Beveiliging portforwarding Sagemcom 4G-modem – Internet voor het Buitengebied

Bij een controle van de netwerkbeveiliging heb ik vastgesteld dat in de Experia Box 10 standaard drie portforwardingregels zijn ingesteld die verwijzen naar de Sagemcom-modem (192.168.2.252).

Het betreft de volgende regels:

Bij alle drie de regels is het veld 'Internet IP-adres' leeg. Er is dus geen beperking op basis van het bron-IP-adres ingesteld in de Experia Box.

Ik heb de bereikbaarheid vervolgens vanaf een extern netwerk getest, via een VPN-verbinding. Alle drie de TCP-poorten bleken bereikbaar.

Bij nader onderzoek kreeg ik de volgende antwoorden:

• Poort 9501 geeft een HTTP-antwoord van de Sagemcom-webserver (HTTP 307 Temporary Redirect naar /0.1/gui/).

• Poort 9502 presenteert de SSH-identificatie SSH-2.0-dropbear_2012.55.

• Poort 9504 presenteert eveneens de SSH-identificatie SSH-2.0-dropbear_2012.55.

Dit roept bij mij vragen op over de beveiliging van deze externe toegangswegen.

Ik heb begrepen uit een eerdere toelichting van een KPN-moderator op het KPN Community-forum dat deze portforwardings bedoeld zijn voor onder andere firmware-updates, Servicetools en ondersteuning op afstand, en dat de achterliggende apparatuur uitsluitend vanuit het KPN-beheernetwerk bereikbaar zou zijn.

Mijn eigen tests laten echter zien dat de betreffende poorten ook vanaf een extern VPN-netwerk bereikbaar zijn.

Ik zou daarom graag een technisch onderbouwd antwoord ontvangen op de volgende vragen:

1. Noodzaak: waarvoor worden elk van deze drie portforwardingregels precies gebruikt? Zijn ze noodzakelijk voor de normale werking van Internet voor het Buitengebied, de hybride DSL/4G-verbinding, firmware-updates of beheer op afstand?

2. Toegangsbeperking: als deze poorten volgens KPN uitsluitend vanuit het eigen beheernetwerk toegankelijk zouden moeten zijn, hoe wordt dat dan technisch afgedwongen wanneer de Experia Box geen beperking op bron-IP-adres toepast en de poorten vanaf een extern netwerk bereikbaar zijn?

3. SSH-beveiliging: waarom presenteert de Sagemcom op poorten 9502 en 9504 de SSH-identificatie dropbear_2012.55? Is deze firmwareversie voorzien van alle relevante beveiligingspatches, eventueel door middel van backports?

4. Webinterface: welke authenticatie- en beveiligingsmaatregelen beschermen de webinterface die via externe poort 9501 bereikbaar is?

5. Aanpassing: is het mogelijk deze externe toegang op een veiligere manier te beperken, zonder de werking van Internet voor het Buitengebied, de automatische firmware-updates en de ondersteuning door KPN te verstoren?

Ik wil benadrukken dat ik geen wijzigingen in deze standaardconfiguratie heb aangebracht. Ik wil voorkomen dat ik noodzakelijke KPN-functionaliteit uitschakel, maar wil tegelijkertijd kunnen vertrouwen op een voldoende beveiligde configuratie van mijn thuisnetwerk.

Gezien de externe bereikbaarheid van de genoemde beheerpoorten ontvang ik graag een inhoudelijke reactie van een technisch specialist die bekend is met de Sagemcom Fast 4360 en Internet voor het Buitengebied.