Menghindari Router ISP (2024)
(routersecurity.org)- RouterSecurity.org berpendapat bahwa modem dan router yang dibeli sendiri lebih aman daripada perangkat yang disediakan ISP, dengan risiko utama berupa kurangnya kontrol atas konfigurasi awal, pemeliharaan, manajemen jarak jauh, dan firmware
- Perangkat ISP dapat menerapkan pengaturan yang berfokus pada kemudahan untuk mengurangi biaya dukungan teknis, sementara kata sandi bawaan, DNS terkunci, pembaruan firmware terkunci, dan Wi-Fi publik dapat mengurangi kendali pengguna
- Dalam kasus Sky, Virgin Media, Comcast, Verizon, TalkTalk, EE, AT&T, dan Deutsche Telekom, masalah seperti DNS rebinding, kebocoran data, kerentanan WPS, akun backdoor, paparan TR-069, dan kredensial bawaan berulang terjadi
- Di wilayah seperti AS, tempat pasar internet berkecepatan tinggi merupakan monopoli semu, terdapat asumsi bahwa ISP memiliki insentif lemah untuk menyediakan perangkat atau keamanan yang lebih baik; memo Oktober 2024 memberi catatan bahwa perspektif ini mungkin terbatas pada AS
- Dengan memakai perangkat sendiri, pengguna dapat mengendalikan firmware, DNS, perangkat cadangan, dan pilihan router, tetapi karena sulit langsung memilih produk yang sempurna, secara realistis lebih baik membeli dari tempat yang memungkinkan pengembalian barang
Alasan menyarankan modem dan router yang dibeli sendiri
- Posisinya adalah bahwa konfigurasi paling aman adalah menghindari perangkat ISP dan memakai modem serta router yang dibeli sendiri
- Perangkat yang disediakan ISP dianggap memiliki risiko berikut
- Dapat menunjukkan kelalaian secara umum dalam konfigurasi awal dan pemeliharaan berkelanjutan
- Perangkat yang dipasang dengan kata sandi bawaan ditafsirkan sebagai tanda bahwa ISP tidak cukup memprioritaskan keamanan pengguna
- Keamanan dan kemudahan saling bertentangan, dan ISP kemungkinan besar mengonfigurasi router dengan fokus pada kemudahan untuk mengurangi biaya dukungan teknis
- Perangkat yang sama yang didistribusikan ke jutaan pelanggan menjadi target besar bagi penyerang dan pihak pemantau
- Menggunakan perangkat yang kurang populer dianggap lebih aman
Perangkat ISP yang membatasi kendali pengguna
- Sebagian perangkat ISP dikunci sehingga pengguna tidak dapat mengubah pengaturan penting
- Pernah ada kasus pengguna tidak dapat mengganti kata sandi
- Ada juga kasus pengguna tidak dapat mengganti server DNS, dengan BT Business Hub dan Sky Broadband di Inggris serta banyak wilayah di Prancis sebagai contoh
- Pada gateway Arris TG1682G yang disediakan Comcast, alamat IP LAN tidak dapat diubah, dan meskipun subnet diubah, nomor perangkat selalu tetap 1
- Fungsi pembaruan firmware juga bisa dikunci, dan pengguna seharusnya dapat sepenuhnya mengendalikan pembaruan firmware
- ISP biasanya hanya menyediakan satu perangkat, sehingga ketika rusak pengguna bisa offline sampai menerima pengganti
- Jika memiliki perangkat sendiri, pengguna dapat menyiapkan modem atau router tambahan untuk keadaan darurat
- Dalam jangka panjang, membeli perangkat sendiri bisa lebih murah
- Sebagian ISP membebankan biaya sewa untuk modem atau gateway
- Daftar pembelian modem untuk pelanggan Time Warner dan mydeviceinfo.comcast.net milik Comcast disebut sebagai contoh
Insentif ISP dalam memilih perangkat dan catatan tentang pasar AS
- Memo Oktober 2024 menyatakan bahwa penilaian ini berasal dari sudut pandang pengguna AS, dan mungkin tidak berlaku begitu saja di luar AS
- AS dianggap sedang mengalami konsentrasi perusahaan besar di berbagai bidang, dan ISP termasuk dalam arus tersebut
- Banyak, mungkin sebagian besar, pengguna di AS dianggap memakai satu ISP saja
- Banyak wilayah di AS dianggap berada dekat dengan kondisi monopoli semu dalam akses internet berkecepatan tinggi
- ISP yang merupakan monopoli semu dinilai memiliki insentif lemah untuk menyediakan layanan yang baik, sementara pelanggan berada dalam posisi nyaris tersandera
- Karena tujuan ISP adalah menghasilkan uang, mereka diperkirakan akan menyediakan perangkat keras termurah yang hanya menjalankan fungsi yang diperlukan
- Penguatan keamanan meningkatkan panggilan dukungan teknis, dan karena biaya itu ditanggung ISP, keamanan sulit menjadi prioritas
- Sebuah tanggapan di forum keuangan pada Juni 2022, berdasarkan pengalaman menjual perangkat jaringan kepada perusahaan telekomunikasi dan kabel, menyebut prioritas customer premises equipment sebagai “biaya, manajemen jarak jauh, biaya”
- Ini dirumuskan ulang sebagai tanda bahwa ISP menginginkan router yang murah dan dapat dikendalikan
Kekhawatiran tentang Wi-Fi publik, pemantauan, dan pengumpulan data
- Banyak ISP ingin menerapkan jaringan Wi-Fi publik melalui perangkat di rumah pelanggan, dan tidak ada alasan untuk berasumsi bahwa ini diterapkan dengan aman
- Tulisan kritik tentang Comcast XFINITY WiFi: Comcast XFINITY WiFi: Just say no
- Cablevision juga melakukan hal yang sama, dan Timothy Geigner menulis dengan maksud bahwa pelanggan Cablevision sebaiknya membeli router dan modem sendiri
- Juniper Research menyebut perangkat semacam ini sebagai “homespot router”
- Ada kasus ISP bekerja sama dengan lembaga pengawasan atau pemerintah, dan bahkan tanpa pengaruh luar pun ISP dianggap dapat memasukkan backdoor ke perangkat pelanggan
- Your ISP is Probably Spying On You oleh Harrison Sand membahas kasus router mengumpulkan informasi perangkat di sisi LAN dan mengirimkannya ke ISP
Kasus kerentanan yang berulang pada perangkat ISP
- Pada Mei 2023, pelanggan Spectrum menerima router berisi kecoak; meskipun bukan isu keamanan, kasus ini disebut sebagai contoh tingkat pengelolaan perangkat pelanggan
- Pada November 2021, kerentanan DNS rebinding diketahui ada pada 6 juta router Sky
- Sky membutuhkan 18 bulan untuk memperbaiki masalah itu dan disebut sering mengabaikan Pen Test Partners yang menemukan kerentanan tersebut
- Tulisan terkait: SkyFail. 6 million routers left exposed
- Pada September 2021, Virgin Media diketahui tidak memperbaiki kerentanan router selama lebih dari 2 tahun
- Tulisan terkait: Virgin Media Routers Left VPN Users Vulnerable Since at Least 2019
- Presentasi BlackHat pada Agustus 2021 membahas masalah sebagian ISP yang terus menyertakan alamat MAC dalam alamat IPv6 publik
- Para peneliti menemukan lebih dari 12 juta router dan gateway yang menyertakan alamat MAC
- Di AS, lebih dari 1 juta router gateway Comcast Xfinity ditemukan memiliki cacat desain ini
- Pada 2019, Sky Broadband membuat sebagian pelanggan offline melalui pembaruan broadband hub, terutama pelanggan yang mengatur server DNS selain milik Sky
- Disebutkan bahwa pembaruan terbaru tampaknya juga menghapus kemampuan untuk mengubah server DNS itu sendiri
Kasus Comcast, Verizon, TalkTalk, dan EE
- Kerentanan situs web Comcast pada 2018 dapat mengekspos alamat rumah, nama jaringan Wi-Fi, dan kata sandi Wi-Fi pelanggan Xfinity
- Penyerang hanya perlu mengetahui nomor akun pelanggan serta nomor rumah atau apartemen
- Ini hanya berlaku bagi pelanggan yang memakai perangkat Comcast, sementara pengguna router sendiri disebut aman
- Penyerang juga dapat mengubah SSID atau kata sandi Wi-Fi
- Pada Juni 2018, kebocoran data lain diketahui memungkinkan perangkat apa pun di jaringan pelanggan Comcast memanggil API untuk mengetahui nomor akun, alamat rumah, jenis akun, dan informasi layanan aktif
- Pada Desember 2018, Tenable menemukan 3 bug pada router dan gateway Verizon FIOS
- Verizon tidak menulis firmware sendiri sehingga harus menyerahkan perbaikan ke pihak luar, dan respons terhadap bug juga terbagi ke beberapa kelompok
- Disebutkan ada bug yang sudah diketahui tetapi belum diperbaiki, dan tidak ada rencana untuk mengumumkannya secara publik
- Pada Mei 2018, router TalkTalk dikonfirmasi rentan terhadap serangan kode PIN WPS yang sudah diketahui sejak 2011
- Pada Oktober 2018, gateway 4GEE HH70 milik EE memiliki akun backdoor yang dapat diakses melalui SSH dari sisi LAN
- EE awalnya mengabaikan masalah tersebut, dan respons baru berjalan setelah The Register ikut terlibat
- Patch kemudian dirilis, tetapi pelanggan disebut harus memasang firmware baru sendiri
Botnet, spyware, dan kerentanan massal
- Pada November 2017, botnet baru yang mengeksploitasi kerentanan perangkat ZyXEL ditemukan
- Login jarak jauh dimungkinkan dengan ID pengguna dan kata sandi bawaan, dan port terbuka
- Ada juga kata sandi superuser yang di-hardcode, sehingga penyerang dapat memperoleh hak root
- Perangkat yang terinfeksi berjumlah sekitar 100 ribu, dan hampir semuanya berada di jaringan Telefonica de Argentina
- Pada September 2017, ESET melaporkan bahwa sebagian ISP di dua negara yang tidak disebutkan namanya tampaknya bekerja sama dalam distribusi spyware FinFisher
- Metodenya adalah mengalihkan pengguna target ke versi terinfeksi saat mereka mencoba mengunduh aplikasi resmi seperti WhatsApp, Skype, Avast, WinRAR, dan VLC Player
- Disebutkan bahwa pola serangannya kuat menunjukkan serangan man-in-the-middle di tingkat ISP
- Di DEF CON 25, Marc Newlin, Logan Lamb, dan Chris Grayson mempresentasikan bahwa mereka menemukan 26 bug pada gateway dan set-top box yang disediakan ISP
- Perangkat Cisco, Arris, Technicolor, Motorola, dan Xfinity termasuk di dalamnya
- Ada juga beberapa kerentanan eksekusi kode jarak jauh tanpa autentikasi
- Disebutkan bahwa distribusi patch memakan waktu berbulan-bulan, laporan bug resmi tidak diajukan, dan pelanggan tidak diberi tahu tentang masalah tersebut
- Dokumen Trend Micro tahun 2017 menyarankan untuk menghindari router gratis yang disertakan dalam paket internet sebagai titik awal keamanan router rumah
Pengaturan bawaan lama dan masalah backdoor
- Pada 2016, Scott Helme menilai bahwa kriteria utama pemilihan perangkat ISP adalah biaya, dan biaya rendah dapat berujung pada kualitas rendah di area selain perangkat keras, seperti keamanan
- Ia menyebut kerentanan serius pada router EE BrightBox serta kerentanan yang tetap ada setelah patch yang terlambat
- Pada Oktober 2016, sebuah ISP di Australia mendistribusikan router dengan SSID yang sangat mirip dengan ID pengguna dan kata sandi bawaan
- Pada 2015, Lucian Constantin menulis bahwa keamanan router yang disediakan ISP sering kali lebih buruk daripada produk ritel umum
- Jika manajemen jarak jauh aktif, antarmuka admin dan kerentanan dapat terekspos ke internet
- Meski ISP dapat memperbarui firmware dari jarak jauh, mereka tidak sering melakukannya, dan pengguna mungkin tidak dapat memperbarui sendiri karena hak akses terbatas
- Pada 2015, Bernardo Rodrigues menulis bahwa gateway Arris TG862A, TG860A, dan DG860A memiliki XSS, CSRF, kata sandi hardcoded, dan backdoor di dalam backdoor
- Antarmuka HTTP tersembunyi atau SNMP MIB khusus yang dapat mengaktifkan Telnet dan SSH dari jarak jauh dapat digunakan
- Diperkirakan ada lebih dari 600 ribu perangkat rentan yang dapat diakses dari luar
- Verizon menyediakan router pelanggan baru dengan pengaturan bawaan WEP bahkan setelah WEP sejak lama diketahui tidak aman
- FTC mengirim surat pada 2014 yang menyatakan telah menyelidiki apakah Verizon gagal melindungi router yang diberikan kepada pelanggan DSL dan FiOS secara wajar dan memadai
- WEP adalah standar yang ditinggalkan IEEE pada 2004 demi WPA dan kemudian WPA2
TR-069 dan paparan manajemen jarak jauh
- Konfigurasi jarak jauh router dan modem yang disediakan ISP diperlakukan sebagai isu keamanan besar
- Salah satu mekanisme pembaruan jarak jauh adalah TR-069, atau CWMP
- Bug dalam protokol ini beberapa kali dieksploitasi
- Pada November 2016, sekitar 900 ribu pelanggan Deutsche Telekom offline karena masalah router
- Serangan itu bermula dari varian Mirai, dan kegagalan ISP melindungi port TCP/IP yang terbuka disebut sebagai masalah
- Sebagian router yang disediakan ISP menjalankan server TR-064 yang terbuka ke internet publik, dan ini dianggap sebagai kesalahan konfigurasi besar
- Pada April 2017, Wordfence menulis bahwa port 7547 pada router tidak boleh dapat diakses dari internet publik
- Shodan melaporkan bahwa port 7547 terbuka ke internet publik pada lebih dari 41 juta router rumah
- Lebih dari 10 ribu router rumah terinfeksi ditemukan di Aljazair dan lebih dari 11 ribu di India, dan hal ini dikaitkan dengan paparan port 7547
- Pada 2014, Lucian Constantin menulis bahwa router rumah yang disediakan ISP dapat diretas secara massal
- Per 2011, 147 juta perangkat dengan TR-069 aktif disebut sedang online dan mendengarkan pada port TCP 7547
- Shahar Tal dari Check Point menilai server ACS dapat dengan mudah diambil alih
- Spesifikasi TR-069 merekomendasikan penggunaan HTTPS, tetapi sekitar 80% menggunakan HTTP yang tidak aman sehingga terekspos pada serangan man-in-the-middle
AT&T U-Verse dan port terbuka lainnya
- Masalah port terbuka tidak terbatas pada TR-069
- Pada September 2017, Nomotion membahas dua port terbuka pada perangkat gateway AT&T U-Verse
- Salah satunya adalah SSH, dan port TCP 49152 disebut memungkinkan penyerang dari sisi WAN melewati firewall
- Tiga akun backdoor yang di-hardcode juga ditemukan bersama itu
- Judul tulisan terkait adalah SharknAT&To
- AT&T disebut tidak berbicara tentang isu keamanan selama 2 minggu bahkan setelah dipermalukan di depan publik, dan Arris juga diam setelah mengatakan akan menyelidikinya
- HD Moore dari Rapid7 menilai bahwa situasi memburuk karena sebagian ISP mendistribusikan perangkat broadband seperti router rumah tanpa validasi yang memadai atau konfigurasi keamanan yang benar
Kejujuran, kecepatan, dan pilihan perangkat
- Selain keamanan, isu kejujuran ISP juga diangkat
- Time Warner Cable, yaitu Spectrum dan Charter, digugat di negara bagian New York pada 2017 karena berbohong tentang kecepatan unduhan yang diberikan kepada pelanggan
- Susan Crawford menulis bahwa hampir semua yang dikatakan perusahaan tentang akses internet dan layanan data kepada penduduk New York sejak 2012 tampaknya tidak benar
- 2,5 juta pelanggan di New York disebut diberi tahu bahwa mereka menerima kecepatan unduh dan unggah yang lebih tinggi daripada kenyataannya
- Cara Charter/Spectrum/Time Warner Cable menurunkan kecepatan diringkas menjadi tiga
- Memasukkan lebih banyak rumah tangga ke koneksi data lingkungan bersama yang tidak memadai
- Menekan koneksi antara jaringan Spectrum dan jaringan lain
- Menekan konsumen yang seharusnya menerima perangkat rumah yang telah ditingkatkan
- Gugatan ini diselesaikan pada Desember 2018 dengan Charter/Spectrum membayar 176 juta dolar AS
- Router mesh konsumen seperti eero, AmpliFi, dan Google Wifi dapat menjalankan speed test dari router itu sendiri
- eero tampaknya melakukan speed test setiap hari
- AmpliFi dan Google Wifi menyimpan riwayat speed test sehingga tren mudah dilihat
- eero tidak menyimpan riwayat
- Karena perbedaan antar-router sangat besar, jangan berharap bisa langsung membeli router sempurna yang sesuai kebutuhan
- Jika memungkinkan, sebaiknya membeli router dari tempat yang memungkinkan pengembalian barang
1 komentar
Opini Hacker News
Semoga saja begitu. Saya punya modem dan router sendiri, tetapi Comcast tidak mengizinkan saya memakainya kecuali saya membayar banyak biaya tambahan atau menerima batas data bulanan yang sangat rendah
Jadi saya memakai router saya di belakang perangkat Comcast, dan itu cukup menjengkelkan. Terutama perangkat modem-router all-in-one Comcast yang kepanasan, sehingga sekitar sebulan sekali harus dicabut dayanya untuk di-reboot
Sayangnya, di rumah saya di San Francisco tidak ada pilihan lain. Tidak ada saluran telepon, jadi DSL juga tidak bisa, dan layanan fiber yang katanya makin banyak di San Francisco umumnya hanya masuk ke pusat kota atau apartemen besar. Rumah tunggal saya tidak terjangkau fiber baru AT&T maupun Webpass
Pada akhirnya pilihannya Comcast atau tanpa internet. San Francisco sering disebut ibu kota teknologi dunia, tetapi konektivitas internetnya lebih buruk daripada pedesaan China. Saya pernah cukup lama tinggal di pedesaan dan daerah pegunungan China, dan selain masalah firewall, baik jaringan seluler maupun kabel jauh lebih baik daripada San Francisco
Sulit dipercaya pada 2025 masalah seperti ini masih ada di kota teknologi besar
Dulu saya langsung menghubungkan fiber ke Fritz!Box saya dengan modul XGS-PON SFP, dan sekarang saya menghubungkan ONT milik penyedia ke Unifi Cloud Gateway Max. ONT ini pada dasarnya hanya media converter yang mengubah fiber menjadi Ethernet
Di sini juga banyak orang yang menghubungkan perangkat UDM atau OpnSense langsung ke fiber memakai modul Zaram XGS-PON. Sedih mendengar harus menghadapi batas data; di Belanda sejak beralih dari 56k6 ke ADSL, semuanya terus unlimited. 5G juga saya pakai unlimited dengan biaya 25 euro per bulan
Namun perlu saya tambahkan juga bahwa kami tidak punya air ledeng yang bisa diminum, jadi harus memakai air hujan
Saya membayar 130 dolar per bulan untuk 1,4Gbps dan data unlimited. Memang mahal, tetapi saya juga tidak punya pilihan lain. Sonic berhenti satu blok dari sini, dan saya tidak berhasil meyakinkan mereka untuk menarik kabel sampai blok kami
Bisa jadi karena saya sudah memakai paket ini selama beberapa tahun sehingga masih punya ketentuan pelanggan lama, atau mungkin tenaga penjualan Comcast menyesatkan soal pilihannya
Para penyedia internet besar juga kadang punya kesepakatan tidak resmi untuk tidak bersaing di wilayah tertentu. Ini berdampak pada kawasan perumahan pinggiran kota, perkotaan, maupun pedesaan, dan menurut saya jauh lebih parah di pedesaan
Karena mereka tahu pelanggan tidak punya pilihan, tidak ada alasan untuk bersusah payah memperbaiki layanan pelanggan atau meningkatkan kualitas
Internet berbasis jaringan seluler memang sedikit memberi ruang bernapas, tetapi kekurangannya adalah kecepatan dibatasi saat jaringan padat dan latensinya secara umum juga kurang baik
Contoh internet kota yang ideal yang pernah saya lihat adalah EPB di Chattanooga, Tennessee. Untuk pelanggan rumahan pun mereka menawarkan akses simetris dari 1000Mbps hingga 25.000Mbps https://epb.com/fi-speed-internet/?#choose-your-plan
Paket 1Gbps lebih murah daripada Google Fiber, dan paket 2,5Gbps juga kompetitif. Uangnya tetap berada di ekosistem lokal, menciptakan pekerjaan bergaji tinggi, dan keuntungannya diinvestasikan kembali ke jaringan, bukan untuk buyback saham atau eksekutif yang pulang-pergi jarak jauh dengan jet pribadi
Cerita tentang koloni kecoak itu agak tidak adil
Serangga menyukai panas dan suara dari perangkat elektronik. Jika perangkat elektronik disimpan lama, serangga dari barang di sebelahnya bisa saja merayap masuk
Hal yang sama bisa terjadi pada router yang bukan perangkat penyedia internet. Tentu saya tidak punya statistik untuk mendukung klaim ini, tetapi pihak lain juga tidak punya statistik
Router open-source favorit Anda juga bisa saja sudah lebih lama berada di gudang
Saya punya pandangan yang campur aduk soal router penyedia internet dan penyedia internet itu sendiri, tetapi infestasi serangga pada perangkat elektronik adalah masalah serius dan bukan masalah yang langsung terkait dengan penyedia internet
Dan kenapa harus ada perangkat bekas di rak sebelah router baru yang ingin saya beli?
Kalau itu perangkat bekas, bisa dibilang “sebesar itu kemungkinannya”, tetapi kalau saya membeli router, saya tidak akan membeli yang bekas
Artikel yang ditautkan bercerita tentang adanya koloni kecoak hidup di dalam kemasan yang dikirim oleh penyedia internet. Kalau hal seperti itu tidak terdeteksi, bagaimana kita harus memandang keamanan rantai pasok perusahaan itu?
Jika tempat Anda membeli perangkat elektronik mengirimkan kemasan berisi serangga, Anda harus mengganti pemasok. Itu bukan hal normal
Untungnya UPS melemparkannya ke salju, dan saya baru menemukannya beberapa hari kemudian sehingga kecoaknya sudah mati beku. Karena itu saya tidak merekomendasikan router penyedia internet maupun perangkat terkaitnya
Dalam kabar serupa, regulator Jerman BNetzA dua minggu lalu kembali menegaskan bahwa jaringan optik pasif bukan pengecualian dari TKG, yaitu Undang-Undang Telekomunikasi §73(1) https://www.bundesnetzagentur.de/SharedDocs/Pressemitteilung...
Pasal ini mensyaratkan bahwa antarmuka antara penyedia dan pelanggan harus berupa antarmuka pasif, jadi memaksakan ONT itu sendiri sudah merupakan pelanggaran
Dan ini arah yang baik. Berbagai standar PON sudah distandardisasi dengan cukup baik, dan dapat berjalan dalam mode standar dari kebanyakan produsen perangkat. Operator mungkin kehilangan beberapa fitur proprietari, tetapi melihat masa lalu, para produsen sudah beradaptasi dengan pasar Jerman
Hukum juga mengizinkan pengecualian, tetapi terutama terbatas ketika diperlukan secara teknis untuk akses. Bahkan dalam kasus itu pun, ditegaskan bahwa perangkat yang menghubungkan perangkat pengguna akhir ke layanan, yaitu router, tidak boleh dipaksakan oleh penyedia internet. Mereka boleh menyediakannya, tetapi tidak boleh menghalangi pengguna menghubungkan perangkatnya sendiri
Kadang saya rindu masa tinggal di Jerman
Melihat perilaku penyedia internet di sini, banyak cerita yang benar-benar gila. Australia punya riwayat cukup panjang merusak infrastruktur internet nasional, tetapi setidaknya kita bisa memilih hampir penyedia internet mana saja dan memakai router yang diinginkan
Rasanya sudah sekitar 15 tahun saya tidak memakai router pemberian penyedia internet
Pilihan penyedia internet per daerah benar-benar untung-untungan. Bahkan di kota regional besar pun sering buruk, dan orang yang tinggal di pedesaan atau daerah terpencil diperlakukan seperti tidak ada. Kalau pindah ke tempat yang hanya dilayani Telstra, saya mungkin serius mempertimbangkan untuk tidak memakai internet saja. Membayar Telstra dan akses internet kira-kira sama saja, tetapi tidak membayar jauh lebih murah
Ulah paling berkesan adalah Verizon DSL. Setiap kali mencoba koneksi masuk, mereka menyewakan IP publik baru. IP berubah secepat saya bisa mencatat IP baru di konfigurasi jarak jauh dan menyambung ulang, dan saya bisa mendorongnya hingga lebih dari 6 kali per menit
Modem tambahan tidak wajib, dan PC pun bisa dicolok langsung, jadi penderitaannya jauh berkurang dan kebutuhan akan modem pemberian penyedia internet juga menurun
Router AT&T Fiber dulu cenderung mengalami overheating, menjanjikan hal kosong seperti mode “DMZ Plus”, dan karena berbagai masalah, sampai muncul pasar gelap untuk membeli dan menjual file sertifikat AT&T yang dicuri dari internet
Saat perangkatnya terpisah, ini karena AT&T memakai 802.1x antara perangkat kombinasi “Router/gateway” dan ONT. Jaringan AT&T XGS-PON sekarang kebanyakan sudah terintegrasi, jadi kali ini orang-orang membuat modul SFP+ kompatibel yang menggantikan seluruh stack GPON
Saya bisa saja keliru, tetapi di antara penyedia internet AS, sepertinya hanya AT&T Fiber yang bahkan tidak mengizinkan pengguna tersambung langsung ke jaringan. Kalau memakai router yang mereka sediakan, yang diberikan hanya mode “DMZ Plus”, tetapi router/gateway itu tetap mengelola state table, sehingga tetap rentan terhadap masalah hardware dan software pada perangkat penyedia internet
Pada akhirnya orang-orang memprogram modul SFP+ hanya agar bisa memakai router/modem yang lebih aman, dan jadi mempelajari jaringan penyedia internet lebih dalam dari yang semestinya
Karena masalah keamanan, beberapa orang menerbitkan panduan atau bahkan menjalankan bisnis nyata untuk mengeksploitasi firmware router/gateway dan mengekstrak sertifikat serta private key dari perangkat AT&T. Ini bukan untuk memakai internet gratis, hanya agar mereka bisa mengautentikasi ke jaringan dengan perangkat sendiri
Itu perangkat milik saya yang diwajibkan oleh operator untuk dibeli agar bisa memakai layanan, jadi saya bisa memperlakukannya sesuka saya
Kalau ini dipakai untuk mencuri layanan, saya setuju, tetapi kami hanya tidak ingin memakai perangkat yang tidak stabil dan tidak bisa diterima
Dari sisi biaya saja saya sepenuhnya setuju. Dibanding biaya sewa yang dibayar ke penyedia internet, modem kabel saya sudah balik modal sejak lama
Dan sebaiknya beli modem dan router secara terpisah. Perangkat all-in-one lebih sulit didiagnosis, dan ketika beralih ke metode akses lain, routernya tidak bisa dipakai ulang
Pernyataan “dalam jangka panjang membeli hardware sendiri bisa lebih murah” justru menjadi alasan penyedia internet saya membuat orang wajib menyewa perangkat mereka
Ini cerita klasik tentang mendorong dominasi di satu pasar ke pasar lain
Pada akhirnya saya memperlakukan jaringan seperti jaringan lain mana pun. Asumsikan jaringan sudah ditembus, dan keamanan harus dilakukan di perangkat endpoint
Saya setuju dengan tulisannya, tetapi menambahkan pada bagian “fitur update firmware juga bisa dikunci. Kita harus bisa mengendalikan update firmware sepenuhnya”: anehnya, pada modem DOCSIS, bahkan modem yang dibeli sendiri pun firmware-nya dikendalikan oleh penyedia internet
Mereka bisa mendorong firmware apa pun ke modem saya, dan memang melakukannya. Entah kenapa para produsen juga bekerja sama dalam hal ini
Karena itu modem dan router juga sebaiknya selalu dipisahkan
Artinya mereka cukup tahu ke mana kita pergi, hanya saja mereka tidak selalu tahu apa yang dikirimkan di sana. Kadang mereka juga bisa mengetahuinya
Sebaliknya, kalau memakai router dan modem mereka, batas tanggung jawab berpindah ke port Ethernet di sisi dalam router, sehingga dukungan jadi jauh lebih mudah
Bagi saya itu lebih penting daripada kendali. Dan saya juga tahu betul mereka tidak punya waktu untuk mengawasi saya. Karena menyenangkan melakukan appeal to authority, saya tambahkan: saya bekerja sebagai network engineer dan arsitek selama puluhan tahun
Penyedia internet saya mengirimkan Fritz!Box, dan juga menyediakan opsi untuk menggunakan perangkat sendiri. Perangkatnya sudah dikonfigurasi sebelumnya untuk dipakai dengan penyedia internet tersebut
Di pengaturan, saya mematikan akses jarak jauh dan TR-069 lewat toggle, lalu mengganti kata sandi admin. Sebenarnya, untuk mengendalikan router seperti ini, itu saja sudah cukup
Ada alasan untuk tidak menyukai router AVM, tetapi dari sisi konfigurasi pengguna dan keamanan jaringan, perangkat lunaknya cukup solid. Ini bukan perangkat yang buruk, dan penyedia internet besar bisa mendapat diskon besar lewat pesanan massal sehingga dapat menawarkannya dengan biaya sewa yang lebih murah daripada membeli di toko
Di salah satu tempat kerja lama saya, kami memesan satu palet router Huawei, tetapi barangnya datang dengan firmware kustom dari penyedia internet lain. Perangkat itu sepenuhnya terkunci dan hanya bisa dikonfigurasi lewat TR-069 serta fitur ONT proprietari Huawei
Ada juga seorang klien yang menyebarkan router yang hanya dikelola lewat cloud milik penyedia internet. Bukan TR-069; setelah DHCP saja, perangkat itu menghubungi “rumah” lewat protokol proprietari. Klien tersebut bilang ini terasa seperti sihir karena mereka bisa me-reboot router pelanggan dari jarak jauh, tetapi produsennya bangkrut 8 bulan kemudian, menyisakan banyak router prakonfigurasi tanpa portal cloud dan jalan buntu. Sampai mengherankan belum ada kasus pembajakan DNS yang muncul
Perangkat itu langsung saya buang keesokan harinya