Kompakte Notebooks Kompakte Notebooks - Wuala

Prüfstand | ADSL-WLAN-Router
hand der Hardware-Adresse (MAC) filtert
oder per DHCP einem PC gemäß seiner MAC
immer dieselbe Adresse zuteilt. Sonst würde
die heute für den Rechner des Sprösslings
eingerichtete Regel morgen den Vater von
entspannender Internet-Schau abhalten.
Kinderschutz
Die Erziehung des Nachwuchses zur Medienkompetenz
ersetzen solche Filter jedoch
nicht. Denn mit etwas Hintergrundwissen lassen
sie sich aushebeln, und eine Liste der
erlaubten Seiten zu pflegen, frisst zu viel Zeit.
Kompletter Unfug sind Filter, die in URLs,
Hostnamen oder dem Seitentext nach
Schlüsselwörtern suchen. Denn die üblichen
Begriffe blockieren auch die Suche nach Terrorismusexperten.
Trotzdem sind sie leicht zu
umgehen, etwa indem man einzelne Buchstaben
kodiert eintippt (p%6Frno).
Wirksamer sind Filter von Dienstleistern,
die den Inhalt von Internetseiten in Kategorien
einordnen, die sich dann gezielt sperren
lassen. Leider arbeitet nur noch Draytek
mit einem solchen Dienst zusammen. Belkin
und Netgear haben es vor Jahren versucht,
bauen diese Funktion aber in keinen der
Testkandidaten ein.
Unter dem Namen Kinderschutz bieten
einige Router Online-Zeitkontingente und
zeitgesteuerte Zugriffssperren an: Zur Bettzeit
oder nach einer täglichen Maximalzeit
drehen sie den Datenhahn zu. In der Regel
stellt man das pro PC ein. Anders bei AVM:
Eine Windows-Zusatzsoftware meldet an die
Fritzbox, wer gerade angemeldet ist und die
Sperren wirken so auch bei mehreren Benutzern
desselben Rechners.
Damit zeitabhängige Dienste funktionieren,
muss die Uhr des Routers richtig gehen.
Alle Kandidaten holen sich die Uhrzeit per
Network Time Protocol (NTP) aus dem Netz.
Der Zeitserver sollte konfigurierbar sein,
damit die Router-Uhr auch noch richtig tickt,
wenn ein NTP-Dienst abgeschaltet wird oder
auf einen anderen Server umzieht.
Im 11n-Modus bekam der 3Com 3CRWDR-
300B-73 keinen Kontakt zum Test-
Notebook mit Centrino-WLAN-Modul.
Sicherheit
Um das LAN zu sichern, braucht man also
nicht am Router herumkonfigurieren. Wichtiger
ist, das Gerät selbst ausreichend zu sichern,
denn es enthält für Hacker schmackhafte
Daten: Mit den Einwahldaten vom Provider
lässt sich auf fremde Rechnung surfen
und wer von außen an die Konfiguration
kommt, kann sich leicht ein Einfallstor ins
LAN bauen. Das ist keine theoretische Überlegung,
denn es gibt im Internet tatsächlich
Seiten, die den Browser per Cross-Site-Scripting
zu Manipulationen an der Router-Konfiguration
bringen.
Für ein „zufriedenstellend“ in der Sicherheitsnote
stellen wir daher vier einfache
Forderungen: Die Fernkonfiguration aus
dem Internet soll in der Werkseinstellung
deaktiviert sein und es darf keinen undokumentierten
Konfigurationszugang geben,
der offen steht. Außerdem soll ein durchschnittlich
fauler Anwender nach der
Grundeinrichtung eine sichere Konfiguration
eingestellt haben: Erforderlich sind je
ein individuelles Passwort für die Konfigurationsseiten
und für die WPA-Verschlüsselung
des WLAN. Diese beiden Einstellungen
müssen entweder schon bei der Auslieferung
vorhanden sein oder der Einrichtungsassistent
muss dem Nutzer helfen, sie zu
setzen. Ein lapidarer Hinweis „Sie sollten lieber
ein Passwort setzen“ genügt nicht, weil
erfahrungsgemäß die Faulheit siegt. Eine
bessere Note gibt es für alle Funktionen
und Voreinstellungen, die den Router weiter
sinnvoll sichern.
Diese praxistauglichen Minimalanforderungen
erfüllten nur zwei Geräte. Den Sicherheits-GAU
leistet sich Airlive: Nicht nur das
LAN, sondern das gesamte Internet ist eingeladen,
per HTTP, Telnet, FTP und SNMP die
Einstellungen im Klartext auszulesen und
sogar zu ändern. Selbst wenn man das Browser-Passwort
ändert, ist der SNMP-Zugang
noch nicht gesichert, da sein triviales Passwort
an einer ganz anderen Stelle steht.
Eine potenzielle Sicherheitslücke ist auch
Microsofts Universal Plug and Play, da sich
darüber Port-Weiterleitungen aus dem Internet
ins LAN ohne Passwort-Prüfung einrichten
lassen. Das erleichtert Online-Gamern die
Verbindung, wird aber auch von Trojanern
genutzt. Wenn man diese Teilfunktion nicht
getrennt abschalten kann (nur bei AVM und
Zyxel), sollte man UPnP lieber komplett deaktivieren.
Keiner der Kandidaten lässt sich mit dem
Text-Browser Lynx bedienen, da alle ihre Konfigurationsseiten
mit reichlich JavaScript garnieren.
Wer Änderungen automatisieren
möchte oder über eine extrem langsame Verbindung
etwas ändern muss, profitiert daher
von einem Kommandozeilen-Zugang per Telnet
oder SSH. Um die Konfiguration in einem
Rutsch auszulesen und wiederherzustellen,
ist das nicht mehr erforderlich, denn alle Kandidaten
bieten einen Down- und Upload der
Gesamtkonfiguration per Browser.
Um den Router in ein Host-Überwachungssystem
einzubauen, braucht man
SNMP oder den Log-Versand per syslog-Protokoll.
Das ist jedoch bei dieser Geräteklasse
eher selten. Doch wenn solche Zugänge
nicht dokumentiert sind und mit einem trivialen
Passwort offen stehen, stellen sie ein
Sicherheitsproblem dar.
ADSL
Die ADSL-Fähigkeiten vermaßen wir im
Labor des Netzbetreibers htp in Hannover.
Als Gegenstelle diente ein DSLAM des Typs
SURPASS hiX 5300 von Siemens. Zwischen
ihm und dem Messplatz lagen 571 Meter
echter Leitung, die wir mit einem Leitungssimulator
LS 10.02 von Dresden Elektronik
verlängerten.
Die Telekom hat ihre Anforderungen an
ADSL-Modems in der „Schnittstellenbeschreibung
U-R2“ festgelegt. Der Einfachheit
halber legen auch fast alle anderen deutschen
ADSL-Anbieter die U-R2 zugrunde.
Darin steht unter anderem, bei welcher Leitungsdämpfung
welche ADSL-Geschwindigkeiten
möglich sein sollen. Da die Dämpfung
vor allem von der Länge der Leitung abhängt,
bestimmt die Entfernung vom
DSLAM, welche Geschwindigkeit man angeboten
bekommt. Im Zweifelsfalle prüft der
ADSL-Provider die Dämpfung und entscheidet
dann, wie viele MBit/s er ihr zutraut. Die
Rate wird dann im DSLAM fest eingestellt.
Etwas anders sieht es bei den „bis zu
16 MBit/s“ schnellen Zugängen aus. Hier
schaltet der Provider nur diese Obergrenze
und die tatsächliche Rate handeln ADSL-
Modem und DSLAM selbst aus. Sie hängt
nicht nur von der Dämpfung ab, sondern
auch von Störungen durch benachbarte
ADSL-Verbindungen, von Knicken und Brüchen
im Telekom-Kabel und nicht zuletzt
vom Zusammenspiel der beiden Geräte.
Nicht nur die verschiedenen Provider setzen
unterschiedliche DSLAMs ein, auch innerhalb
der Netze gibt es je nach Region und Ausbauzeitpunkt
Geräte von ganz verschiedenen
Herstellern. Dieser ganze Zoo lässt sich nicht
vollständig mit allen Modems vermessen.
Alle Modems schafften die Bedingungen
der U-R2 in unserem Testaufbau mit Leichtigkeit
– nur das Zyxel erreichte auf der kur-
Den Sicherheits-GAU beim Airlive WT-
2000ARM wiegt auch die für ein 11g-Gerät
sehr gute WLAN-Performance nicht auf.
c’t 2009, Heft 2
©
Copyright by Heise Zeitschriften Verlag GmbH & Co. KG. Veröffentlichung und Vervielfältigung nur mit Genehmigung des Heise Zeitschriften Verlags.
89