Router Linksys Velop mengirim kata sandi Wi‑Fi dalam teks biasa ke server AS

Router Linksys Velop mengirim kata sandi Wi‑Fi dalam teks biasa ke server AS

• Temuan Testaankoop

  • Menurut asosiasi konsumen Belgia, Testaankoop, router mesh Linksys Velop Pro 6E dan Velop Pro 7 mengirim informasi login Wi‑Fi dalam teks biasa ke server Amazon (AWS)
  • Ditemukan bahwa selama proses instalasi, paket data yang berisi nama SSID dan kata sandi, token identifikasi jaringan, serta token akses sesi pengguna dikirim ke server AWS

• Kemungkinan serangan MITM

  • MITM (man-in-the-middle attack) adalah pelanggaran keamanan di mana penyerang mencegat komunikasi antara router dan server
  • Penyerang dapat menyadap SSID dan kata sandi yang dikirim dalam teks biasa untuk memperoleh akses tidak sah ke jaringan

• Pembaruan firmware dan respons

  • Testaankoop melakukan pengujian dengan firmware terbaru, tetapi Linksys belum berhasil memperbaiki masalah tersebut
  • Setelah peringatan awal, Linksys memang merilis pembaruan firmware, namun masalahnya masih belum terselesaikan

• Diduga masalah pada perangkat lunak pihak ketiga

  • Testaankoop menyatakan kemungkinan bahwa masalah keamanan ini berasal dari perangkat lunak pihak ketiga yang digunakan dalam firmware Linksys
  • Namun hal itu tidak membenarkan adanya kerentanan keamanan ini

• Rekomendasi untuk pengguna

  • Pengguna yang memiliki router terdampak disarankan untuk mengubah nama dan kata sandi jaringan Wi‑Fi melalui antarmuka web, bukan aplikasi
  • Ini mencegah SSID dan kata sandi dikirim dalam teks biasa

• Masalah keamanan pada router mesh

  • Seri Velop dirancang untuk meningkatkan distribusi Wi‑Fi di rumah besar atau bertingkat
  • Namun cara transfer data pada Velop Pro WiFi 6E dan Pro 7 justru merusak manfaat keamanannya

• Kurangnya respons dari Linksys

  • Testaankoop kembali menghubungi Linksys beberapa hari sebelum pengumuman hari ini, tetapi tetap belum menerima tanggapan maupun solusi
  • Kerentanan ini juga masih ada pada Linksys 7 Pro terbaru

• Rekomendasi pembelian

  • Para peneliti sangat tidak merekomendasikan pembelian Linksys Velop Pro WiFi 6E dan Pro 7 karena risiko serius pembobolan jaringan dan kehilangan data

• Tingkat keseriusan masalah keamanan

  • Pembobolan jaringan memang memerlukan upaya teknis, tetapi begitu penyerang berhasil masuk, dampaknya bisa sangat luas
  • Linksys merekomendasikan lini Velop untuk kantor kecil, sehingga masalah ini berdampak pada lingkungan pribadi maupun profesional

Ringkasan GN⁺

• Router Linksys Velop mengirim kata sandi Wi‑Fi dalam teks biasa sehingga membuka kerentanan keamanan
• Kemungkinan serangan MITM membuat risiko pembobolan jaringan dan kehilangan data menjadi tinggi
• Testaankoop menyoroti kurangnya respons dari Linksys dan tidak merekomendasikan pembelian router tersebut
• Artikel ini menekankan pentingnya keamanan jaringan dan menyarankan pengguna untuk mengubah pengaturan keamanannya

[halfenif]

Alasannya, agar petugas dukungan bisa membantu pengguna yang lupa kata sandi

Ah...

[GN⁺]

Opini Hacker News

• Mempertanyakan apakah semua orang benar-benar baik-baik saja dengan pengiriman kata sandi ke server
• Router Verizon FiOS mengirimkan kata sandi WiFi lokal ke sistem manajemen pusat melalui mekanisme TR-69
  • Alasannya adalah agar petugas dukungan dapat membantu pengguna yang lupa kata sandi
• Bertanya-tanya apakah kata sandinya benar-benar dalam teks biasa, atau hanya teks biasa di dalam HTTPS
  • Saat login ke aplikasi web, kata sandi umumnya dikirim sebagai teks biasa di dalam permintaan HTTPS
  • Jika bukan HTTPS, ada banyak masalah lain selain memasukkan kata sandi teks biasa ke dalam permintaan
  • Jika menggunakan HTTPS, masalahnya adalah kata sandi dikirim dan tidak tetap tersimpan secara lokal
• Ada pendapat bahwa akan lebih baik jika OEM router WiFi menggunakan OpenWRT
  • OpenWRT bersifat open source dan bekerja dengan baik
  • Untuk diferensiasi produk, mereka bisa menambah lebih banyak antena atau meningkatkan kecepatan
• Terkesan bahwa organisasi pengujian konsumen memiliki keahlian teknis seperti ini
  • Ini bukan masalah yang bisa ditemukan hanya dengan menggunakannya seperti konsumen biasa
  • Harus benar-benar berupaya untuk menemukan bug keamanan seperti ini
• Tidak terbatas hanya pada lini Velop
  • Saat mengubah EA7500 ke OpenWRT, ditemukan bahwa informasi yang sama juga dikirim
  • Dipaksa login melalui portal web mylinksys dan mencoba terhubung ke server rumah
• Ada pendapat bahwa akan bagus jika Apple kembali masuk ke bisnis router WiFi
  • Sikap privasi/keamanan Apple lebih dipercaya daripada merek lain
  • Saat ini Apple menjual router Linksys sebagai produk pengganti
• Linksys telah diperingatkan pada bulan November, tetapi tidak ada tindakan efektif yang diambil
  • Tidak adanya respons bahkan setelah November dianggap sebagai itikad buruk, dan seluruh perusahaan seharusnya dihukum
• Konsumen berhak mendapatkan produk yang lebih baik dari produsen peralatan jaringan
  • Ada pendapat bahwa Apple sebaiknya masuk kembali ke pasar dan menawarkan produk yang mahal tetapi berkualitas baik