Tránh router của ISP (2024)
(routersecurity.org)- RouterSecurity.org cho rằng modem và router tự mua an toàn hơn thiết bị do ISP cung cấp, và xem việc thiếu kiểm soát trong cấu hình ban đầu, bảo trì, quản lý từ xa và firmware là các rủi ro cốt lõi
- Thiết bị của ISP có thể được áp dụng cấu hình ưu tiên tính tiện lợi để giảm chi phí hỗ trợ kỹ thuật, và mật khẩu mặc định, DNS bị khóa, cập nhật firmware bị khóa, Wi‑Fi công cộng có thể làm giảm quyền kiểm soát của người dùng
- Trong các trường hợp của Sky, Virgin Media, Comcast, Verizon, TalkTalk, EE và Deutsche Telekom, các vấn đề như DNS rebinding, rò rỉ dữ liệu, lỗ hổng WPS, tài khoản backdoor, lộ TR-069 và thông tin xác thực mặc định lặp đi lặp lại
- Ở những khu vực như Mỹ, nơi thị trường Internet tốc độ cao mang tính độc quyền trên thực tế, có nhận định rằng ISP ít có động lực cung cấp thiết bị hoặc bảo mật tốt hơn; ghi chú tháng 10/2024 cũng nói rõ góc nhìn này có thể chỉ áp dụng cho Mỹ
- Khi dùng thiết bị riêng, người dùng có thể kiểm soát firmware, DNS, thiết bị dự phòng và lựa chọn router, nhưng vì khó chọn ngay được sản phẩm hoàn hảo nên thực tế là nên mua ở nơi có thể hoàn trả
Vì sao khuyến nghị modem và router tự mua
- Quan điểm được nêu là cấu hình an toàn nhất là tránh thiết bị của ISP và dùng modem và router tự mua
- Thiết bị do ISP cung cấp được cho là có những rủi ro sau
- Có thể xuất hiện sự cẩu thả nói chung trong khâu cấu hình ban đầu và bảo trì liên tục
- Thiết bị được cài với mật khẩu mặc định được xem là tín hiệu cho thấy ISP không coi trọng đầy đủ bảo mật của người dùng
- Bảo mật và tiện lợi xung đột với nhau, và ISP có nhiều khả năng cấu hình router theo hướng tiện lợi để giảm chi phí hỗ trợ kỹ thuật
- Cùng một loại thiết bị được triển khai cho hàng triệu khách hàng trở thành mục tiêu lớn cho kẻ tấn công và các chủ thể giám sát
- Quan điểm ở đây cho rằng dùng thiết bị ít phổ biến hơn sẽ an toàn hơn
Thiết bị ISP hạn chế quyền kiểm soát của người dùng
- Một số thiết bị của ISP bị khóa khiến người dùng không thể thay đổi các thiết lập cốt lõi
- Đã có trường hợp không thể đổi mật khẩu
- Cũng có trường hợp không thể đổi máy chủ DNS; ví dụ gồm BT Business Hub và Sky Broadband ở Anh, cùng nhiều khu vực ở Pháp
- Trên gateway Arris TG1682G do Comcast cung cấp, không thể đổi địa chỉ IP LAN, và ngay cả khi đổi subnet thì số thiết bị vẫn luôn giữ là 1
- Tính năng cập nhật firmware cũng có thể bị khóa, và quan điểm ở đây là người dùng phải có quyền kiểm soát hoàn toàn việc cập nhật firmware
- ISP thường chỉ cung cấp một thiết bị, nên khi hỏng hóc người dùng có thể phải ở trạng thái offline cho đến khi được thay thế
- Nếu sở hữu thiết bị riêng, người dùng có thể chuẩn bị thêm modem hoặc router dự phòng cho tình huống khẩn cấp
- Về dài hạn, tự mua thiết bị có thể rẻ hơn
- Một số ISP thu phí thuê modem hoặc gateway
- Ví dụ được nêu gồm danh sách modem mua cho khách hàng Time Warner và trang mydeviceinfo.comcast.net của Comcast
Động cơ chọn thiết bị của ISP và lưu ý về thị trường Mỹ
- Ghi chú tháng 10/2024 nói rõ nhận định này là từ góc nhìn người dùng Mỹ, và có thể không áp dụng nguyên xi cho các khu vực ngoài Mỹ
- Bài viết cho rằng ở Mỹ, sự tập trung vào các tập đoàn lớn đang diễn ra trong nhiều lĩnh vực và ISP cũng nằm trong xu hướng đó
- Nhiều người dùng ở Mỹ, có lẽ là phần lớn, được cho là chỉ dùng một ISP duy nhất
- Nhiều khu vực ở Mỹ được cho là gần với tình trạng độc quyền trên thực tế trong tiếp cận Internet tốc độ cao
- Với ISP độc quyền trên thực tế, động lực cung cấp dịch vụ tốt bị xem là yếu, và khách hàng bị đánh giá là gần như ở thế bị giam giữ
- Vì mục tiêu của ISP là kiếm tiền, họ được cho là sẽ cung cấp phần cứng rẻ nhất chỉ đủ đáp ứng các chức năng cần thiết
- Tăng cường bảo mật làm tăng số cuộc gọi hỗ trợ kỹ thuật, và vì chi phí đó do ISP gánh nên bảo mật khó trở thành ưu tiên
- Một phản hồi trên diễn đàn tài chính tháng 6/2022, dựa trên kinh nghiệm bán thiết bị mạng cho hãng viễn thông và công ty cáp, mô tả thứ tự ưu tiên của thiết bị tại cơ sở khách hàng là “chi phí, quản lý từ xa, chi phí”
- Điều này được diễn giải lại là ISP muốn router rẻ và dễ kiểm soát
Lo ngại về Wi‑Fi công cộng, giám sát và thu thập dữ liệu
- Nhiều ISP cố triển khai mạng Wi‑Fi công cộng bằng thiết bị trong gia đình, và không có lý do để mặc định rằng việc này được triển khai an toàn
- Bài viết chỉ trích Comcast XFINITY WiFi: Comcast XFINITY WiFi: Just say no
- Cablevision cũng làm điều tương tự, và Timothy Geigner viết rằng nếu là khách hàng Cablevision thì nên tự mua router và modem
- Juniper Research gọi loại thiết bị này là “homespot router”
- Có những trường hợp ISP hợp tác với cơ quan giám sát hoặc chính phủ, và bài viết cho rằng ngay cả không có tác động bên ngoài thì họ vẫn có thể cài backdoor vào thiết bị của khách hàng
- Your ISP is Probably Spying On You của Harrison Sand đề cập trường hợp router thu thập thông tin thiết bị ở phía LAN rồi gửi về ISP
Các trường hợp lỗ hổng lặp lại trên thiết bị ISP
- Tháng 5/2023, một khách hàng Spectrum nhận được router có gián bên trong; đây không phải vấn đề bảo mật nhưng được nêu như ví dụ cho thấy mức độ quản lý thiết bị khách hàng
- Tháng 11/2021, lỗ hổng DNS rebinding được công bố trên 6 triệu router Sky
- Sky mất 18 tháng để sửa vấn đề, và được cho là thường xuyên phớt lờ Pen Test Partners, đơn vị phát hiện lỗ hổng
- Bài liên quan: SkyFail. 6 million routers left exposed
- Tháng 9/2021, Virgin Media bị cho là đã không vá một lỗ hổng router trong hơn 2 năm
- Bài trình bày tại BlackHat tháng 8/2021 đề cập việc một số ISP vẫn tiếp tục đưa địa chỉ MAC vào địa chỉ IPv6 công cộng
- Các nhà nghiên cứu tìm thấy hơn 12 triệu router và gateway có chứa địa chỉ MAC
- Tại Mỹ, hơn 1 triệu gateway router Comcast Xfinity được cho là có lỗi thiết kế này
- Năm 2019, Sky Broadband khiến một số khách hàng bị offline sau một bản cập nhật broadband hub, đặc biệt là những người đã đặt DNS ngoài Sky
- Có ý kiến cho rằng bản cập nhật mới nhất còn loại bỏ cả khả năng đổi máy chủ DNS
Các trường hợp của Comcast, Verizon, TalkTalk, EE
- Lỗ hổng trên website Comcast năm 2018 có thể làm lộ địa chỉ nhà, tên mạng Wi‑Fi, mật khẩu Wi‑Fi của khách hàng Xfinity
- Kẻ tấn công chỉ cần biết số tài khoản khách hàng và số nhà hoặc số căn hộ
- Chỉ ảnh hưởng đến khách hàng dùng thiết bị Comcast; người dùng router riêng được cho là an toàn
- Kẻ tấn công cũng có thể thay đổi SSID hoặc mật khẩu Wi‑Fi
- Tháng 6/2018, một vụ rò rỉ dữ liệu khác được công bố: bất kỳ thiết bị nào trong mạng khách hàng Comcast đều có thể gọi API để lấy số tài khoản, địa chỉ nhà, loại tài khoản và thông tin dịch vụ đang hoạt động
- Tháng 12/2018, Tenable tìm thấy 3 lỗi trên router và gateway Verizon FIOS
- Verizon không trực tiếp viết firmware nên phải giao công việc sửa lỗi cho bên ngoài, và việc xử lý lỗi cũng bị chia ra cho nhiều nhóm
- Có những lỗi đã được biết đến nhưng chưa sửa, và cũng không có kế hoạch công khai thông báo
- Tháng 5/2018, router TalkTalk được xác nhận là dễ bị tấn công bằng mã PIN WPS, một kiểu tấn công đã được biết đến từ năm 2011
- Tháng 10/2018, gateway 4GEE HH70 của EE có tài khoản backdoor có thể truy cập bằng SSH từ phía LAN
- Ban đầu EE phớt lờ vấn đề, và chỉ sau khi The Register can thiệp thì việc xử lý mới được tiến hành
- Sau đó đã có bản vá, nhưng khách hàng phải tự cài firmware mới
Botnet, spyware và lỗ hổng quy mô lớn
- Tháng 11/2017, một botnet mới khai thác lỗ hổng trên thiết bị ZyXEL được phát hiện
- Có thể đăng nhập từ xa bằng user ID và mật khẩu mặc định, và cổng liên quan đang mở
- Cũng có mật khẩu superuser hardcoded, cho phép kẻ tấn công giành quyền root
- Khoảng 100.000 thiết bị bị nhiễm, gần như tất cả đều nằm trong mạng của Telefonica de Argentina
- Tháng 9/2017, ESET báo cáo rằng một số ISP ở hai quốc gia không được nêu tên có vẻ đã hợp tác phát tán spyware FinFisher
- Khi người dùng mục tiêu cố tải các ứng dụng hợp pháp như WhatsApp, Skype, Avast, WinRAR, VLC Player, họ bị chuyển hướng sang phiên bản đã nhiễm mã độc
- Cách tấn công được cho là mang dấu hiệu rõ rệt của tấn công trung gian ở cấp ISP
- Tại DEF CON 25, Marc Newlin, Logan Lamb và Chris Grayson công bố đã tìm thấy 26 lỗi trong gateway và set-top box do ISP cung cấp
- Có thiết bị của Cisco, Arris, Technicolor, Motorola và Xfinity
- Trong đó có nhiều lỗ hổng thực thi mã từ xa không cần xác thực
- Việc phát hành bản vá mất nhiều tháng, báo cáo lỗi chính thức không được nộp, và khách hàng không được thông báo về vấn đề
- Tài liệu năm 2017 của Trend Micro khuyến nghị điểm khởi đầu cho bảo mật router gia đình là tránh dùng router miễn phí đi kèm gói Internet
Các vấn đề cài đặt mặc định và backdoor trong quá khứ
- Năm 2016, Scott Helme cho rằng tiêu chí chính khi ISP chọn thiết bị là chi phí, và chi phí thấp có thể dẫn đến chất lượng kém không chỉ ở phần cứng mà cả ở những lĩnh vực như bảo mật
- Ông lấy ví dụ là các lỗ hổng nghiêm trọng trên router EE BrightBox và những lỗ hổng vẫn còn tồn tại ngay cả sau khi vá chậm
- Tháng 10/2016, một ISP ở Úc phân phối router có SSID rất giống với user ID và mật khẩu mặc định
- Năm 2015, Lucian Constantin viết rằng bảo mật của router do ISP cung cấp thường tệ hơn sản phẩm bán lẻ thông thường
- Nếu bật quản lý từ xa, giao diện quản trị và các lỗ hổng có thể bị lộ ra Internet
- Dù ISP có thể cập nhật firmware từ xa, họ thường không làm thường xuyên, còn người dùng thì có thể không tự cập nhật được do quyền truy cập bị hạn chế
- Năm 2015, Bernardo Rodrigues viết rằng các gateway Arris TG862A, TG860A và DG860A có XSS, CSRF, mật khẩu hardcoded và backdoor bên trong backdoor
- Có thể dùng giao diện HTTP ẩn hoặc MIB SNMP tùy biến để bật Telnet và SSH từ xa
- Ước tính có hơn 600.000 thiết bị dễ bị tấn công có thể truy cập từ bên ngoài
- Verizon vẫn cung cấp router cho khách hàng mới với cấu hình mặc định WEP dù từ lâu WEP đã được biết là không an toàn
- FTC đã gửi thư cho biết họ điều tra liệu Verizon có không bảo vệ hợp lý và thích đáng các router cung cấp cho khách hàng DSL và FiOS trong năm 2014 hay không
- WEP là tiêu chuẩn đã bị IEEE loại bỏ năm 2004 để nhường chỗ cho WPA và sau đó là WPA2
TR-069 và việc lộ quản lý từ xa
- Cấu hình từ xa trên router và modem do ISP cung cấp được xem là một vấn đề bảo mật lớn
- Một trong các cơ chế cập nhật từ xa là TR-069, hay CWMP
- Các lỗi trong giao thức này đã nhiều lần bị khai thác
- Tháng 11/2016, khoảng 900.000 khách hàng Deutsche Telekom bị offline do sự cố router
- Cuộc tấn công được cho là bắt nguồn từ một biến thể Mirai, và việc ISP không bảo vệ các cổng TCP/IP đang mở bị xem là nguyên nhân
- Một số router do ISP cung cấp chạy máy chủ TR-064 mở ra Internet công cộng, và điều này được xem là một lỗi cấu hình nghiêm trọng
- Tháng 4/2017, Wordfence viết rằng không được để cổng 7547 của router có thể truy cập từ Internet công cộng
- Shodan báo cáo hơn 41 triệu router gia đình có cổng 7547 mở ra Internet công cộng
- Hơn 10.000 router gia đình bị nhiễm ở Algeria và hơn 11.000 ở Ấn Độ đã được phát hiện, và điều này được liên hệ với việc lộ cổng 7547
- Năm 2014, Lucian Constantin viết rằng router gia đình do ISP cung cấp có thể bị xâm phạm hàng loạt
- Theo đó, tính đến năm 2011 có 147 triệu thiết bị bật TR-069 đang trực tuyến và lắng nghe trên cổng TCP 7547
- Shahar Tal của Check Point cho rằng máy chủ ACS có thể bị chiếm quyền rất dễ dàng
- Đặc tả TR-069 khuyến nghị dùng HTTPS, nhưng khoảng 80% được cho là vẫn dùng HTTP không an toàn nên dễ bị tấn công trung gian
AT&T U-Verse và các cổng mở khác
- Vấn đề cổng mở không chỉ giới hạn ở TR-069
- Tháng 9/2017, Nomotion đề cập hai cổng mở trên thiết bị gateway AT&T U-Verse
- Một là SSH, còn cổng TCP 49152 được cho là cho phép kẻ tấn công từ phía WAN vượt qua firewall
- Ba tài khoản backdoor hardcoded cũng được phát hiện cùng lúc
- Tiêu đề bài viết liên quan là SharknAT&To
- AT&T bị công khai chỉ trích nhưng vẫn không nói gì về vấn đề bảo mật trong 2 tuần, còn Arris sau khi nói sẽ điều tra thì cũng im lặng
- HD Moore của Rapid7 cho rằng một số ISP làm tình hình tệ hơn khi triển khai thiết bị băng rộng như router gia đình mà không kiểm chứng đầy đủ hoặc không cấu hình bảo mật đúng cách
Tính trung thực, tốc độ và lựa chọn thiết bị
- Ngoài bảo mật, vấn đề tính trung thực của ISP cũng được nêu ra
- Time Warner Cable, tức Spectrum và Charter, bị bang New York kiện năm 2017 vì nói sai về tốc độ tải xuống cung cấp cho khách hàng
- Susan Crawford viết rằng gần như mọi điều công ty nói với người dân bang New York về truy cập Internet và dịch vụ dữ liệu kể từ năm 2012 dường như đều không đúng sự thật
- 2,5 triệu thuê bao ở New York được cho là đã được thông báo rằng họ nhận tốc độ tải xuống và tải lên cao hơn thực tế
- Cách Charter/Spectrum/Time Warner Cable làm giảm tốc độ được tóm lại thành ba điểm
- Nhồi thêm nhiều hộ gia đình vào các kết nối dữ liệu dùng chung của khu dân cư vốn đã thiếu năng lực
- Gây áp lực lên kết nối giữa mạng Spectrum và các mạng khác
- Gây áp lực buộc người tiêu dùng phải nhận thiết bị gia đình đã nâng cấp
- Vụ kiện này được dàn xếp vào tháng 12/2018 với việc Charter/Spectrum trả 176 triệu USD
- Các router mesh cho người tiêu dùng như eero, AmpliFi và Google Wifi có thể chạy kiểm tra tốc độ ngay trên router
- Có vẻ như eero thực hiện kiểm tra tốc độ hằng ngày
- AmpliFi và Google Wifi lưu lịch sử kiểm tra tốc độ nên dễ xem xu hướng hơn
- eero không lưu lịch sử
- Vì mỗi router khác nhau rất nhiều, không nên kỳ vọng sẽ mua được ngay chiếc router hoàn hảo đúng nhu cầu
- Nếu có thể, nên mua router ở nơi cho phép hoàn trả
1 bình luận
Ý kiến trên Hacker News
Ước gì được như vậy. Tôi có modem và router riêng, nhưng Comcast không cho dùng trừ khi trả rất nhiều phí bổ sung hoặc chấp nhận mức trần dữ liệu hằng tháng thấp đến vô lý.
Vì thế tôi phải gắn router của mình phía sau thiết bị Comcast, khá khó chịu. Đặc biệt là thiết bị modem-router tích hợp của Comcast bị quá nhiệt, nên mỗi tháng ít nhất một lần phải rút nguồn để khởi động lại.
Đáng tiếc là nhà tôi ở San Francisco không có lựa chọn nào khác. Không có đường dây điện thoại nên cũng không dùng DSL được, còn các dịch vụ cáp quang được nói là đang tăng ở San Francisco thì chủ yếu chỉ vào khu trung tâm hoặc các chung cư lớn. Nhà tôi là nhà riêng nên không có cáp quang mới của AT&T, cũng không có Webpass.
Rốt cuộc là hoặc Comcast, hoặc không có Internet. Người ta hay gọi San Francisco là thủ đô công nghệ của thế giới, nhưng khả năng kết nối Internet còn tệ hơn vùng nông thôn Trung Quốc. Tôi từng ở lâu tại vùng nông thôn và miền núi Trung Quốc; nếu bỏ qua vấn đề tường lửa, cả mạng di động lẫn mạng cố định đều tốt hơn San Francisco rất nhiều.
Thật khó tin là đến năm 2025, ở một thành phố công nghệ lớn mà vẫn còn vấn đề như thế này.
Trước đây tôi từng cắm trực tiếp cáp quang vào Fritz!Box của mình bằng module XGS-PON SFP, còn hiện tại thì dùng ONT của nhà cung cấp nối với Unifi Cloud Gateway Max. ONT này thực chất chỉ là một bộ chuyển đổi media giữa cáp quang và Ethernet.
Ở đây cũng có nhiều người nối trực tiếp thiết bị UDM hoặc OpnSense vào cáp quang bằng module Zaram XGS-PON. Thật đáng tiếc khi phải chịu trần dữ liệu; ở Hà Lan, kể từ sau khi chuyển từ 56k6 sang ADSL thì Internet luôn không giới hạn. 5G cũng dùng không giới hạn với giá 25 euro/tháng.
Tuy vậy chắc cũng nên nói thêm là ở đây không có nước máy uống được, nên phải dùng nước mưa.
Tôi đang trả 130 USD/tháng cho 1.4Gbps và dữ liệu không giới hạn. Đắt thật, nhưng tôi cũng không có lựa chọn nào khác. Sonic dừng ở cách đó một block, và tôi không thuyết phục được họ kéo dây tới block của tôi.
Có thể vì tôi đã dùng gói này vài năm nên vẫn còn điều kiện của thuê bao cũ, hoặc cũng có thể nhân viên kinh doanh Comcast đã lừa về các lựa chọn.
Các nhà cung cấp Internet lớn cũng có những thỏa thuận không chính thức để không cạnh tranh với nhau ở một số khu vực nhất định. Điều này ảnh hưởng tới cả khu dân cư ngoại ô, đô thị lẫn nông thôn, và tôi nghĩ ở nông thôn còn nghiêm trọng hơn nhiều.
Khi biết khách hàng không có lựa chọn, họ chẳng có lý do gì để tập trung vào dịch vụ khách hàng hay cải thiện.
Internet dựa trên mạng di động phần nào tạo thêm lối thoát, nhưng nhược điểm là khi mạng đông sẽ bị giới hạn tốc độ, và độ trễ nhìn chung cũng không tốt.
Mạng Internet đô thị lý tưởng mà tôi từng thấy là EPB ở Chattanooga, Tennessee. Họ cung cấp kết nối đối xứng từ 1000Mbps đến 25.000Mbps ngay cả cho khách hàng hộ gia đình. https://epb.com/fi-speed-internet/?#choose-your-plan
Gói 1Gbps rẻ hơn Google Fiber, và gói 2.5Gbps cũng rất cạnh tranh. Tiền ở lại trong hệ sinh thái địa phương, tạo việc làm lương cao, và lợi nhuận được tái đầu tư vào mạng lưới thay vì mua lại cổ phiếu hoặc trả cho các giám đốc đi lại đường dài bằng chuyên cơ riêng.
Chuyện về đàn gián thì hơi không công bằng.
Côn trùng thích nhiệt và tiếng ồn của thiết bị điện tử. Nếu thiết bị điện tử được lưu kho lâu, côn trùng từ đồ vật bên cạnh cũng có thể bò vào.
Điều này cũng có thể xảy ra tương tự với router không phải thiết bị của nhà cung cấp Internet. Tất nhiên tôi không có số liệu thống kê để chứng minh lập luận này, nhưng phía kia cũng đâu có số liệu.
Router mã nguồn mở yêu thích của bạn cũng có thể đã nằm trong kho lâu hơn.
Tôi có suy nghĩ khá phức tạp về router của nhà cung cấp Internet và bản thân các nhà cung cấp Internet, nhưng thiết bị điện tử bị côn trùng xâm nhập là một vấn đề nghiêm trọng và không phải vấn đề liên quan trực tiếp đến nhà cung cấp Internet.
Và tại sao trên kệ cạnh chiếc router mới tôi định mua lại phải có thiết bị đã qua sử dụng?
Nếu là thiết bị cũ thì có thể nói “khả năng như vậy là có”, nhưng nếu mua router thì tôi sẽ không mua đồ cũ.
Bài được liên kết nói rằng trong gói hàng do nhà cung cấp Internet gửi đến có một đàn gián còn sống. Nếu họ không phát hiện được chuyện như vậy thì nên nhìn nhận an ninh chuỗi cung ứng của công ty đó ra sao?
Nếu nơi bán thiết bị điện tử gửi cho bạn một kiện hàng có côn trùng bên trong, bạn nên đổi nhà cung cấp. Đó không phải chuyện bình thường.
May là UPS đã ném nó ngoài tuyết, và vài ngày sau tôi mới phát hiện ra nên lũ gián đã chết cóng. Vì vậy tôi không khuyến nghị router của nhà cung cấp Internet và các thiết bị liên quan.
Trong một tin tương tự, cơ quan quản lý của Đức BNetzA hai tuần trước đã tái khẳng định rằng mạng quang thụ động không phải là ngoại lệ của TKG, tức §73(1) của Luật Viễn thông https://www.bundesnetzagentur.de/SharedDocs/Pressemitteilung...
Điều khoản này yêu cầu giao diện giữa nhà cung cấp và khách hàng phải là giao diện thụ động, nên bản thân việc ép dùng ONT đã là vi phạm
Và đây là một hướng đi tốt. Nhiều chuẩn PON đã được chuẩn hóa đủ tốt, và có thể hoạt động ở chế độ chuẩn của hầu hết các nhà sản xuất thiết bị. Nhà mạng có thể mất một số tính năng độc quyền, nhưng nhìn lại quá khứ thì các nhà sản xuất đã thích nghi với thị trường Đức
Luật cũng cho phép ngoại lệ, nhưng chủ yếu chỉ giới hạn trong trường hợp cần thiết về mặt công nghệ truy cập. Ngay cả khi đó, luật cũng nêu rõ rằng thiết bị kết nối thiết bị đầu cuối của người dùng với dịch vụ, tức router, thì nhà cung cấp Internet không được ép buộc. Họ có thể cung cấp, nhưng không được ngăn người dùng kết nối thiết bị của chính mình
Thỉnh thoảng tôi lại nhớ thời còn sống ở Đức
Nhìn cách các nhà cung cấp Internet ở đây hành xử thì có rất nhiều chuyện điên rồ. Úc từng có tiền sử khá dài trong việc phá hỏng hạ tầng Internet quốc gia, nhưng ít nhất bạn có thể chọn gần như bất kỳ nhà cung cấp Internet nào và dùng router mình muốn
Chắc cũng khoảng 15 năm rồi tôi chưa dùng router do nhà cung cấp Internet cấp
Lựa chọn nhà cung cấp Internet theo khu vực hoàn toàn là hên xui. Ngay cả ở các thành phố tỉnh lớn cũng thường rất tệ, còn người sống ở nông thôn hoặc vùng xa thì bị đối xử như thể không tồn tại. Nếu phải chuyển đến nơi chỉ có Telstra, tôi chắc sẽ nghiêm túc cân nhắc việc khỏi dùng Internet luôn. Trả tiền cho Telstra và có khả năng truy cập Internet thì đại khái cũng ngang nhau, nhưng không trả thì rẻ hơn nhiều
Trò ấn tượng nhất là Verizon DSL. Mỗi lần thử kết nối vào, họ lại cấp một IP công cộng mới. IP thay đổi nhanh bằng tốc độ tôi ghi IP mới vào cấu hình từ xa rồi kết nối lại, và tôi có thể đẩy lên hơn 6 lần mỗi phút
Không nhất thiết cần modem phụ và cũng có thể cắm trực tiếp PC vào, nên bớt đau khổ khá nhiều và nhu cầu dùng modem do nhà cung cấp Internet cấp cũng giảm đi
Router AT&T Fiber trước đây có xu hướng quá nhiệt, đưa ra những lời hứa hão như chế độ “DMZ Plus”, và vì nhiều vấn đề nên thậm chí đã xuất hiện chợ đen mua bán các file chứng chỉ AT&T bị lấy từ Internet
Lý do là khi thiết bị tách rời, AT&T dùng 802.1x giữa thiết bị kết hợp “Router/gateway” và ONT. Mạng AT&T XGS-PON hiện nay phần lớn là dạng tích hợp, nên lần này mọi người đang tạo các module SFP+ tương thích để thay thế toàn bộ GPON stack
Tôi có thể sai, nhưng trong số các nhà cung cấp Internet ở Mỹ, có vẻ chỉ AT&T Fiber là không cho phép người dùng kết nối trực tiếp vào mạng. Nếu dùng router họ cấp thì chỉ có chế độ “DMZ Plus”, nhưng router/gateway đó vẫn quản lý bảng trạng thái, nên vẫn dễ bị ảnh hưởng bởi các vấn đề phần cứng/phần mềm của thiết bị nhà cung cấp Internet
Rốt cuộc, chỉ vì muốn dùng router/modem an toàn hơn, người ta phải lập trình module SFP+ và học về mạng của nhà cung cấp Internet sâu hơn mức cần thiết
Vì vấn đề bảo mật, nhiều người đã công bố hướng dẫn hoặc thực sự vận hành dịch vụ khai thác firmware router/gateway để trích xuất chứng chỉ và khóa riêng từ thiết bị AT&T. Việc này không phải để dùng Internet miễn phí, mà chỉ để cho phép xác thực vào mạng bằng thiết bị của chính mình
Đó là thiết bị của tôi mà nhà mạng buộc tôi phải mua để sử dụng dịch vụ, nên tôi có thể xử lý nó theo cách mình muốn
Nếu việc này là để ăn cắp dịch vụ thì tôi sẽ đồng ý, nhưng chúng tôi chỉ không muốn dùng thiết bị không ổn định và không thể chấp nhận được
Chỉ xét riêng chi phí thì tôi hoàn toàn đồng ý. So với phí thuê trả cho nhà cung cấp Internet, cable modem của tôi đã hoàn vốn từ lâu rồi
Và tốt hơn là nên mua modem và router riêng. Thiết bị tất cả trong một khó chẩn đoán hơn, và khi chuyển sang phương thức truy cập khác thì không thể tái sử dụng router
“Về lâu dài, mua phần cứng của riêng mình có thể rẻ hơn” chính là lý do nhà cung cấp Internet của tôi bắt phải thuê thiết bị của họ
Đây là câu chuyện điển hình về việc đẩy quyền lực thống trị ở một thị trường sang một thị trường khác
Cuối cùng, tôi đối xử với mạng này giống như mọi mạng khác. Giả định mạng đã bị xâm phạm, và bảo mật phải được thực hiện ở thiết bị đầu cuối
Tôi đồng ý với bài viết, nhưng bổ sung cho phần “chức năng cập nhật firmware cũng có thể bị khóa. Bạn phải có toàn quyền kiểm soát việc cập nhật firmware”: lạ thay, với modem DOCSIS, ngay cả modem tự mua thì nhà cung cấp Internet vẫn kiểm soát firmware
Họ có thể đẩy firmware tùy ý vào modem của tôi, và thực tế họ vẫn làm vậy. Không hiểu vì lý do gì mà các nhà sản xuất cũng hợp tác với việc này
Vì vậy tốt nhất là modem và router cũng phải tách rời
Tức là họ biết khá rõ bạn đi đâu, chỉ là không phải lúc nào cũng biết thứ gì được truyền ở đó. Đôi khi họ cũng biết cả điều đó
Ngược lại, nếu dùng router và modem của họ thì ranh giới trách nhiệm sẽ chuyển vào cổng Ethernet phía trong router, nên việc nhận hỗ trợ dễ hơn nhiều
Với tôi điều đó quan trọng hơn quyền kiểm soát. Và tôi cũng biết rõ là họ không có thời gian theo dõi tôi. Thêm một câu dựa vào thẩm quyền cho vui: tôi đã làm kỹ sư và kiến trúc sư mạng trong nhiều thập kỷ
Nhà cung cấp Internet của tôi đã gửi cho tôi một Fritz!Box và cũng cho phép tùy chọn dùng thiết bị của riêng mình. Thiết bị đã được cấu hình sẵn cho nhà cung cấp Internet
Trong phần cài đặt, tôi đã tắt truy cập từ xa và TR-069 bằng công tắc, rồi đổi mật khẩu quản trị. Thật ra để kiểm soát một router như vậy thì chừng đó là đủ
Cũng có lý do để không thích router AVM, nhưng về mặt cấu hình người dùng và bảo mật mạng thì phần mềm của họ khá vững. Nó không phải thiết bị tệ, và các nhà cung cấp Internet lớn có thể được chiết khấu đáng kể khi đặt hàng số lượng lớn, nên có thể cho thuê với giá rẻ hơn mua ở cửa hàng
Ở một công ty cũ, chúng tôi từng đặt một pallet router Huawei, nhưng khi nhận hàng thì chúng đã được cài firmware tùy chỉnh do một nhà cung cấp Internet khác tạo ra. Chúng bị khóa hoàn toàn và chỉ có thể cấu hình qua TR-069 cùng các chức năng ONT độc quyền của Huawei
Một khách hàng khác thì triển khai các router chỉ được quản lý qua đám mây của nhà cung cấp Internet. Không phải TR-069, chỉ DHCP xong rồi gọi về “nhà” bằng giao thức độc quyền. Khách hàng nói việc họ có thể khởi động lại router của khách hàng từ xa cứ như phép màu, nhưng 8 tháng sau nhà sản xuất phá sản, để lại cả đống router cấu hình sẵn không còn cổng đám mây và họ bị kẹt. Thật đáng ngạc nhiên là đến giờ vẫn chưa thấy trường hợp chiếm quyền DNS nào
Thiết bị đó bị vứt ngay ngày hôm sau