Vlákno názorů k článku
Wi-Fi routery Asus byly v ČR napadeny nebezpečným útokem. Zkontrolujte si, zda nebude potřeba výměna od Martin P. - Vždycky mě pobaví u home userů ....Majitelé těch,...

Pokud jde router z továrny se starým firmwarem, který se zaktualizuje hned po prvním připojení routeru do internetu, není to problém.

Zprávička ukazuje, proč pouhé postihování výrobců nestačí. Ty napadené routery už nemají podporu výrobce, takže výrobce je z obliga. Potřebujete dosáhnout i na koncové uživatele, protože je potřebujete donutit, aby nepoužívali zařízení, která už nemají podporu výrobce (a příště si třeba koupili zařízení s delší podporou), a aby nekupovali šedý dovoz z Číny, na který nebude jak uplatnit ten postih výrobce.

Považoval jsem za samozřejmé, že má být ta odpovědnost přenositelná na výrobce – tj. pokud má uživatel zařízení, které je ještě výrobcem podporované, a nezabránil zařízení v automatických aktualizacích, jde odpovědnost za výrobcem.

Vámi popisovaný problém neexistuje, protože jsem popisoval jednu věc, ve které by se odpovědnost za provoz zařízení lišila od STK. STK musíte absolvovat pravidelně, protože nechceme, aby auto, které nesplňuje normy, vůbec bylo v provozu. Zařízení připojená do internetu považuju za o něco menší hrozbu, takže tam podle mne stačí řešit to až zpětně, pokud zařízení bude součástí útoku.

Jenže ona i pěkná paleta routerů střední třídy dostane jen jednu aktualizaci - a pak si, uživateli, pomoz sám. Případně dostávají aktualizace první dva roky - a pak konec. Což znamená, že reálně by uživatelé měli ty krabičky vyhodit, a koupit nové...
A pokud to vezmete zodpovědně, nahrajete tam NěcoWrt, a pravidelně aktualisujete a opravujete, jste odměněni ztrátou záruky a výrobce od toho dává ruce pryč.
Váš přístup (V případě problému za to můře ten, kdo neaktualizoval - výrobce, případně zákazník, když to zablokoval) by vedl pouze k tomu, že ti, kteří se starají v případě problému spadnou do stejného průšvihu, jako ti, kdo ty aktualizace záměrně blokují. Výhodnější by prostě bylo: stát se ovcí, jít s davem, a prostě co dva roky utratit prachy za nové zařízení.

Když budou uživatelé za provoz zodpovědní, třeba si spočítají, že se jim vyplatí pořídit si router s delší podporou.

Houbeles - pojišťovna jim to přihodí za pár kaček k pojistce odpovědnosti za škody, a to vyjte levněji, než dražší router. Beztak je ta delší podpora často jen deklarovaná.

Tak ty pokuty musí být tak vysoké, aby ta pojistka levněji nevyšla. Nebo aby si pojišťovna sama dala do podmínek, že ten router bude aktualizovaný a podporovaný.

Protože jinak se těch primitivních útoků nezbavíme. Teda jsou další metody, ale ty jsou daleko invazivnější. Třeba něco na způsob povinné STK.

A tím se vracíme k tomu, že (vysoký) trest bude hrozit těm, kdo se starají, a dají si na router třeba OpenWrt - a mezi aktualizacemi to někdo zneužije. První, co se dozvědí, bude: Není tam originální systém, je to vaše vina, plaťte!

Házet další a další povinnosti na obyčejné lidi, a ještě to pojišťovat přísnými tresty, je nesmysl.
Místo, aby to řešilo příčinu, skončí to honem na výběr pokut za marginální chyby. (Na vašem routeru jsme detekovali nezabezpečený firmware, máte 7 dní na opravu, potom zaplatíte pokutu ve výši...)

Příčina je ta, že lidé kašlou na aktualizace a používají zařízení se známými bezpečnostními dírami – ať už kvůli tomu, že neaktualizují, nebo že používají nepodporované zařízení.

Jasně jsem psal, že ta odpovědnost by se řešila až v okamžiku, kdy by zařízení bylo součástí útoku, tj. způsobovalo by škody.

Jenže to kašlou je právě problematické.
Máte routery, které si laik koupí, s tím, že jsou tam automatické updaty, nastaví wifinu - a tím jeho péče na dlouhou dobu končí. Ten neví (a nikdy nebude vědět), že se to neaktualizuje.
Máte routery, které jsou pronajaté (či odkoupené) od ISP, kde ten uživatel v životě nepřišel s nastavením do styku.
Máte routery, kde je vše správně, ale aktualizace se z nějakého důvodu přestane dařit, přestože to máte správně nastavené. (Úplně stačí, když se změní zdroj aktualizací.)

Zrovna jsem strávil příjemný weekend s routerem, na kterém se nepovedla aktualizace; jeden den jsem trávil zjišťováním, proč - a po aktualizaci druhý den vracením konfigurace (což stále není hotové). Dodávám: žádný alternativní firmware, žádné customizace, vše na standardním rozhraní. Jen ta nová verse firmware nepočítala s drobnou nuancí v nastavení.
Kdybych nebyl alespoň trochu znalý, mám router se starým firmware, a ani o tom nevím. (I proto, že vygeneroval tolik zpráv o chybě, že je e-mailový server automaticky začal házet do spamu.)

Váš návrh jistě vychází z dobrého úmyslu, ale je to opět cesta do pekel. Zjednodušeně by to šlo charakterisovat jako: Mít internet znamená být jednou nohou v kriminále.

1. 12. 2025, 17:14 editováno autorem komentáře

Točíte se pořád dokola a vymýšlíte problémy, na které už jsem v předchozích komentářích uvedl řešení.

Takže ještě jednou, všechny vaše námitky řeší to, co už jsem popsal dříve: Vlastník zařízení je zodpovědný za to, co zařízení provádí v internetu, zejména pokud je zařízení zdrojem škodlivého provozu, který útočí na jiná zařízení v internetu. Přičemž zdrojem je myšleno, že to zařízení generuji příslušné škodlivé pakety, bez ohledu na to, kdo to vyvolal. Vlastník zařízení je zbaven odpovědnosti a ta je přenesena na prodejce, pokud zařízení má nějakou certifikaci a vlastník zařízení provozuje v souladu s pokyny výrobce (např. neznemožňuje automatické aktualizace; nepoužívá zařízení, které už výrobcem není podporováno.)

To řeší všechny vámi uváděné problémy – odpovědný je vlastník zařízení, takže pokud ISP zařízení pronajímá, je odpovědný ISP. Odpovědnost je primárně na výrobcích, ale pokud si sem někdo doveze něco na své triko, bude odpovědný on. Pokud uživatel vypne automatické aktualizace, je to problém uživatele. Pokud přestanou fungovat kvůli výrobci, je to problém výrobce. Pokud uživatel používá zařízení i po skončení podpory výrobce, je to problém uživatele. Je na uživateli, aby si vybral, zda si pořídí zařízení s dvouletou podporou, pětiletou nebo třeba desetiletou. Je na uživateli, jestli si tam dá OpenWRT a dokáže si to zabezpečit.

Já se Vám snažím vysvětlit, že odhadem 4/5 provozovatelů routeru (většinou majitelů, ale částečně těch, kdo mají router od ISP pronajatý). tohle vůbec neumí posoudit ani ovlivnit.
Je hloupost jim házet na hrb další povinnosti a ještě hrozit sankcí.
Ano, neznalost neomlouvá, ale i to by mělo mít své meze!

Drtivá většina uživatelů vůbec nevybírá zařízení s dvouletou podporou, pětiletou nebo třeba desetiletou, ale to, co je pro ně cenově přijatelné, má to slušnou wifinu, snadno se to nastavuje, a dostanou na to dvouletou záruku. A to zařízení pak funguje další roky, obvykle dokud nedoslouží zdroj nebo kondenzátory.
Můžete mít stokrát správně nastavené automatické aktualizace (a výrobce je dodává), ale stejně se to může nepovést - buď náhodnou chybou během aktualizace (jako v mém případě minulý týden) nebo to zařízení napadne zero-day malware ještě před vydáním záplaty a ty aktualizace si prostě zablokuje. A ti majitelé se to ani nedozvědí!
(Ani já bych to netušil, kdyby mne nenapadlo po aktualizaci jednoho routeru kouknout do logu, jak to dopadlo na druhém, stejném - a kdybych si nevšiml, že je tam i po úspěšné aktualizaci staré číslo firmware, případně kdybych se spokojil s tím, že ruční spuštění aktualizace skončí optimistickou hláškou Váš firmware je aktuální!)

Všechny vaše námitky už jsou vyřešené v předchozím komentáři. Ty 4/5 provozovatelů by nic neposuzovali, jenom by nakoupili na e-shopu v EU. A z médií by věděli, že si mají dát pozor na to, jak dlouhou podporu router má, jinak se jim může stát, že ho budou muset za dva roky vyhodit a koupit nový.

Jenže:
1.- oni tohle nejsou schopni reálně posoudit, zvlášť, když běžně ty routery mají podporu třeba dva roky od výroby, nikoliv od nákupu (to platí i pro mobily...),
2.- to, že tam ta podpora je, nezaručí, že se aktualizace povede a že se nestanete součástí botnetu.
Jak konkrétně posoudíte případ, kdy máte automatické aktualizace zapnuté, a router začne škodit, protože:
a) ta aktualizace se nezdaří (problém na síti, atd...),
b) k napadení dojde před vydáním aktualizace a malware si ohlídá, že mu to nazavře zadní vrátka?
To opravdu hodláte hrozit (velkou) pokutou lidem, kteří budou jen z médií vědět, že mají mít podporovaný router?
Protože firma od toho dá ruce pryč: My opravu zveřejnili nebo Pro tento model už podpora nebude, ať si koupí nové zařízení.

Ale jsou schopní to posoudit. A když toho někdo schopen nebude, pořídí si router od ISP, který to udělá za něj (za příslušný poplatek).

Případ dva je triviální a odpověď najdete v předchozích komentářích. Pokud je router z normální distribuční sítě od EU obchodníka, a je podporovaný, jde odpovědnost za výrobcem – pokud výrobce neprokáže, že uživatel buď v konfiguraci vypnul automatické aktualizace (pokud by to výrobce vůbec umožnil), nebo jim nezabránil jiným způsobem (třeba blokací příslušné komunikace na firewallu ještě před routerem).

Evidovat, do kdy má zařízení podporu, je také snadné.

U aut je to ještě o dost komplikovanější, přesto to lidé úplně normálně zvládají. Není důvod, proč by nezvládli jednodušší věc než je STK.

STK máte jednou za dva roky. Já (a spousta dalších) to dělám tak, že dojedu do servisu s požadavkem protáhněte to technickou, a vím, že oni to uvedou do perfektního stavu, vyřídí, a já to jen zaplatím. Protože o autě vím jen to, kde se do toho leje benzín - a že se do toho leje benzín.
Rozdíl je v tom, že tady by žádná SRK (Státní Routerová Kontrola) nebyla, takže nemůžete čekat, že by údržbu a kontrolu řešili lidé, kteří routerům rozumí stejně, jako já autům. A když by nastal průšvih, už by bylo pozdě.
Navíc, lidé nebudou měnit routery co dva-tři-čtyři roky, stejně, jako nemění auta tak často: od obého vesměs očekávají, že to bude sloužit minimálně pět až deset let.

Nedovedu si představit, že by se z té zodpovědnosti výrobci/prodejci nějak nedokázali vyzout.
(Stejně, jako pojišťovna s klidem zkusí zamítnout náhradu škody po povodni, přestože to mám v pojistce explicitně napsané, s tím, že to je jiný typ povodně, než proti jaké jsem pojištěný.)

Proč by nemohl existovat servis pro routery, stejně jako existuje servis pro auta? Ze zákonné záruky nebo možnosti vrátit zboží ve 14denní lhůtě se prodejci také vyvlékli?

Servis pro routery by existovat mohl, ale asi by se neuživil. Na STK prostě musíte, a navíc je běžné dvakrát do roka měnit pneumatiky, což je vhodná příležitost to auto (nechat) prohlédnout. Router zapjíte - a už se nestaráte (Connect & Forget).

Jasně, že se ze čtrnáctidenní lhůty (někteří) prodejci vyvlékli!
Úplně stačí, aby to nebyl prodej po internetu - takové to zboží vám na prodejně předvedeme, a vy se rozhodnete je velmi účinné. Případně počítají 14 dní od zakoupení (zaplacení), nikoliv od doručení, což dokáže efektivně zkrátit dvoutýdenní lhůtu na tři dny.

Právě proto je tam ta zodpovědnost provozovatele. Pokud tomu nebude rozumět, tak si zaplatí službu servisu pro routery a bude nakupovat v obchodě, který se z odpovědnosti nevyvlékne.

Jenže operátoři nedávají zrovna routery které jsou ve volné prodeji. Tady jde o " wifi krabičky" které si někdo koupí v elektro krámu a součást toho cloudu opravdu není jen customizace pro konkrétního oprátora nebo ISP.

Ten zranitelný asus cloud je Cloud Disk , Smart Access do LANky , Smart Sync s Dropbox a
Google Drive a Asus DDNS. Tedy potencionál pro backdooory jako vrata. Tohle není něco tak primitivního že lokální ISP si nechá otevřený FTP a SSH pro konfiguraci.