Hallo @skinkie , daar kun je doorheen enteren als je in wilt loggen in het modem. De fout is bekend bij KPN en aan een oplossing wordt gewerkt, het gaat om de KPN Box12 denk ik, want dat schrijf je er niet bij?

Zie melding eronder, doordat het modem HSTS afdwingt kun je er niet ‘standaard’ doorheen.

Modem: V10a

...en dat het probleem bekend is bij KPN. KPN is een certificaat authoriteit voor de Nederlandse overheid. Je zal je zaakjes maar zo slecht op orde hebben.

Er zijn afgelopen jaren meerdere incidenten geweest. Vraag me niet naar details, want die weet ik niet. Maar ze hebben de zaakjes in ieder geval niet helemaal op orde. Daarom stoppen ze er eind dit jaar ook mee.

https://certificaat.kpn.com/pkioverheidcertificaten/?product=pkioverheid-certificaten

Daarmee heeft kpn nog wel de toplevel domeinnaam .kpn. Het lijkt me onwaarschijnlijk dat ze dan ook stoppen met het certificaat voor het modem. Dat zal nog wel een leuke worden qua validatie :-)

Het lijkt me heel verstandig dat kpn stopt met het gebruik van https voor het beheren van een Experia/KPN Box. Het heeft mijns inziens ook geen nut.

Ik denk dat het security wise mogelijk iets kan voorkomen met cross-site scripting, waar de Ziggo modems vatbaar voor zijn. En dat kon je alleen afdwingen met secure cookies.

Dan ben je al te laat immers dan is de hacker dus al bij je binnen.

Blijkbaar heb je dan jouw voordeur al open laten staan en kan je beter zorgen dat daar goede sloten op komen te zitten.

De voordeur van iedere browser tab staat open, want iedere AJAX call kan naar een willekeurige andere site.

Inderdaad. En in potentie zou zo dus iedere website door middel van een stukje javascript in kunnen loggen op de router om een poort open te zetten. Of DMZ aan te zetten naar een pc. Wel of geen https maakt daarbij geen bal uit.

Wel moet er ingelogd worden uiteraard. Maar stel er is een standaard wachtwoord gedefinieerd? Of de gebruiker heeft zelf ingelogd en die sessie staat nog open? Dan zou het kunnen. In theorie.

Ik zeg "in potentie". Want browsermakers timmeren dat wel zoveel mogenlijk dicht. Eigenlijk hoort het niet te kunnen. Toch worden er soms weer manieren gevonden.

Maar nogmaals: https bied op dit punt geen enkele veiligheid. 

Ze kunnen dat certificaat dan regelen via bijvoorbeeld Let's Encrypt. Ik weet niet wat daarin de mogelijkheden zijn.

Dit is inderdaad iets dat voorkomt, zowel op de V10A als de Box 12. Kan geen kwaad verder, maar het is wel irritant. Het is bekend bij de modemmensen, en wordt aan gewerkt.