TP-Link zapomniał o aktualizacjach firmware: kiepsko z dostępnością poprawek

W październiku Aleksandersen kupił sobie wzmacniacz sygnału dlasieci bezprzewodowej, a następnie spróbował zaktualizować jegofirmware, odwiedzając norweską witrynę producenta. Ku swemuzaskoczeniu odkrył, że udostępniony tam obraz był o dwie wersjestarszy od wersji dostępnych na witrynach szwedzkiej i duńskiej.

Podejrzewając, że to nie jest odosobniony przypadek, postanowiłsprawdzić, jak kwestia aktualnego firmware wygląda na innychwitrynach europejskich TP-Linka. Wybrał losowo dziewięć produktów,a następnie stworzył dla nich listę dostępnych wersji firmware naposzczególnych witrynach krajowych.

Lista nie wygląda za ciekawie. Tylko jeden punkt dostępowy(model AP500) miał aktualne firmware na wszystkich stronach, choćsądząc po dacie wydania, listopadzie 2015 roku, jego odporność naataki jest wątpliwa, choćby w świetle zagrożenia lukąKRACK w protokole WPA2. Pozostałe sprawdzone urządzenia w wielukrajach oferowały przestarzałe firmware, nawet o kilka wersji zaaktualnie dostępną wersją. Internauta zachęcany dozaktualizowania oprogramowania routera odwiedzał stronę producenta,tylko po to, by pobrać oprogramowanie wciąż podatne na ataki.

Jak twierdzi Aleksandersen, jedynie witryny czeska, fińska,francuska, włoska, holenderska i rumuńska zawsze hostowały najnowszewersje firmware dla wszystkich sprawdzonych przez niego produktów. Oprócz wymienionych, witryny niemiecka, polska i grecka obecnie zawierają najnowsze wersje firmware.

Najgorzej wypadła strona szwajcarska, choć tu można szukać wyjaśnieniaw stosunkowo niedawnym przyjęciu przez ten kraj standardów dotyczących urządzeń radiowo-elektronicznych UE.

Przestarzałe wersje firmware nie są jedynym, co norweski badaczzarzuca TP-Linkowi. Firma nie oferuje żadnych metod powiadamiania owydaniu nowych wersji oprogramowania czy biuletynów bezpieczeństwa– użytkownicy mogą jedynie odwiedzić stronę internetową iręcznie sprawdzić, czy czasem nie wydano nowej wersji firmware. Cowięcej, większość produktów tej firmy nie ma mechanizmu automatycznychaktualizacji, co najwyżej przycisk w panelu administracyjnym,pozwalający sprawdzić dostępność aktualizacji. Taki przyciskwymaga jednak jeszcze więcej zachodu, niż odwiedzenie stronyinternetowej producenta.

Wszystko to kiepsko wygląda szczególnie w świetle wspomnianegoKRACK-a. W październiku TP-Link wydał co prawda biuletyninformujący o zagrożeniu, w którym podano listę podatnychurządzeń. Do dzisiaj jednak nie pojawiły się żadne noweinformacje, nie mówiąc już o udostępnieniu poprawek. Możemyjedynie dowiedzieć się, że urządzenia z włączoną funkcjąTP-Link Cloud będą automatycznie otrzymywać powiadomienia odostępnych aktualizacjach na stronie zarządzania siecią orazpoprzez aplikacje Tether i Deco.