Fazit

Der Switch des Autors ist ein Fiasko. Der Hersteller Netgear hat sich dafür entschieden, auf bewährte Protokolle wie HTTPS oder SSH zu verzichten. Er hat stattdessen ein eigenes Protokoll geschaffen – undokumentiert und damit unsicher, weil weniger Menschen die Implementierung kennen. Es verschickt das Passwort im Klartext, und das auch noch per Broadcast an alle potenziellen Empfänger im Netz. Zudem darf jedermann ein neues Passwort setzen, ohne das alte zu kennen. Die Seriennummer als nicht entfernbares Passwort stellt ein zusätzliches Problem dar.

Ist der Switch also Elektroschrott? Einige der beschriebenen Sicherheitslücken lassen sich umgehen. So reagiert der Switch auch auf Pakete, die nicht per Broadcast, sondern direkt an seine IP-Adresse geschickt werden. Die Antwort sendet er aber trotzdem an die Broadcast-Adresse. Kann man also dem Ethernet-Kabel zwischen Computer und Switch vertrauen, ist das für ein Heimnetzwerk unter Umständen akzeptabel.

Wer vielleicht schon einen solchen Switch besitzt, findet im Github-Repository des Autors [7] ein Tool, das hoffentlich bald alle Änderungen am Switch ohne Broadcasts ermöglicht. Das ändert allerdings nichts an den weiteren Problemen mit den Passwörtern. (mhu)