Buenas a todos compis, hoy voy a ser algo crítico... Tengo que dejar claro que no puedo señalar a unos u otros como responsables, por un lado Movistar pedirá X a ASKEY, y por otro lado será ASKEY quien crea que es mejor A o B.
Como suelo hacer siempre con el Router que tengo instalado, cuando me cae una firmware nueva la destripo y pongo un changelog no oficial de esta, es decir, cambios internos/externos que han realizado y que por lo general no son muy detallados. Para los que me conocen saben que suelo ser bastante comprensible, y conste que he estado esperando hasta la siguiente actualización (desde la n41) para ver si los que toman las decisiones en estos asuntos rectificaban en algunas cosillas. Pero hoy he forzado la actualización a la n43, y lo cierto es que en esta ocasión tengo que quejarme, no entiendo algunas políticas.
Lo primero, os dejo el changelog entre la n41 y la n43:
CHANGELOG n41 -> n43
(Kernel 3.4.11-rt19+. Compilación: Jun 16 17:06:23 CST 2017 mips GNU/Linux)
Cambios Internos:
-Encriptación del cfg de configuración:
-Cifrado: AES-256
-Pass: AskeyPU3SW2
-Actualización 1º y 2º fase Bootloader (u-boot y cferam)
-Actualización del Kernel y de la imagen del quantenna
-Binarios nuevos: telnet
-Actualización mayoría de binarios, librerías y módulos
-Cambios en los accesos de las diferentes Shell
-Configurado Servidor para log remoto wd.collector.logtrust.io
-Se mantiene la monitorización de Quantenna MAUI
-Quantena sigue abierto para IP 192.168.1.x
-Actualización de los binarios y scripts para permitir en el futuro emisiones por upnp y udpxy en red local (Aun no he comprobado si se encuentra en un estado más "maduro" de implementación o no, editaré este mismo hilo cuando lo verifique)
Interfaz Web
-Cambios mínimos en la interfaz reducida para la configuración WIFI
-----------------
Lo primero con lo que me topo, la primera en la frente. Sorpresa!!! Una de las mejores cosas que tenía Movistar frente a la competencia es que ha dado ciertas libertades al usuario, y el poder modificar de forma sencilla los archivos de configuración era una. Pues bien, se acabo la cosa, o al menos de forma directa, porque ahora al exportar el archivo en texto plano, va cifrado. Soy un amante de la seguridad, os lo aseguro, y todo lo que sea cifrar datos confidenciales o sensibles es necesario. Pero hablamos de nuestro propio archivo de configuración, no el de los vecinos, lo único que se consigue es no poder editarlo nosotros mismos de forma directa, con lo sencillo que era antes Es reversible y ya he puesto como desencriptarlo y volverlo a encriptar si se necesita. Usa AES-256 y como pass "AskeyPU3SW2". El IV y la semilla son derivadas de la misma por OpenSSL.
Esto que puede parecer una tontería, les ha permitido a muchos muchos usuarios poder configurar bien sus Routers, que se lo digan a todos los que han tenido problemas de batería con el Mitrastar de 2 antenas, gracias a modificar a mano el archivo, pudieron solucionar sus problemas.
Lo segundo con lo que me topo, es algo que en lo personal me parece aun peor, y se arrastra desde la n41. No le di tampoco mayor importancia porque ni me afecta, ni pensaba que fuese a ser algo... permanente, o mejor dicho, que se iba a quedar tal cual. En la n41 Movistar/ASKEY habilitó un monitor en tiempo real WIFI que recolecta de todo, y lo manda a servidores externos, supuestamente para la supervisión de que funcione de forma "correcta" WIFI. El problema es que recolecta información suficientemente específica para ser de todo menos anónima, y datos que para nada son útiles desde un punto de vista de estabilidad de red y otros. Algunos ejemplos de la información que recolecta y envía totalmente innecesarios sería lógicamente SSID y BSSID de las redes cercanas y de los propios dispositivos...
Como nota sólo decir que, con mucha menos información recolectada que toda la que MAUI recolecta, proveedores como Google o Apple la usan para la geolocalización WIFI, y por supuesto piden expresamente el consentimiento del usuario para recolectar dicha información. Este tipo de monitores los encontramos en muchos sitios ojo, la mayoría de móviles y otros los tienen de fondo para el correcto funcionamiento de los dispositivos, con la salvedad de que no son transferidos al fabricante (mucho menos a los servidores de un tercero), y que son anónimos. No uso el WIFI del ASKEY, pero no me haría ninguna gracia que la Mac de mis dispositivos, de mis AP, de las redes de mis vecinos, estén circulando y sin mi consentimiento sabe dios por donde. Y entiendo la filosofía y lo que haría un buen uso de dichos datos, pero cuando veo que se transmiten SSIDs o las MAC completas, lo siento, eso no es anónimo ni necesario, y entonces es cuando no puedo sino sospechar... soy así, sospecho de todo que no sea transparente o atienda a como es natural explicaciones que sean lógicas.
Digo todo esto porque no habría afectado a la herramienta usada de forma legítima si por ejemplo los SSID hubiesen sido suprimidos y establecidos a un hash cualquiera o ID único, y la MAC truncada por ejemplo a los primeros 3 octetos, que sólo identifican fabricante y modelo. Y por supuesto, y más importante, permitir en la propia interfaz Web el poder deshabilitarlo.
Como tercer punto, ahora veo que encima se habilita por defecto un servidor remoto de Log de sistema. Hombre, en comparación con el segundo punto me parece totalmente inocuo, pero mirado de forma independiente, tampoco me hace mucha gracia que se estén mandando registros del Router a otro lado. Esto al menos se puede deshabilitar desde la propia interfaz de forma sencilla... menos mal.
------------------------
En vez de solucionar problemas que se arrastran desde hace mucho tiempo y creo que son relativamente demandados, se ponen más capas de seguridad encima, que no van tanto para dar más seguridad a los usuarios, sino poara que no podamos meter las narices, y encima habilitan servicios que en el mejor de los casos son cuanto menos muy dudosos.
En lo relativo al ASKEY:
-Se sigue sin poder establecer un Bridge real completo (algo mucho más sencillo de arreglar que implementar ningún monitor wifi). Poder poner el ASKEY (o el Mitrastar) en bridge completo automáticamente expandiría en mucho las opciones para algunos. El poder usar un medio-bridge me parece estupendo, y si sólo se pudiese escoger entre un bridge total o un medio bridge, diría que el segundo porque al final es el que más usuarios va a usar, es algo muy útil, pero el no poder configurarlo como Bridge completo, no tiene mucho sentido.
-Se sigue sin permitir al usuario por buenas artes que acceda a la shell interna o al menos a una shell limitada digna, ya que la shell reducida a la que se accede por defecto da pena, no sirve absolutamente para nada para el usuario. Que no haya publicado como acceder a shell completa por responsabilidad no significa que no me parezca fatal. En el Mitrastar por ejemplo, la Shell reducida me parece un ejemplo de Shell bastante adecuada, no pido ya un acceso completo que la inmensa mayoría no sabe ni debe, pero al menos lo que tiene el Mitrastar HGU, una reducida que realmente sea útil. Aquí lo que tenemos es nada. Repito, que no lo publico por responsabilidad, pero estoy totalmente en contra... bueno, eso y que como dije en otra ocasión, cada vez que publico un agujero de seguridad al que fastidian al final es a mi, porque lo parchean curiosamente en la siguiente actualización (por suerte aun me quedan unas cuantas vulnerabilidades)
-Un QoS decente, un QoS decente!! Y con decente me refiero a que un usuario normal sin saber física cuántica pueda configurar, al menos con dos o tres directrices, a día de hoy un buen uso de QoS es casi obligado para una conexión buena y fiable. Lo digo sinceramente, si Movistar obliga a sus proveedores a añadir una buena interfaz para QoS y que el Router lo gestione bien, y mata a la competencia. La mayoría de usuarios no tiene ni idea de lo extremadamente importante de que es QoS y lo increible que resulta día a día su uso.
-La lógica de aplicación de WPS, que ahora se habilita, ahora se deshabilita... no es tan complicado poner un tick que si se tiene activado WPS está activado y si se quita se deshabilita, y no depende de nada más.
-Cerrar el acceso web al Quantenna. Ya he dicho que soy pro libertad y pro seguridad, y en la medida que la libertad no afecte a la seguridad perfecto. Aquí tenemos el caso contrario... acceder al Quantenna directamente ahora mismo en el ASKEY es trivial, sin necesidad de conocer contraseñas ni nada, las diría, pero para que... y en este caso el acceso a la interfaz del quantenna no nos brinda realmente nada que no podamos hacer por ejemplo desde la interfaz del ASKEY, no nos da mucha más libertad, y en cambio cualquiera que estuviese en nuestra red podría acceder de forma no legítima y cargárselo de forma bastante seria, y repito, con independencia de contraseñas y otros establecidas en el Router.
Espero sinceramente que la próxima actualización traiga realmente mejoras, marcha atrás en algunas medidas y corregir realmente cosas que si que creo que son necesarias. Si a día de hoy estoy en Movistar es, sinceramente os lo digo, principalmente por algunas políticas que han mantenido a lo largo de los años y que precisamente no salen publicadas en los spots. Para mi tener un control más o menos decente del Router, de mi línea y OJO, del uso que se le da a mis datos o la información que transfiere mi red, es esencial. Que pueda conocer y usar mis datos VoIP, usar mi propio Router de forma "sencilla".. creo que son cosas que al usuario avanzado son esenciales. Salir de ello e ir al subterfugio, al "secretismo" o a ir cortando ciertas libertades, es ir acercándose cada vez más a la competencia, y en lo personal, perder lo que para mi es la gran diferencia con ellos.
No pido ni espero que Movistar permita en el futuro usar cada cual sus propios módulos SFP (que sería fabuloso), pero al menos no invertir tanto en impedir que los usuarios puedan manejar su hardware (bueno, técnicamente el hardware no es de su propiedad), e invertirlo en añadir funcionalidades y prestaciones que sí que pueden ser de gran utilidad.
Y quien crea que esto no es así, sólo diré que gracias a que en su día logré acceso a Shell al Mitrastar de dos antenas, luego al HGU Mitrastar y posteriormente al HGU Askey, he podido responder muchas veces a muchos usuarios, resolver dudas y problemas, y siempre por supuesto aprender algo más. Es decir, que precisamente no ha sido "mal" el que les he causado a Movistar pudiendo tener un acceso más amplio.
Hoy no me acuesto muy contento que digamos...
Saludos.
Por privado solo asuntos privados, para lo demás la comunidad."El conocimiento nace del desacuerdo"
