Eerste batch controversiële Tor-router had geen wachtwoord-beveiliging

De eerste batch van de uitgeleverde Tor-routers Anonabox bleek een wel heel elementaire fout in de beveiliging te hebben. Gebruikers konden de wifi niet beveiligen met een wachtwoord, waardoor iedereen die het wifi-netwerk kon ontvangen, erop kon.

Daarnaast zat er nog een gat in de beveiliging, waardoor elke gebruiker het apparaat over kon nemen en zaken als wachtwoorden kon afluisteren, schrijft Wired. Omdat de fouten niet met een update kunnen worden hersteld, stuurt Anonabox alle klanten een nieuw kastje toe.

De Anonabox is een router die al het verkeer via anonimiseringsnetwerk Tor stuurt. Het begon als crowdfundingproject, maar Kickstarter stopte het project. Het kwam terug op Indiegogo en slaagde ditmaal wel en haalde het doel, waarna de uitlevering dit jaar is begonnen.

Hoe het kan dat de fouten nog in de Anonabox zaten bij release, is onbekend. Anonabox is inmiddels na een overname een product van Sochule Incorporate.

Reacties (40)

[Atomsk]

Dit soort routers is sowieso een slecht idee. Tor is niet bedoeld om er alles over te sturen Het is met name niet geschikt voor bittorrentverkeer. Daar zorgen dit soort kastjes vrees ik wel voor, wat tot overbelasting van het netwerk leid.

[Verwijderd]

Mozilla Firefox krijgt binnenkort 'native' ondersteuning voor Tor via de Privacy Window. Zij zijn ook bezig om honderden Tor nodes toe te voegen om overbelasting te voorkomen.

[3V3RT]

Heb je daar een bron van?

[DuDePrOdUcTiOnS]

nieuws: Mozilla voegt 14 relays aan Tor-netwerk toe

Zijn er nog geen honderden, maar toch

[Verwijderd]

Ik meende ergens te lezen dat die 14 alleen een beginnetje waren.

[Lennie]

Dat is deels waar. Als het overbelast wordt is natuurlijk niet leuk.

Maar de manier zoals Tor gebouwd was ook bedoeld om te lijken op normaal verkeer.

En hoe meer verkeer er door Tor gaat hoe moeilijker het wordt om verkeer te analyseren.

En dat is dan weer goed.

[XVI]

Het is vanwege de structuur inderdaad niet echt geschikt voor p2p (wat veel verbindingen nodig heeft en veel data verbruikt), sterker nog, TOR ondersteunt geen UDP waardoor Bittorrent (veilig/praktisch gezien) onmogelijk is (lees: je lekt je IP en/of je downloads komen niet door omdat de magnetlinks niet werken en je niet aan een lijstje met peers kan komen).
Je kan dus al een hoop ineens niet meer als je achter een TOR-router zit (behalve als deze UDP gewoon doorlaat, met alle gevolgen van dien, of het tunnelt naar een vast eindpunt, wat het hele idee weer ondermijnt) maar ook voor dagelijks HTTP-verkeer lijkt het me verre van ideaal (of je moet het leuk vinden om steeds onmogelijke captchas op te lossen en dat je door je bank de toegang wordt geweigerd omdat je steeds rare routes neemt).
Privacy is op het web (en eigenlijk het hele internet) is heel belangrijk en TOR is een mooi en bruikbaar project, maar het is (nog) niet de oplossing voor al je verkeer.

[Sibylle]

"Hoe het kan dat de fouten nog in de Anonabox zaten bij release, is onbekend. "

Nou, het lijkt mij dat dit duidelijk een product is dat veel te gehaast op de markt is gebracht. Een volwassen product hoort een volwassen proces achter zich te hebben, met bewezen procedures betreffende testen, kwaliteitscontrole, alpha+beta tests etc.

Laten we hopen dat onder de rok van Sochule Incorporate dit wel in orde is.

[Blokker_1999]

Gehaast? Door heel de kickstarterheisa hebben ze eigenlijk meer tijd gekregen dan ze eerst gepland hadden. Het toont vooral aan dat het team achter deze box vooral het doel had om een common, of the shelf product met kleine aanpassingen op de markt te zetten en daarbij zoveel mogelijk wensten te verdienen.

[i-chat]

en dan dus niet eens de expertise in huis hadden om het ook echt te laten werken...

[Verwijderd]

Dat is ze gelukt want ze zullen hun bedrijf voor een leuk prijsje hebben verkocht vermoed ik.

[roy-t]

Alle common, of the shelf, producten ondersteunen nou juist wel een wachtwoord voor wifi

[J0HAN]

"Gebruikers konden de router niet beveiligen met een wachtwoord, waardoor iedereen die het wifi-netwerk kon ontvangen, erop kon."

Misschien is deze zin niet zo lekker geformuleerd?

Dus alleen als je toegang had tot het beveiligde WiFi netwerk was het mogelijk om op de router in te loggen wordt er waarschijnlijk bedoeld?

Volgens de bron: the company has confirmed to WIRED that its first batch lacked basic password protection, with no way to keep out unwanted users in Wi-Fi range.
Lijkt er dus inderdaad het meeste op dat er geen WPA encryptie aanwezig was. Hoe je een product zo op de markt kan brengen is me een raadsel...

[Reactie gewijzigd door J0HAN op 24 juli 2024 14:55]

[firest0rm]

nee als je binnen berijk was van het wifi signaal kon je er op komen er zat namelijk geen Wifi Wachtwoord op of die je kon instellen WPA2 beveiliging etc

[J0HAN]

Dus gebruikers konden het WiFi netwerk niet beveiligen?
Dat is nogal wat anders dan; "gebruikers konden de router niet beveiligen met een wachtwoord".
Alsnog niet zo'n handige actie natuurlijk..

[TheMak]

Ik zou ook liever een wachtwoord hebben, maar is het niet het idee van TOR, dat je geen idee heb wat voor verkeer door je computer gaat, en ook geen idee hebt naar welke gebruiker het gaat. Dat doel bereik je oa door geen wachtwoord te verlangen.

[BenGenaaid]

maar is het niet het idee van TOR, dat je geen idee heb wat voor verkeer door je computer gaat, en ook geen idee hebt naar welke gebruiker het gaat

Ik denk dat jij een TOR (exit) node bedoelt hier, aangezien je het over verkeer DOOR je computer hebt....
Dat is iets anders dan deze router, deze verbint jouw PC met een TOR exit node maar maakt niet een exit node van je PC......dus..

[Verwijderd]

Deze zin leest zo: "Gebruikers konden de router niet beveiligen met een wachtwoord erop kon."

Dezelfde vage zinsconstructies kom ik tegen op Webwereld.nl

[P-e-t-j-e]

De naam doet hem wel eer aan: anonieme gebruikes kunnen meeliften op je draadloos netwerk ;-)

[Lennie]

Ik vind het ook wel mooi, als nu iemand misbruik maakt van jouw open wifi dan krijg je ten minste niet direct de politie aan de deur want het afzender IP-adres is een Tor-exit-node. :-)

Gratis wifi weggeven heb ik eigenlijk geen probleem mee als ik maar niet iemand aan de deur krijg omdat er iemand iets stoms gedaan heeft.

[P-e-t-j-e]

Ligt er natuurlijk aan hoe zwaar ze je verbinding belasten. Als ze een torrent-tracker opzetten of een downloadsite met 10000 gelijktijdige gebruikers wordt het een ander verhaal denk ik

[Lennie]

Het lijkt mij dat je dat het verkeer vanaf wifi altijd laagste prioriteit geeft.

[P-e-t-j-e]

Want? Als ik op mijn laptop een filmpje zit te kijken wil ik niet dat mijn torrent-programma op mijn thuisservertje zorgt voor blokken....

[FreshMaker]

Gewoon zelf puzzelen

Met een beetje inzicht en lezen kom je er wel aan.

[Verwijderd]

Te technisch voor veel mensen. De aantrekelijkheid van Anonabox was juist dat het een plug-and-play oplossing is voor mensen die Tor willen gebruiken maar niet weten hoe dit moet. Ik vind echter dat Tor Browser net zo makkelijk werkt. Enige nadeel van Tor Browser vind ik nog steeds dat ze Javascript per default aan zetten.

[FreshMaker]

Dus dan is het onnodig om te vermelden hier ?

Jammer genoeg wil iedereen tegenwoordig maar een one-trick pony in huis halen, in plaats van zelf iets uitzoeken.

Ik heb liever een groot deel in eigen hand, zodat ik controle kan uitvoeren op het hele proces.
Hier is er geen zwak wifi-signaal, of een open netwerk met toegang tot mijn bestanden.
Wil ik een 'slechte' site bezoeken ( wil wel eens een keer zien waar het over gaat bij de zwarte wolven, of iets over een bom maken ) dan gebruik ik TOR ook op mijn desktop.
Ik kan me voorstellen dat er mensen zijn die continu TOR willen gebruiken, en dan zouden ze vertrouwen op een onbekende ?

Ik heb altijd geleerd dat een geheim wat bekend is bij 2 personen, geen geheim meer is.
( zorg voor je eigen veiligheid, zover je kan ... )
Kan je dat niet, dan heb je aan mijn link al niets om mee te beginnen

[DeBierVampier]

Deze post in een eerder artikel over dit onderwerp legt heel helder uit wat voor'n oplichters achter dit product zitten:

KorneelB in 'nieuws: Crowdfundingcampagne voor Tor-router is stopgezet na kritiek'

dus dit verbaast me eigenlijk ook niet zoveel...

[RGAT]

Ja dankjewel! Ik dacht al dat dit ding me bekend voorkwam van de kickstarter
Het laat zien hoe nutteloos dit ding is, hoe kan je vergeten wachtwoord beveiliging erop te gooien op een apparaat wat draait om privacy en veiligheid...

[Joostlek]

Als gebruiker merk je dit toch? Dan zet je hem aan en dan kan je erop zonder wachtwoord in te voeren.

[Reactie gewijzigd door Joostlek op 24 juli 2024 14:55]

[Vetsmelter]

Had nog nooit van dit gammele ding gehoord..
Misschien omdat een Tweaker eerder zoekt "hoe TOR installeren op mijn router" ipv buy TOR router?

de Excito B3 biedt reeds jaren ook die handige ondersteuning voor TOR (client of exit node) in de standaard grafische interface.

Europees, duurzaam energiezuinig en compleet uitgerust met 2 netwerkkaarten en ondertussen al enige jaren op de markt dus de grootste configuratieflaters zullen wel uit het (Debian Linux) OS gehaald zijn.

https://www.excito.com/node/9

De Tweaker hoeft zich niet te schamen voor het gebruik deze oplossing. De Excito heeft een basic configuratie interface maar het meeste werk (zoals IP tables of een PPPOE verbinding instellen gebeurt nog via de command prompt.

[Phelix]

Oei! De ironie :

[Farai]

Ha, dit herinnert me eraan dat ik nog een boel Anonabox domeinnamen heb. Nu maar eens bedenken wat ik daar mee ga doen aangezien dit zo'n onbetrouwbaar project is geworden.