TP-Link staat geen aangepaste firmware meer toe op routers in VS

Fabrikant van netwerkapparaten TP-Link heeft een officiële mededeling op zijn site geplaatst waarin het bedrijf uitlegt waarom het geen aangepaste firmware meer toestaat op zijn routers. Dit heeft te maken met nieuwe frequentieregels van de FCC.

Onder de nieuwe regels is het niet toegestaan om bepaalde instellingen met betrekking tot onder andere de frequentie van routers te kunnen wijzigen, zo laat TP-Link weten. Met aangepaste firmware is het echter voor gebruikers mogelijk deze instellingen te wijzigen. Vooral opensourcesoftware als DD-WRT en OpenWRT is populair op de routers van het Chinese bedrijf, doordat veel routermodellen deze software ondersteunen. Gebruikers daarvan waren al langer bang dat TP-Link tot een dergelijke beslissing zou komen, omdat dit de eenvoudigste manier is om aan de regels van de telecomtoezichthouder te voldoen, zo bericht Ars Technica.

Het zou namelijk ook mogelijk zijn om aangepaste firmware te blijven ondersteunen en er alleen voor te zorgen dat gebruikers de instellingen met betrekking tot frequenties niet kunnen wijzigen. Omdat dit echter bepaalde kosten met zich meebrengt is ervoor gekozen om aangepaste firmware helemaal te verbieden. Het vermoeden dat TP-Link een dergelijke beslissing zou nemen werd voor het eerst bevestigd toen een helpdeskmedewerker een maand geleden uitleg gaf over de nieuwe regels.

De door de FCC ingevoerde regels maken in Europa deel uit van een richtlijn over de harmonisatie van regels over het aanbieden van radioapparatuur. In artikel 3 van die richtlijn is bepaald dat die apparatuur verplicht 'bepaalde mogelijkheden ondersteunt om te waarborgen dat software alleen in de radioapparatuur kan worden geladen als de conformiteit van de combinatie van de radioapparatuur en de software is aangetoond'. Het lijkt erop dat deze bepaling ook toeziet op aangepaste routerfirmware. De implementatie van deze richtlijn is in Nederland onlangs afgerond en de regels zijn in de Telecommunicatiewet opgenomen. Het is onduidelijk of TP-Link daardoor dezelfde weg in Europa zal inslaan.

Door Sander van Voorst

Nieuwsredacteur

11-03-2016 • 19:28

73

Submitter: player-x

Reacties (73)

73
67
44
6
1
13
Wijzig sortering
Ik ben zelf de maker van het DPT-Board en de DPT-Module (www.dptechnics.com).

Het is eigenlijk niet mogelijk dat het flashen wordt geblokkeerd, het wordt hoogstens wat moeilijker gemaakt. Ongeveer alle dergelijke devices hebben een SPI Flash (Meestal NOR soms ook NAND) geheugen die gepartitioneerd is met:
- Bootloader
- Firmware (Linux of een RTOS)
- Data partitie (Bevat radio calibratie (bv. ART bij Qualcomm Atheros), MAC adressen, ...)

Wellicht heeft TP-Link de bootloader voorzien van een publieke sleutel waarmee de signature van de firmware partitie kan worden gecontroleerd. Momenteel is het zo dat bij het flashen van custom firmware zoals DD-WRT of OpenWRT enkel de 'firmware partitie' wordt overschreven. Als dit dus gebeurt met een image zonder geldige signature zal de bootloader (bv. U-Boot) dit zien en de router zal niet meer opstarten.

Als ze een beetje persistent zijn hebben ze in de bootloader ook de memory modification options waarmee je rechtstreeks data in het flash geheugen kan aanpassen verwijderd zodat je ook niet je eigen key kan plaatsen.

De router kan op dit moment nog maar op twee manieren worden geflashed:
  • JTAG: Met een beetje geluk kan je ergens op de PCB aan een JTAG poort raken. Via JTAG kan meestal ook het flash geheugen rechtstreeks worden beschreven via de processor. Dit is wel een omslachtige methode en vereist veel voorkennis.
  • SPI Flash programmer: Voor slechts een paar dollar kan je reeds een SPI flash programmer kopen. Deze zijn heel makkelijk aan te sluiten en na het builden van een custom bootloader (wellicht maar een kleine moeite door U-boot te porten) is alles weer zoals vroeger.
Ik verwacht de komende jaren dan ook een opmars van softwaretools komen die standaard de meest gangbare routers kunnen flashen door slechts één keer de flash chip te decoderen.

Meer beveiliging dan dit lijkt mij niet betaalbaar. Je kan de routers pas echt beveiligen als je op SoC niveau encryptie gaat toepassen, anders is het altijd gemakkelijk te omzeilen. Als er één router SoC fabrikant natuurlijk SoC's gaat leveren waarbij deze af-fabriek een onuitleesbare key krijgt waarmee de SPI flash contents worden gedecrypteerd vooraleer de code wordt uitgevoerd en deze key per SoC anders is, dan pas wordt het echt onmogelijk. Enkel de fabrikant beschikt dan nog over de key om software op het device te zetten.

[Reactie gewijzigd door laserfreak op 23 juli 2024 02:57]

Ze hebben op SoC niveau encryptie toegepast. Er wordt een pubkey in een PROM geflasht waarna er alleen bootloaders uitgevoerd worden die met een private key ondertekend zijn en met een pubkey te controleren zijn die de fabrikant zelf in handen heeft. Je kan in theorie als de bootloader niet controleert welk OS gedraaid wordt simpelweg de kernel partitie vullen naar smaak, maar dat zou een beetje de encryptie teniet doen. Daarnaast worden de u-boot, redboot en andere standaard bootloaders door de OEM ook wel voorzien van signature checks. Dus vanaf het punt dat de SoC geen code start op het eerste adres dat na een reset gelezen wordt als die niet de juiste handtekening heeft en de bootloader en de kernel alleen door de OEM ondertekend kunnen worden ben je eigenlijk de sjaak.
Ik ken niet meteen router SoC's die een PROM hebben. Dus een éénmalig programmeerbaar geheugen, wellicht komt dit er wel in de toekomst. Een EEPROM hebben ze wel vaak (ook de AR9331 waar wij mee werken) maar dat is natuurlijk slechts een moeilijkheid aangezien je de sleutel die daarin zit gewoon zou kunnen overschrijven.

Het lijkt me wel interessant hier mere over te weten. Heb je weet van welke SoC dergelijke PROM heeft?

Mvg,
Daan
Ik weet zo niet meer uit mijn hoofd welke dat waren, QCA9558 had sowieso al ondersteuning voor embedded keys, maar ik weet zo niet meer welke 'serie' het nou was. Het zijn in elk geval niet perse nieuwe SoC's, maar het gaat vooral om firmware packages die hier van gebruik maken. Volgens mij is het voor OEM's lekker makkelijk om de standaard SDK te gebruiken en keying dan maar meteen te benutten om zo FCC compliant te zijn.

Uiteindelijk hangt er er natuurlijk van af hoe goed het geïmplementeerd is. Zolang het EEPROM-based is, extern opgeslagen of JTAG unlocked is kan je er eigenlijk wel omheen.
Die EEPROM is niet te overschrijven, want de CPU boot alleen maar een image met een passende hash. En in het standaard image zit natuurlijk geen schrijf-functie in voor dat stukje EEPROM. Vraag is of het niet via JTAG kan, maar daar is vast iets voor bedacht.

Dat het fysiek een EEPROM sluit niet uit dat het zich in het systeem als een PROM gedraagt.

Updaten van de key is sowieso niet zo handig, want dan moet de hele update meteen goed gaan, of je systeem boot niet meer. Beter is de check eruit te halen en de "jump not equal" te vervangen door een "jump never".
Momenteel kan het gelukkig nog simpeler, de eerste 'gelockte' routers zijn nog via TFTP te flashen: https://forum.openwrt.org/viewtopic.php?id=63123
Als je de text goed leest:
As a result of these necessary changes, users are not able to flash the current generation of open-source, third-party firmware. We are excited to see the creative ways members of the open-source community update the new firmware to meet their needs. However, TP-LINK does not offer any guarantees or technical support for customers attempting to flash any third-party firmware to their devices.
Dan staat er niets anders dan we leveren geen support meer op het flashen van de apparaten. Nog verlenen we garantie als je na een flash een deur stop in plaats van een router overhoud.
We staat nergens dat ze het ook onmogelijk maken alleen dat ze om aan de regels van de FCC te voldoen niet langer ondersteuning kunnen verlenen als je een nieuwe firmware er op zet die de mogelijkheid beid de regels van de FCC te overtreden.
Men zegt zelfs dat men er naar uitkijkt de nieuwe oplossingen te zien waar mensen mee komen. Dat is echt heel iets anders dan zeggen we maken het moeilijker of onmogelijk.

Als je bedenkt dat de relatief kleine fabrikant van consumenten routers die TP-Link toch echt was is uit gegroeid tot een belangrijke speler groten deels dankzij de mogelijkheid custom firmware te gebruiken, dan zou men erg dom zijn om dat te laten vallen.
Is dit omdat bepaalde frequenties niet mogen in de US? Bijvoorbeeld 13 op 2.4Ghz?
Het is - bot gezegd - omdat sommige gebruikers zich niet kunnen beheersen en zo veel mogelijk ruimte voor zichzelf proberen in te nemen, terwijl ze daar zelf niets mee opschieten, maar wel andere gebruikers dwars zitten.

Frequentiegebruik is een kwestie van goed en sociaal samenleven, niet meer ruimte innemen dan nodig is om je doel te bereiken en rekening houden met anderen. Daarom zijn er voor gebruikers technische voorschriften over maximale vermogens, bandbreedte en antenneversterking. Over die technische parameters is goed nagedacht, om zoveel mogelijk mensen gebruik te kunnen laten maken van de beperkte hoeveelheid spectrum.

Als iemand nou met behulp van firmware z'n router zo kan instellen dattie ineens een hoger uitgangsvermogen genereert, of meer bandbreedte gebruikt, dan is dat voor veel gebruikers reuze verleidelijk. "Zo kom ik verder", of "kan ik meer data pompen", zo redeneert men. In de meeste gevallen is dat niet waar, want aan de kant van de clients wordt meestal niks gedaan. Je schiet er als gebruiker dus zelden wat mee op. Maar je zorgt er wel voor dat je in het spectrum meer ruimte inneemt, ten koste van de ruimte voor anderen. Als je in een drukke omgeving woont met veel andere gebruikers ben je dus tamelijk asociaal bezig.

Dat is waarom de FCC en de EU nieuwe eisen stellen aan radioapparaten die op de markt worden gebracht. Die komen erop neer dat de fabrikant moet voorkomen dat de apparaten niet eenvoudig door middel van firmware zo kunnen worden ingericht dat ze zich in het radiospectrum asociaal kunnen gaan gedragen. In wetgeverstermen: dat ze niet meer voldoen aan de essentiële eisen. Ik verwacht dat dat voorschrift wel eens de doodsteek kan zijn voor in beginsel goede, innovatieve opensourcesoftware als DD-WRT en OpenWRT.

Klein praktisch vraagstukje is nog hoe dit allemaal gehandhaafd kan gaan worden. Moeten alle routers van een bepaald type van de markt gehaald worden zodra een hacker kans ziet om het ding eenvoudig buiten z'n radiotechnische specs te laten functioneren? Ik moet nog zien hoe dat in de praktijk gaat werken, maar ik heb begrepen dat een groepje Europese ambtenaren er al diep over nadenkt.
Over die technische parameters is goed nagedacht, om zoveel mogelijk mensen gebruik te kunnen laten maken van de beperkte hoeveelheid spectrum.

Er is eerder goed voor gelobbyd door sterke marktpartijen dan dat er is over nagedacht. Zwakkere partijen zitten nu met een onduidelijke frequentie-indeling die in Europa nog steeds verschilt va land tot land.

Niet erg als het een router betreft die op een vaste locatie staat, maar hoogst irritant als het om draadloze systemen voor muziekinstrumenten- en apparatuur gaat die je moet meezeulen van land naar land.
Volgens mij is het vooral omdat je het zendvermogen hoger kan zetten dan de wettelijk toegestane maximum.
OpenWRT houdt zich daar prima aan, maar niets houdt je tegen om NL naar NZ te veranderen en zo 200mW te zenden.
Dit op de meeste router wel om te zetten. Op mijn Provider uitgegeven router kan ik door de landcode ook zeer snel het maximale signaal sterkte aanpassen.
zendvermogen word bepaald door de chip die daar verantwoordelijk voor is en de firmware op die chip (dat is dus niet de firmware van de hele router).

Je kunt onder OpenWRT je zendvermogen wel op het maximum zetten maar of er effectief meer vermogen word uitgezonden hangt van de hardware af.
Mijn auto kan ook sneller dan het wettelijk toegestane maximum..
Klopt. Je zou bijvoorbeeld eens op een circuit kunnen gaan rijden, waar geen maximum geldt, of, zoals flippy.nl al aangeeft, naar Duitsland rijden. Er geldt een maximum toegestane snelheid op de openbare weg, geen maximum constructiesnelheid (zoals voor brommers). Nergens in de wet wordt gezegd dat jouw auto niet 300 km/u mag kunnen - er wordt alleen gesteld waar je dat allemaal wel en niet mag rijden.
Autofabrikanten hebben dan ook een nogal zware lobby, want snellere auto's zijn een belangrijke imkomstenbron.
Stel dat ze allemaal even hard zouden optrekken en even hard zouden rijden, wat zou dat een rustig verkeer geven zeg. En het scheelt nog levens ook.
Bij routers werkt het spul ook beter samen, maar levens worden er niet mee gered.
Niet voor duitsland, en daar word uw auto ook verkocht.
Waar, maar in Nederland wordt er nog steeds geen snelheidsbegrenzer op gemonteerd.
(DL is trouwens maar op sommige plekken onbegrensd)
Verplichte snelheidsbegrenzers zijn niet gunstig voor het budget van de overheid.
deze verkoop beperking (waar tplink nu onderuit wil komen is ook niet gunstig voor de boete-inkomsten in de vs... edoch ....

nuja gelukkig werkt mijn router nog goed, en zo niet dan koop ik dus gewoon geen tplink meer ...

ik zou het overigens prima vinden als men achter OpenWRT gaat, en hen zou vragen om niet langer binairies te hosten die zich niet houden aan de geldende frequentie-regels. ik dacht eerlijk gezegt dat openwrt dat al deed.

verder is het vooral jammer dat er geen GPL+ licentie is die het hardware leveranciers verbied om actief custom roms te bannen zelfs in gpl3 zijn er geen echte provisies voor, ... toch zou ik het maar wat graag zien, dat wanneer je baseerd op linux je deze ook aanpasbaar moet houden/laten, wanneer deze samen geleverd word.

[Reactie gewijzigd door i-chat op 23 juli 2024 02:57]

Ja maar het is ook niet slecht voor diezelfde inkomsten. Die zijn namelijk nul. Snelheidscontrolles zijn eenvoudig uit te voeren. Zendvermogen van een router niet. Dan moet je al toegang hebben tot het apparaat en dat is iets wat niet iedereen kan geven of wil geven.
OpenWrt is in regel. Je moet als gebruiker het juiste land instellen. De auto-analogie is nog niet zo slecht.

Volgens de hoofdontwikkelaar van DD-Wrt zou TP-Link (voorlopig) alleen de landcode voorprogrammeren, niets belet andere fabrikanten om dat ook te doen.
Dit heeft te maken met nieuwe frequentieregels van de FCC.
Hoe gaan ze dit dan controleren? Door een op afstand modem/router check? Lijkt me sterk en vrij lastig.
Ik denk dat het TP-Link een worst zal zijn wat voor firmware er op je router staat.

Ze maken het gewoon moeilijker zodat ze aan de FCC regels voldoen, dat een hacker het alsnog voor elkaar krijgt om er andere firmware op zet zal ze waarschijnlijk niets uitmaken. Ze kunnen dan in ieder geval zeggen dat ze het geprobeerd hebben en dus bereid zijn om mee te werken (geen rechtzaken e.d.).

Wat ik me wel af vraag is of DD Wrt of openwrt niet dusdanig aangepast kunnen worden zodat je toch het gros van de functionaliteit hebt maar tegelijkertijd een goedgekeurde versie hebt. Een soort whitelist voor firmwares zeg maar. Op mijn 901ND heb ik ook openwrt draaien maar doe er sowieso niets mee wat niet is toegestaan (meer zendvermogrn etc) dus zou niet weten waarom er geen "approved" versie zou kunnen zijn. Persoonlijk vind ik puur de Luci interface van OpenWRT al een reden om het te flashen (alleen de weergave mrt grafieken e.d. Al).
zou niet weten waarom er geen "approved" versie zou kunnen zijn.
Dat zou in strijd zijn met de gedachte achter OpenWRT. Dat is een open router distro, die je eenvoudig zelf vanaf source kunt bouwen. Zodra je daar een 'approved' versie van hebt, is hij gesloten.
Misschien dat ze wel juist een makkelijk hackbare instelling erin zetten, dit levert hun toch alleen maar meer verkoop op?
Door een strictere controle wanneer er nieuwe software geslashed kan worden. Net zoals je op telefoons hebt waarbij het niet altijd mogelijk is om een custom firmware te flashen.
Toch is het niet onwaarschijnlijk dat die checks wel omzeild zullen worden. Sommige bootloaders hebben al een dergelijke check en tenminste OpenWrt bevat keurig de mogelijkheid om hun images 'cryptografisch' (kuch kuch) te signen zodat de bootloader in kwestie niet moeilijk zal doen. Ik acht de kans dat er een echte goede check geïmplementeerd gaat worden klein, vanwege de kosten die dat met zich meebrengt.
@Zsub: helemaal mee eens. Zie ook mijn uitgebreide reactie onderaan.
Uit het artikel van Ars:
TP-Link says that it distributes devices with country-specific firmware and that "devices sold in the United States will have firmware and wireless settings that ensure compliance with local laws and regulations related to transmission power."
In feite word er niet op gecontroleerd, maar worden er daar alleen routers verkocht die niet te flashen zijn.
Het venijn is dat ze het in de VS onmogelijk moeten maken om er een andere firmware op te zetten. Dan is het haast onmogelijk dat je er Europa wel een andere firmware op kan zetten want dan zouden de Amerikanen gewoon de Europese firmware installeren.
Het betekent dus haast automatisch dat we ook in Europa vergrendelde apparaten krijgen.
Dit gaat niet om controleren, ze blokkeren gewoon het flashen van custom firmware, net zoals dat je niet zomaar een custom rom op een iPhone flasht.
Dat controleren ze niet. Ze maken het gewoon zo moeilijk mogelijk om alternatieve firmware te flashen. Gelockte bootloader, gesigneerde firmware updates, ...
Ze zetten in de handleiding dat het niet toegestaan is andere firmware te flashen.
Voor de routers van hun die hardware NAT gebruiken is custom firmware sowieso al niet interessant, omdat TP-Link geen sources beschikbaar stelt voor hun hardware NAT functionaliteit.
DD-WRT draait op mijn 4900vi beter dan de stock firmware. En dat zonder de HW-NAT ondersteuning.
Anoniem: 668692 @CH4OS11 maart 2016 21:39
Hardware NAT is soieso onzin.
Hardware accellerated packet switching bestaat wel, maar koop daarvoor dan gewoon een dedicated ubiquity edge router lite ofzo!
Het is gewoon hardware accellerated Packet switching met wat aangepaste software en drivers zodat de NAT code er sneller van wordt.

Het is echter geen aparte hardware.

Daarnaast is der performance impact nagenoeg 0.
Daarnaast schijnt hardware nat in die apparaten nogal ranzig te werken. Op bijvoorbeeld de WDR4300 is het een bewuste keus om het niet te supporten omdat het gewoon een vermangelde prutimplementatie is die veel hackwerk vereist. De stock firmware is daar direct op gebaseerd.

Verschil? Het apparaat routeert 300Mbit ipv 900Mbit ofzo. Big deal :z

Mij interesseert dingen als zendvermogen niet enorm (omdat de 'andere kant' toch de beperkende factor blijft). Wat me wel interesseert is de stabiliteit en controle (en dingen als openvpn kunnen doen is mooi meegenomen). Het zou imho erg kut zijn als die apparaten later niet meer aan te passen zijn. Dan toch maar richting Mikrotik/Ubiquity enz die de software wel op orde heeft..
Het zou namelijk ook mogelijk zijn om aangepaste firmware te blijven ondersteunen en er alleen voor te zorgen dat gebruikers de instellingen met betrekking tot frequenties niet kunnen wijzigen.
En hoe dan precies? Want eens je 'ons', de community, toegang geeft tot het flashen van custom firmwares, hou je ons toch niet meer tegen? :9 We laten de CPU dan zelf onze gekozen instructies uitvoeren dus op dat moment ben je de controle toch kwijt?

Sowieso hoop ik ook dat ze dit nare trekje niet doorzetten in Europa. Leuk dat er in de VS een organisatie bestaat die zich verzet tegen het zelf kiezen van je frequenties en/of zendvermogen, maar wij zitten hier in Europa. Met andere regels, beperkingen, wetten enzovoort. Toch? En anders zijn er nog altijd andere merken die OpenWrt of DD-WRT draaien. Wel jammer voor TP-Link dan want qua prijs-kwaliteitverhouding vind ik ze wel interessant :)
[...]


En hoe dan precies? Want eens je 'ons', de community, toegang geeft tot het flashen van custom firmwares, hou je ons toch niet meer tegen? :9 We laten de CPU dan zelf onze gekozen instructies uitvoeren dus op dat moment ben je de controle toch kwijt?
De radio kan een eigen gesloten firmware hebben die het simpelweg niet toestaat dat met te veel vermogen of op de verkeerde frequenties uitgezonden wordt.
Dikke kans dat je er gewoon alsnog een klem met een bus pirate o.i.d. aan kan hangen als je er per se nieuwe software in wil zetten. Als ze de boel cryptografisch willen gaan checken zullen ze alsnog kostbaardere aanpassingen moeten gaan doen om de controle van de signing zelf veilig te houden :P
Hopen dat mijn huidige TP-Link routers met openwrt niet snel stuk gaan.
Die gedachte had ik dus ook :D
ik snap ook niet waarom nu ?
deze richtlijnen zijn er toch altijd al geweest, ?

het process met Apple vs overheid.
en waarbij amazon zijn cryptografie teniet doet, tp-link hun officieel te closed firmware niet meer vervangen wil hebben.

[Reactie gewijzigd door Zezura op 23 juli 2024 02:57]

Wat een slecht nieuws, ik was net fan aan het worden van TP-Link voor consumentenhardware.

Voor mij is het draaien van custom firmware erg belangrijk want al die goedkope routers hebben gaten in hun firmware. Keer op keer worden er grote lekken gevonden die maar zelden op tijd door de fabrikant worden gepatched. Ik vind het gebruik van openwrt (of iets vergelijkbaars) daarom essentieel.
Gaan we dan ook eens beter naleven dat goedkope routers uberhaupt zich gaan houden aan de regels? -- regels die ervoor zorgen dat de gemiddelde gebruiker er werkelijk op vooruit gaat, ipv power users pesten?

Bijvoorbeeld Sitecom heeft (of had) iig lak aan alle nederlandse/EU regulaties. Zo zijn er 2 buren van mij die een Sitecom gebruiken en allebei ongeveer een helft van het 2.4Ghz spectrum gebruiken door 40MHz kanalen te gebruiken. Volgens regulaties zou de firmware eerst een wifi scan moeten maken en alleen 40MHz kanalen aanzetten voor zichzelf als er betrekkelijk weinig andere accesspoints zijn.
Bijvoorbeeld Sitecom heeft (of had) iig lak aan alle nederlandse/EU regulaties. Zo zijn er 2 buren van mij die een Sitecom gebruiken en allebei ongeveer een helft van het 2.4Ghz spectrum gebruiken door 40MHz kanalen te gebruiken. Volgens regulaties zou de firmware eerst een wifi scan moeten maken en alleen 40MHz kanalen aanzetten voor zichzelf als er betrekkelijk weinig andere accesspoints zijn.
Jep. Hier ook, 4 á 5 sitecoms die 40Mhz draaien terwijl er een stuk of 10+ WiFi netwerken in de buurt zijn.

Kan je dit ergens melden?
Dat is wel heel slecht (en idd, die 40MHz dingen tussen de tientallen andere access points zijn erg asociaal omdat ze 2/3e van de beschikbare banden congesten).

Tijd voor een access point politie? :+

Op dit item kan niet meer gereageerd worden.