niet kan aanspreken. Vaak moet je via-via vernemen of er wat gaande is, maar officieel hoor je nooit iets.

Ik krijg echt de indruk, dat Ziggo dit onder het tapijt probeert te vegen, om zo haar verantwoordelijkheid te ontduiken. Want juist omdat Ziggo nog steeds geen officiële verklaring heeft uitgebracht, doet vermoeden dat er juist wel aan de hand is.

In één van de laatste logjes staat, dat het onderzoek ( na maanden ) nog steeds gaande is.

Omdat dit ‘onderzoek’ al maanden loopt en er nog steeds niets bekend is gemaakt, vraag ik me zelfs af, of Ziggo dit onderzoek ooit wel eens heeft gestart.

Om toch een vinger aan de pols te houden ( blijkbaar moet dat bij Ziggo ), open ik dit draadje. Misschien krijgen we hierin een duidelijk antwoord?

[RoWi.]

Ik heb in april of mei wel een update van de Compal Connectbox gekregen.

CH7465LG-NCIP-6.12.18.26-3p6-GA-NOSH

uiteraard nergens een changelog te vinden.

[Mark]

Pasi wrote:

Mark Ziggo wrote:

Helaas, ik heb nog geen update ontvangen.

Helaas, dat is toch wat te gemakkelijk. Ziggo zal mij geen update sturen en in dit geval u ook niet, want dat is namelijk niet in Ziggo's voordeel.

Als informatie niet ‘gebracht’ wordt, dan moet je het soms 'halen’. Wilt u bij uw managers navragen wat de huidige status is, om zo mij en de andere klanten van Ziggo juist te kunnen informeren?

Anders gezegd, na intern verzoek aan de verantwoordelijke manager tot een update mbt deze casus heb ik in zijn reactie geen nieuwe informatie ontvangen.

[Pasi]

Mark Ziggo wrote:

Pasi wrote:

Mark Ziggo wrote:

Helaas, ik heb nog geen update ontvangen.

Helaas, dat is toch wat te gemakkelijk. Ziggo zal mij geen update sturen en in dit geval u ook niet, want dat is namelijk niet in Ziggo's voordeel.

Als informatie niet ‘gebracht’ wordt, dan moet je het soms 'halen’. Wilt u bij uw managers navragen wat de huidige status is, om zo mij en de andere klanten van Ziggo juist te kunnen informeren?

Anders gezegd, na intern verzoek aan de verantwoordelijke manager tot een update mbt deze casus heb ik in zijn reactie geen nieuwe informatie ontvangen.

noted

[Pasi]

Nadat onderzoekers een kwetsbaarheid in vele miljoenen kabelmodems aantreffen, start Ziggo ( na enig aandringen ) begin dit jaar een onderzoek of de door Ziggo geleverde modems/routers vatbaar zijn voor "Cable Haunt". Sindsdien hult Ziggo zich in stilzwijgen en wil Ziggo haar klanten niet vertellen wat de conclusie/testresultaten zijn. Juist dat ( het niet willen bekend maken van de resultaten ) maakt Ziggo verdacht van e.e.a. onder het vloerkleed te willen vegen.

Ondertussen zijn er tests die klanten zelf zouden kunnen doen, maar Ziggo ( als leverancier van deze verplichte modems/routers ) is verantwoordelijk voor deze apparaten en dient daarom zelf actie te ondernemen en haar klanten te informeren m.b.t. de gevolgen voor de privacy van haar klanten.


Het begint ondertussen eentonig te worden, maar om te voorkomen dat dit  draadje automatisch wordt afgesloten ( terwijl er nog geen antwoord is gegeven ), moet ik weer vragen...

@Mark Ziggo zou je na willen vragen of Ziggo intussen de tests m.b.t. "Cable Haunt" heeft afgesloten en daarna bekend willen maken wat daarvan de conclusie/testresultaten is?

B.v.d.

[Pasi]

Mark Ziggo wrote:

...Anders gezegd, na intern verzoek aan de verantwoordelijke manager tot een update mbt deze casus heb ik in zijn reactie geen nieuwe informatie ontvangen.

Oké, ik weet dat de Ziggo mods het druk hebben. Blijkbaar heeft het Ziggo netwerk het moeilijk met al die thuiswerkende mensen. Toch vreemd, omdat je zou verwachten dat alleen de werkelijke bandbreedte verkocht wordt en niet meer. Het lijkt echter op, dat hetzelfde gebeurt, wat ook in de vliegtuig branch dagelijks voorkomt, namelijk overboekingen. In dit geval, dus meer bandbreedte verkopen dan werkelijk voorhanden is. En als dan iedereen toch het internet op wil, ja …. dan loopt het netwerk vol en krijg je allerlei problemen. Zoals gezegd heb ik met de mod’s te doen, want dit lijkt op dweilen met de kraan open.


ECHTER, @Mark Ziggo wat is de status van het "Cable Haunt" onderzoek?

13 dagen geleden heb ik dezelfde vraag gesteld en tot nu nog geen antwoord daarop gehad. Als ik nu niet zelf in dit draadje reageer, wordt deze straks misschien nog automatisch gesloten, zonder dat u en ik antwoord hebben gekregen of onze privacy in gevaar is door het "Cable Haunt" lek.

[efok]

@Pasi  sta nog steeds achter je volhardendheid inzake cablehaunt, maar ik denk zo langzamerhand dat het onder het kleedje is geveegd, en dat we er nooit meer iets over zullen horen.

zijspoor: overboeking, er is altijd overboeking geweest, en dat is ook niet erg. Niemand trekt continu zijn lijn dicht.

[Lycke]

Goedemorgen!

Mark ligt helaas ziek in bed. Ik verwacht hem in elk geval volgende week wel weer terug :-). Tot die tijd ga ik de vraag niet opnieuw “uitzetten” omdat ik niet weet wat hiervoor al besproken/gemaild is hierover. 

[Pasi]

Lycke Ziggo wrote:

Goedemorgen!

Mark ligt helaas ziek in bed. Ik verwacht hem in elk geval volgende week wel weer terug :-). Tot die tijd ga ik de vraag niet opnieuw “uitzetten” omdat ik niet weet wat hiervoor al besproken/gemaild is hierover. 

Hallo Lycke,

Oei, ziek in bed.  @Mark Ziggo : Beterschap !!!
 

[Pasi]

Vreemd, ik weet toch heel zeker dat een bekende op dit forum, mijn logje van ‘27 dagen geleden’ had ge-quote en aangaf ook nog steeds op de uitslag van het Ziggo onderzoek te wachten.

Dat mijn bericht door een bekende forum schrijver was aangehaald, was voor mij de reden om ( na +/- 14 dagen van vorig logje ) niet zelf weer een logje te schrijven, zodat dit draadje actief blijft

Ziggo hoe kan dit ??

[Pasi]

Oké Ziggo ( @Mark Ziggo ), hoog tijd voor een update.

Wanneer denkt Ziggo de uitslag van het "Cable Haunt" onderzoek bekend te maken?

12 maanden, nadat Ziggo zegt het onderzoek te hebben gestart, is er nog steeds geen uitslag !!!

Het lijkt erop dat Ziggo de resultaten van dit onderzoek onder het vloerkleed wil vegen en zo geheim wil houden voor haar klanten. Blijkbaar geven de tests niet het gewenste resultaat ( zijn Ziggo modems wel lek ) en in plaats van eerlijk met haar klanten te communiceren, kiest dit commerciële bedrijf er voor om haar klanten dom te houden. Het zal Ziggo financieel wel niet uitkomen, dus doet Ziggo gewoon niets. Met het gevaar dat de privacy van de klanten in het gevaar komt, maar dat deert Ziggo blijkbaar geheel niet ( dat doet financieel namelijk geen pijn ).

[Lycke]

Waarom updaten jullie dit bericht alleen als Mark er niet is ;-). 

Mark heeft een weekje training. Ik stuur hem een mailtje zodat hij weet dat hij komende week even een kijkje moet nemn!

[Pasi]

Lycke Ziggo wrote:

Waarom updaten jullie dit bericht alleen als Mark er niet is ;-). 

Mark heeft een weekje training. Ik stuur hem een mailtje zodat hij weet dat hij komende week even een kijkje moet nemn!

Ach, een weekje meer of minder ( sinds januari dit jaar ), maakt ook niet uit. Laat Mark maar even rustig cursussen.

[caesar]

Het lijkt er op dat dit probleem bij modems met een Broadcom chip optreedt, althans die indruk heb ik gekregen.De connectboxjes hebben een Intel Puma 6 chip. Wellicht dat ouder routers van Ziggo wel een Broadcom hebben.

Er waren ook problemen met de Puma chips, en die heeft Ziggo heel snel opgelost (2 jaar).

We moeten niet vergeten dat Ziggo natuurlijk niet zelf aan de firmware van de modems gaat sleutelen, daarvoor zijn ze afhankelijk van de leveranciers. Dan is de vraag hoe goed die leveranciers in staat zijn om die problemen op te lossen. Gezien de vele fouten in de fimware van dit soort routers heb ik geen hoge dunk van de programmeerkwaliteiten van die ontwikkelaars. Ziggo wil natuurlijk ook niet veel betalen voor de routertjes, dus daar is de service van de leveranciers ook naar moeten we maar bedenken.

[Pasi]

caesar wrote:

...Er waren ook problemen met de Puma chips, en die heeft Ziggo heel snel opgelost (2 jaar).

...Dan is de vraag hoe goed die leveranciers in staat zijn om die problemen op te lossen. Gezien de vele fouten in de fimware van dit soort routers heb ik geen hoge dunk van de programmeerkwaliteiten van die ontwikkelaars. Ziggo wil natuurlijk ook niet veel betalen voor de routertjes, dus daar is de service van de leveranciers ook naar moeten we maar bedenken.

Ik verwacht dat de vele vreemde problemen, die vele Ziggo klanten hebben, hun oorsprong hebben aan de oude hardware en slecht software. En dan hebben wij ( de klanten ) alleen nog zicht op de ‘voorkant’, b.v. de apparatuur die klanten krijgen. Maar de ‘achterkant’ ( het netwerk, de backbone, de servers, de …… ) zal niet anders zijn.


Maar …… of Ziggo nu wel of niet haar leveranciers en programmeurs betaald, dat vind ik niet interessant. Ik betaal Ziggo een behoorlijk bedrag per maand en mag daarvoor service eisen. Één van die eisen is, dat Ziggo's apparatuur ( die we verplicht zijn te gebruiken ) natuurlijk enige niveau moeten hebben m.b.t. veiligheid, gebruiksgemak, inzetbaarheid en werking. Dat Ziggo de kwaliteit van een ( noem een gerenommeerd bedrijf ) Humax nooit zal halen, is te verwachten. Maar, zodra bekend is dat heel veel modems in de wereld een lek zou kunnen bevatten, is het minimale wat Ziggo kan doen, haar klanten informeren. Maar zelfs dat vindt Ziggo blijkbaar te veel werk. Anders gezegd, Ziggo wil wel geld van haar klanten aannemen, maar wil geen daarvoor niet de service leveren. Typisch een actie van een groot commercieel bedrijf, die niet bang hoeft te zijn voor concurrentie en dus probeert lastige vragen en/of onderwerpen onder het kleed te vegen. Het gaat tenslotte om geld en niet om klanten.

[caesar]

Het Fraunhofer instituut heeft onlangs consumenten routers onderzocht op veiligheid. Daarbij schreven ze o.a. het volgende:

“Furthermore, we do not evaluate routers of telecommunication providers because their routers are developed and manufactured by OEMs. The providers buy from different OEMs so that each hardware revision of one router can be developed by a different OEM. Additionally, the providers generally do not develop or maintain the firmware of these devices at all”

Dat maakt veel duidelijk lijkt mij.

[Pasi]

Ja.


Dat Ziggo de ( door haar verplicht gestelde ) modem/routers steeds koopt van de goedkoopste/andere aanbieder, is Ziggo's verantwoordelijkheid. Dat Ziggo dan steeds een andere bedrijf en/of andere hardware en/of andere OS/platvorm kiest, is ook Ziggo's verantwoordelijkheid. Of deze verplichte Ziggo apparatuur nu uit Taiwan, Korea, China of ergens anders vandaan komt, is ook Ziggo's verantwoordelijkheid. Dat de diversiteit op Ziggo's netwerk qua hardware en software daardoor steeds groter wordt, is direct gevolg van deze ( gebrek aan ? ) strategie. Dat daardoor het algehele beheer van Ziggo's netwerk er niet gemakkelijker van wordt, is een ook direct gevolg van deze keuzes ( en dat neemt Ziggo op de koop toe ).

Maar dat alles ontslaat Ziggo er niet van, om haar klanten support en service op deze verplichte apparaten te bieden. En dan niet alleen m.b.t. hard- en software, maar ook op de werking ervan, want die is direct het gevolg van de hard- en software.


Één oplossing is natuurlijk het opheffen van de verplichting om Ziggo’s modem/routers te moeten gebruiken. Door de vrijgave daarvan, kan men een eigen modem/router kiezen en dan is Ziggo natuurlijk niet daarvoor verantwoordelijk en hoeft op dat apparaat dan ook geen uitgebreide service te verlenen.

Ondertussen wachten Ziggo's klanten nog steeds op de resultaten/uitslag van het in januari gestarte onderzoek m.b.t. het "Cable Haunt" beveiligingslek en of hun privacy daardoor in het geding is.

[Mark · Accepted solution]

Ik mag eindelijk nieuws brengen!

Alle modems die Ziggo in gebruik heeft zijn gecontroleerd, getest en daaruit blijkt dat ze niet kwetsbaar zijn dankzij de patches van de fabrikanten.

[efok]

Hey @Mark Ziggo, kijk aan. Goed bericht. Bedoel je nu dat ze niet meer kwetsbaar zijn dankzij patches die het afgelopen jaar zijn doorgevoerd? (ik denk aan een kleine software update die mijn TC7210 heeft gehad).

[Pasi]

Mark Ziggo wrote:

Ik mag eindelijk nieuws brengen!

Alle modems die Ziggo in gebruik heeft zijn gecontroleerd, getest en daaruit blijkt dat ze niet kwetsbaar zijn dankzij de patches van de fabrikanten.

Hé Mark,

eindelijk, dat is goed nieuws !!!!


Draadje mag dicht.

[Mark]

efok wrote:

Bedoel je nu dat ze niet meer kwetsbaar zijn dankzij patches die het afgelopen jaar zijn doorgevoerd? (ik denk aan een kleine software update die mijn TC7210 heeft gehad).

Niet alle modems waren kwetsbaar. De modems die kwetsbaar waren zijn allemaal gepatched zodra de desbetreffende fabrikant de patch beschikbaar heeft gesteld.

Pasi wrote:

eindelijk

Dat kun je wel zeggen…