Vlákno názorů k článku
Wi-Fi routery Asus byly v ČR napadeny nebezpečným útokem. Zkontrolujte si, zda nebude potřeba výměna od kamui - Třeba můj otec tenhle koncept morální zastaralosti nebere...

Třeba můj otec tenhle koncept morální zastaralosti nebere a neuznává. On to vnímá tak, že zařízení pořád funguje, tak ho přece nevyhodí.

Vždycky mě pobaví u home userů ....Majitelé těch, kteří již nemají podporu, by raději měli pořídit nový model, případně mohou zkusit nahrát OpenWrt.... tak jistě obzvláště si pujdou koupit router který stojí víc než třeba zbytková cena toho NTB který za tím je .

V tom tomhle segmentu je omezený budget a žádný entusiasmus k technice. Takže koupí leda další router bez podpory, ideálně s backdoorem by design.

Bohužel patová situace pokud není nový bezpečný router levný pro daný segment a to je tak 25€ až 50€.

V tomhle segmentu (Home) se potkávám s přístupem: Já tomu nerozumím, můžeš mi to nastavit?, v lepším případě ...můžeš mi poradit?.
Pokud si poradit/pomoct nechají, tak na ten levný router obvykle okamžitě dorazí OpenWrt s nastavením aktualizací, které čas od času zkontroluji během přátelské návštěvy na kafe, obvykle spojené s řešením jiného závažného problému, například nefunkční IPTV.
A pak jsou tací, kteří zvládnou všechno sami, a neváhají se pochlubit, jak se jim podařilo na tom routeru ušetřit pětistovku...
...plus rozsáhlá skupina těch, co tomu nerozumí, takže to mají tak, jak jim to ISP dodal, obvykle s defaultním heslem, které ani nevyžaduje nijak silný hackerský útok. (Tímto zdravím majitele většiny domácích wifin v okolí.)

Tak ono by bohatě stačilo, kdyby tam výrobci nemontovali remotebackdoory, které pak přestanou patchovat (tento případ).

Proč by se probůh domácí router BFU měl konfigurovat vzdáleně z cloudu...

Prostě všechno z WAN zavřít, pak router zůstane zranitelný jen zevnitř kde je o mnoho řádů nižší pravděpodobnost napadení.

No jasně, regulujme úplně všechno. I za cenu, že se uregulujeme k smrti. Mělo by se třeba začít regulovat a učinit zodpovědnými i pisatele komentářů s chybami. Poškozují totiž nikoli sebe, ale čtenáře. Píše se „nezbude“. Uhraďte pokutu ve výši 1 500 Kč ve lhůtě dvou pracovních dnů ;-)

Hacknutý router se pro tyhle uživatele rychle přesune do skupiny už funguje nějak divně nebo skoro vůbec. Běžný důvod pro upgrade.

to také není pravda. U velkého množtví routerů, které jdou z továren a koupíš si je, jsou neopravené zranitelnosti a musíš si je aktualizovat.

Však se tady postupně chystá legislativa, aby za tohle naopak postihovala výrobce, když nebudou mít zařízení bezpečná a udržovaná a nikoliv uživatele.

Zásadní problém pro postihování uživatelů (a v tom přesně analogie s STK nefunguje) je, že neexistuje způsob (a autorita), že tenhle router je bezpečný či není. U STK tady máš předpisy, zkušeností zařízení a celou velkou infrastrukturu. Copak něco takového je u routerů? Nebo se chceš spolehnout na veřejné databáze, kde jsou běžně nesmysly?

No, já bych to odhadl tak na třetiny: třetina si nechá poradit/pomoct, třetina to nechá tak, jak jim to nastaví ISP (případně zadají svoje SSID), a třetina se v tom vrtá. (Odečetl jsem zkušené ajťáky, těch bude hodně málo.)
Ve výsledku bude nejvíc těch zranitelných v prostřední skupině, protože ti to prostě vůbec nevnímají: žere to elektriku a dělá to internet. Tam má na množství zranitelných zařízení vliv hlavně výběr modelu jejich ISP.
Zranitelných typů routeru bude hodně i v té poslední skupině, ovšem tam to trochu vykompenzuje fakt, že část z nich to - někdy spíše nedopatřením - občas aktualisuje.

A jak si myslíš, že ti konfigurují operátoři router? Z jejich cloudů.

Nejde o cenu, ale o množství.

To se STK je krapet zavádějící. Auto po výrobě splňuje předpisy a STK kontroluje, kromě toho že někdo nezanedbal údržbu, třeba jestli není kradené.

Analogie s routerem nesedí, ten byl bez bezpečnostních patchů od začátku a uživatel údržbou nezanedbá nic.

Představa, že nezájem zákazníků povede k tomu, že se buď levný bezpečný router objeví, je naivní, a stejně tak, že se najednou nafoukne budget.

Jinak, omezování ze strany ISP v tom, co může nebo nemůže zákazník připojit, už tu bylo a neprošlo zrovna tímto pozitivním způsobem.

Zalezi kdo to je a jak moc velky je to srot.. Uz pred 15 lety jsem se zarekl ze IT support rodine a znamym delat nebudu. Potrebujem vyresit problem... a pak zjistis ze ten pocitac je takovy kepl a razem z 1 hodiny je 5 hodin a stejne to k nicemu nevede protoze je problem v casti kterou musis propajet s horkovzduskou a aspon dvema lupama kdyz ne mikroskopem. Cely to diagnostikujes kutilskym multimetrem protoze tvoje vybava (neprenositelna) je 300km dal.
Potrebujem jen pomoct s routerem... a pak zjistis ze tam jsou primo exponovane porty ven protoze jim to nejaky trotl takhle nastavil kvuli IoT/zabezpecovacce ci kyho slaka. VPNku ten kepl neumi (maximalne tam nacpu mini wrt jestli vubec a ten vpnku afaik neumi nebo jen ipsec) a ted nekomu rikej ze si ma poridit novy router,(a to ne nutne drazsi nez ten ktery maji na stole). Takze z 1h dalsich 5hodin a nad to zkazeny den kdy si clovek chtel od IT odpocinout. Mezitim zjistis visici ethernet kabel a prosakujici spoj od galaxynetu. Misto popovidani u kavy je z toho stresujici den.
Sel jsem resit popovidani a hrani u jednoho znameho. Misto toho se z toho stalo litani po studiu a hledani duchu v ethernetu s merakem - ethernet natahoval elektrikar ktery datovky nedela ze...
A tohle mel clovek furt. Vecer druhy den se mel ucit na certifikacni zkousky a misto toho vejral do monitoru a nechapal jednoduche formulace na nekomplikovanych ulohach protoze jsem mel dost z predchoziho dne
Nejsem psycholog a nedelam L1 support. Muj oddychovy cas se nema az na velmi urgentni pripady krizit s pracovnim. Podobne storky maji kolegove v praci taky a vetsinou to resi doporucenim nejake dobre firmy na desktop/SOHO support.
Mate asi stesti na lidi nebo s nimi umite komunikovat lepe nez ja ze je odbavite rychle. Pripadne mate pripraveny "solution design template" pro reseni se ktermi se setkavate. Muj cas je drahy a odpocinek je moje odpovednost kterou si musim zajistit sam.

27. 11. 2025, 14:42 editováno autorem komentáře

Ja fakt mam panickou hruzu z end user supportu znamym i rodine. Hlavne u poslednich widli.
No - za poslední rok jsem častěji instaloval Linux, než Windows.
Taky solution template.

Jenže operátoři nedávají zrovna routery které jsou ve volné prodeji. Tady jde o " wifi krabičky" které si někdo koupí v elektro krámu a součást toho cloudu opravdu není jen customizace pro konkrétního oprátora nebo ISP.

Ten zranitelný asus cloud je Cloud Disk , Smart Access do LANky , Smart Sync s Dropbox a
Google Drive a Asus DDNS. Tedy potencionál pro backdooory jako vrata. Tohle není něco tak primitivního že lokální ISP si nechá otevřený FTP a SSH pro konfiguraci.

A tím se vracíme k tomu, že (vysoký) trest bude hrozit těm, kdo se starají, a dají si na router třeba OpenWrt - a mezi aktualizacemi to někdo zneužije. První, co se dozvědí, bude: Není tam originální systém, je to vaše vina, plaťte!

Házet další a další povinnosti na obyčejné lidi, a ještě to pojišťovat přísnými tresty, je nesmysl.
Místo, aby to řešilo příčinu, skončí to honem na výběr pokut za marginální chyby. (Na vašem routeru jsme detekovali nezabezpečený firmware, máte 7 dní na opravu, potom zaplatíte pokutu ve výši...)

Proč by se probůh domácí router BFU měl konfigurovat vzdáleně z cloudu...... ....protože místní geekové nebo provinční "firma co děla do počítačů" si o si za to nakonfigurování řeknou 1/4 až 1/2 ceny toho routeru.

Tady jde o routery za cenu od 25€ tedy je jasné že žádné patchování se v ceně nezaplatí.

Jinak v wam místní IPv6 inkvizice to rozpálí , protže podle ulterazz by lidi měli ít přeci naprosto vše dotupné z venku.

Pripadne mate pripraveny "solution design template" pro reseni se ktermi se setkavate.
Tak nějak.
Pokud to jde, snažím se problému spíš předejít a nasměrovat uživatele k tomu, aby neudělal úplnou blbost. Ona většina si nechá poradit, a pokud to je na začátku...
No - a taky mám nejspíš štěstí na lidi. ;-D

Jenže:
1.- oni tohle nejsou schopni reálně posoudit, zvlášť, když běžně ty routery mají podporu třeba dva roky od výroby, nikoliv od nákupu (to platí i pro mobily...),
2.- to, že tam ta podpora je, nezaručí, že se aktualizace povede a že se nestanete součástí botnetu.
Jak konkrétně posoudíte případ, kdy máte automatické aktualizace zapnuté, a router začne škodit, protože:
a) ta aktualizace se nezdaří (problém na síti, atd...),
b) k napadení dojde před vydáním aktualizace a malware si ohlídá, že mu to nazavře zadní vrátka?
To opravdu hodláte hrozit (velkou) pokutou lidem, kteří budou jen z médií vědět, že mají mít podporovaný router?
Protože firma od toho dá ruce pryč: My opravu zveřejnili nebo Pro tento model už podpora nebude, ať si koupí nové zařízení.

Ano někdo to jako Vy tak má , ale celkové nastaveni trhu se tím nemění .

Holt nezbyde, než to začít regulovat a učinit majitele toho zařízení zodpovědným za to, co zařízení v síti dělá. Něco na způsob STK u vozidel – akorát u těchto zařízení nebude nutná pravidelná kontrola, bude se to řešit případně až zpětně, pokud se ukáže, že zařízení nevyhovovalo.

Protože to je klasický problém, který trh vyřešit nedokáže. Kdyby měl výrobce poskytovat lepší podporu, bude to dražší – a drtivá většina si takové zařízení nekoupí. Protože pro ně nemá žádnou přidanou hodnotu. Tím, že to zařízení škodí především všem okolo, ale ne majiteli, nemá majitel důvod to nějak řešit.

treba mikrotik...

Pak jsou pripady kdy uzivak nic nevi ale je to vase chyba. A vy neznate specifika jeho noveho ISP ktery mu nefunguje. Coz je samozrejme vase chyba.O vikendu a svatcich ISP podpora nefunguje (ano o svatcich navstevuji rodinu) takze vyvolavate dzina (nebo spis gin z lahve po tom vsem) abyste se dozvedeli ze zafungovala ochrana a odpojila uzivaka tak ze zahazuje pakety nekde v siti ISPika. Ale jen nektere.
Takze uzivak je 3 dny bez internetu a je to "vase chyba" ze neznate ani MAC adresu jeho predesleho routeru (ktery nema) a uz vubec ne jeho heslo (ktere se podarilo hacknout). Uzivak typicky neplanuje contingency strategy jako clovek z oboru.
Story of my life. Nikdy nedelej support rodine. Uplne stejne jako v praci. Sotva se clovek priloguje hned zjistuje ze muze za vsechno co se udalo ve firme kdyz tam nebyl. No way...
Ja fakt mam panickou hruzu z end user supportu znamym i rodine. Hlavne u poslednich widli.

Jenže ona i pěkná paleta routerů střední třídy dostane jen jednu aktualizaci - a pak si, uživateli, pomoz sám. Případně dostávají aktualizace první dva roky - a pak konec. Což znamená, že reálně by uživatelé měli ty krabičky vyhodit, a koupit nové...
A pokud to vezmete zodpovědně, nahrajete tam NěcoWrt, a pravidelně aktualisujete a opravujete, jste odměněni ztrátou záruky a výrobce od toho dává ruce pryč.
Váš přístup (V případě problému za to můře ten, kdo neaktualizoval - výrobce, případně zákazník, když to zablokoval) by vedl pouze k tomu, že ti, kteří se starají v případě problému spadnou do stejného průšvihu, jako ti, kdo ty aktualizace záměrně blokují. Výhodnější by prostě bylo: stát se ovcí, jít s davem, a prostě co dva roky utratit prachy za nové zařízení.

Houbeles - pojišťovna jim to přihodí za pár kaček k pojistce odpovědnosti za škody, a to vyjte levněji, než dražší router. Beztak je ta delší podpora často jen deklarovaná.

Jenže to kašlou je právě problematické.
Máte routery, které si laik koupí, s tím, že jsou tam automatické updaty, nastaví wifinu - a tím jeho péče na dlouhou dobu končí. Ten neví (a nikdy nebude vědět), že se to neaktualizuje.
Máte routery, které jsou pronajaté (či odkoupené) od ISP, kde ten uživatel v životě nepřišel s nastavením do styku.
Máte routery, kde je vše správně, ale aktualizace se z nějakého důvodu přestane dařit, přestože to máte správně nastavené. (Úplně stačí, když se změní zdroj aktualizací.)

Zrovna jsem strávil příjemný weekend s routerem, na kterém se nepovedla aktualizace; jeden den jsem trávil zjišťováním, proč - a po aktualizaci druhý den vracením konfigurace (což stále není hotové). Dodávám: žádný alternativní firmware, žádné customizace, vše na standardním rozhraní. Jen ta nová verse firmware nepočítala s drobnou nuancí v nastavení.
Kdybych nebyl alespoň trochu znalý, mám router se starým firmware, a ani o tom nevím. (I proto, že vygeneroval tolik zpráv o chybě, že je e-mailový server automaticky začal házet do spamu.)

Váš návrh jistě vychází z dobrého úmyslu, ale je to opět cesta do pekel. Zjednodušeně by to šlo charakterisovat jako: Mít internet znamená být jednou nohou v kriminále.

1. 12. 2025, 17:14 editováno autorem komentáře

Já se Vám snažím vysvětlit, že odhadem 4/5 provozovatelů routeru (většinou majitelů, ale částečně těch, kdo mají router od ISP pronajatý). tohle vůbec neumí posoudit ani ovlivnit.
Je hloupost jim házet na hrb další povinnosti a ještě hrozit sankcí.
Ano, neznalost neomlouvá, ale i to by mělo mít své meze!

Drtivá většina uživatelů vůbec nevybírá zařízení s dvouletou podporou, pětiletou nebo třeba desetiletou, ale to, co je pro ně cenově přijatelné, má to slušnou wifinu, snadno se to nastavuje, a dostanou na to dvouletou záruku. A to zařízení pak funguje další roky, obvykle dokud nedoslouží zdroj nebo kondenzátory.
Můžete mít stokrát správně nastavené automatické aktualizace (a výrobce je dodává), ale stejně se to může nepovést - buď náhodnou chybou během aktualizace (jako v mém případě minulý týden) nebo to zařízení napadne zero-day malware ještě před vydáním záplaty a ty aktualizace si prostě zablokuje. A ti majitelé se to ani nedozvědí!
(Ani já bych to netušil, kdyby mne nenapadlo po aktualizaci jednoho routeru kouknout do logu, jak to dopadlo na druhém, stejném - a kdybych si nevšiml, že je tam i po úspěšné aktualizaci staré číslo firmware, případně kdybych se spokojil s tím, že ruční spuštění aktualizace skončí optimistickou hláškou Váš firmware je aktuální!)

Hezky jste to popsal, že ta analogie sedí. Router jde z výroby tak, že neobsahuje známé bezpečnostní chyby. Ale router není bezúdržbové zařízení, i když ta údržba může probíhat (ze strany routeru) automaticky – když se objeví nějaká bezpečnostní díra, je potřeba vydat patch a aplikovat ho na běžících zařízeních. Neúdržbou se router může stát nebezpečným pro okolí – stejně jako auto.

Představa, že nezájem zákazníků povede k tomu, že se buď levný bezpečný router objeví, je naivní, a stejně tak, že se najednou nafoukne budget.
Psal jsem přesný opak – že nezájem zákazníků vede k tomu, že levné bezpečné routery nikdo nedělá.

Jinak, omezování ze strany ISP v tom, co může nebo nemůže zákazník připojit, už tu bylo a neprošlo zrovna tímto pozitivním způsobem.
A právě proto to nemůže řešit ISP, ale nějaká větší autorita – stát nebo u nás lépe EU.

Každá ideologie je v reálném životě nepoužitelná, stejně tak i ta vaše ideologie neregulace. Důvody k regulaci jsem jasně popsal.

Možné jsou obě varianty, zbyde i zbude. Když chcete poučovat, musíte to nejprve sám znát.

Když budou uživatelé za provoz zodpovědní, třeba si spočítají, že se jim vyplatí pořídit si router s delší podporou.

Pokud jde router z továrny se starým firmwarem, který se zaktualizuje hned po prvním připojení routeru do internetu, není to problém.

Zprávička ukazuje, proč pouhé postihování výrobců nestačí. Ty napadené routery už nemají podporu výrobce, takže výrobce je z obliga. Potřebujete dosáhnout i na koncové uživatele, protože je potřebujete donutit, aby nepoužívali zařízení, která už nemají podporu výrobce (a příště si třeba koupili zařízení s delší podporou), a aby nekupovali šedý dovoz z Číny, na který nebude jak uplatnit ten postih výrobce.

Považoval jsem za samozřejmé, že má být ta odpovědnost přenositelná na výrobce – tj. pokud má uživatel zařízení, které je ještě výrobcem podporované, a nezabránil zařízení v automatických aktualizacích, jde odpovědnost za výrobcem.

Vámi popisovaný problém neexistuje, protože jsem popisoval jednu věc, ve které by se odpovědnost za provoz zařízení lišila od STK. STK musíte absolvovat pravidelně, protože nechceme, aby auto, které nesplňuje normy, vůbec bylo v provozu. Zařízení připojená do internetu považuju za o něco menší hrozbu, takže tam podle mne stačí řešit to až zpětně, pokud zařízení bude součástí útoku.

Tak ty pokuty musí být tak vysoké, aby ta pojistka levněji nevyšla. Nebo aby si pojišťovna sama dala do podmínek, že ten router bude aktualizovaný a podporovaný.

Protože jinak se těch primitivních útoků nezbavíme. Teda jsou další metody, ale ty jsou daleko invazivnější. Třeba něco na způsob povinné STK.

Příčina je ta, že lidé kašlou na aktualizace a používají zařízení se známými bezpečnostními dírami – ať už kvůli tomu, že neaktualizují, nebo že používají nepodporované zařízení.

Jasně jsem psal, že ta odpovědnost by se řešila až v okamžiku, kdy by zařízení bylo součástí útoku, tj. způsobovalo by škody.

Všechny vaše námitky už jsou vyřešené v předchozím komentáři. Ty 4/5 provozovatelů by nic neposuzovali, jenom by nakoupili na e-shopu v EU. A z médií by věděli, že si mají dát pozor na to, jak dlouhou podporu router má, jinak se jim může stát, že ho budou muset za dva roky vyhodit a koupit nový.

Proč by nemohl existovat servis pro routery, stejně jako existuje servis pro auta? Ze zákonné záruky nebo možnosti vrátit zboží ve 14denní lhůtě se prodejci také vyvlékli?

Právě proto je tam ta zodpovědnost provozovatele. Pokud tomu nebude rozumět, tak si zaplatí službu servisu pro routery a bude nakupovat v obchodě, který se z odpovědnosti nevyvlékne.

Točíte se pořád dokola a vymýšlíte problémy, na které už jsem v předchozích komentářích uvedl řešení.

Takže ještě jednou, všechny vaše námitky řeší to, co už jsem popsal dříve: Vlastník zařízení je zodpovědný za to, co zařízení provádí v internetu, zejména pokud je zařízení zdrojem škodlivého provozu, který útočí na jiná zařízení v internetu. Přičemž zdrojem je myšleno, že to zařízení generuji příslušné škodlivé pakety, bez ohledu na to, kdo to vyvolal. Vlastník zařízení je zbaven odpovědnosti a ta je přenesena na prodejce, pokud zařízení má nějakou certifikaci a vlastník zařízení provozuje v souladu s pokyny výrobce (např. neznemožňuje automatické aktualizace; nepoužívá zařízení, které už výrobcem není podporováno.)

To řeší všechny vámi uváděné problémy – odpovědný je vlastník zařízení, takže pokud ISP zařízení pronajímá, je odpovědný ISP. Odpovědnost je primárně na výrobcích, ale pokud si sem někdo doveze něco na své triko, bude odpovědný on. Pokud uživatel vypne automatické aktualizace, je to problém uživatele. Pokud přestanou fungovat kvůli výrobci, je to problém výrobce. Pokud uživatel používá zařízení i po skončení podpory výrobce, je to problém uživatele. Je na uživateli, aby si vybral, zda si pořídí zařízení s dvouletou podporou, pětiletou nebo třeba desetiletou. Je na uživateli, jestli si tam dá OpenWRT a dokáže si to zabezpečit.

Ale jsou schopní to posoudit. A když toho někdo schopen nebude, pořídí si router od ISP, který to udělá za něj (za příslušný poplatek).

Případ dva je triviální a odpověď najdete v předchozích komentářích. Pokud je router z normální distribuční sítě od EU obchodníka, a je podporovaný, jde odpovědnost za výrobcem – pokud výrobce neprokáže, že uživatel buď v konfiguraci vypnul automatické aktualizace (pokud by to výrobce vůbec umožnil), nebo jim nezabránil jiným způsobem (třeba blokací příslušné komunikace na firewallu ještě před routerem).

Evidovat, do kdy má zařízení podporu, je také snadné.

U aut je to ještě o dost komplikovanější, přesto to lidé úplně normálně zvládají. Není důvod, proč by nezvládli jednodušší věc než je STK.

STK máte jednou za dva roky. Já (a spousta dalších) to dělám tak, že dojedu do servisu s požadavkem protáhněte to technickou, a vím, že oni to uvedou do perfektního stavu, vyřídí, a já to jen zaplatím. Protože o autě vím jen to, kde se do toho leje benzín - a že se do toho leje benzín.
Rozdíl je v tom, že tady by žádná SRK (Státní Routerová Kontrola) nebyla, takže nemůžete čekat, že by údržbu a kontrolu řešili lidé, kteří routerům rozumí stejně, jako já autům. A když by nastal průšvih, už by bylo pozdě.
Navíc, lidé nebudou měnit routery co dva-tři-čtyři roky, stejně, jako nemění auta tak často: od obého vesměs očekávají, že to bude sloužit minimálně pět až deset let.

Nedovedu si představit, že by se z té zodpovědnosti výrobci/prodejci nějak nedokázali vyzout.
(Stejně, jako pojišťovna s klidem zkusí zamítnout náhradu škody po povodni, přestože to mám v pojistce explicitně napsané, s tím, že to je jiný typ povodně, než proti jaké jsem pojištěný.)

Servis pro routery by existovat mohl, ale asi by se neuživil. Na STK prostě musíte, a navíc je běžné dvakrát do roka měnit pneumatiky, což je vhodná příležitost to auto (nechat) prohlédnout. Router zapjíte - a už se nestaráte (Connect & Forget).

Jasně, že se ze čtrnáctidenní lhůty (někteří) prodejci vyvlékli!
Úplně stačí, aby to nebyl prodej po internetu - takové to zboží vám na prodejně předvedeme, a vy se rozhodnete je velmi účinné. Případně počítají 14 dní od zakoupení (zaplacení), nikoliv od doručení, což dokáže efektivně zkrátit dvoutýdenní lhůtu na tři dny.