Absurdo que isto aqui tá publicado há mais de dois meses e nunca vi ninguém falar sobre na minha bolha.
Ainda sou novato na área de cibersegurança, mas reconheço a seriedade do tópico uma vez que estou buscando boas práticas para me proteger melhor. Já uso password manager local (sem depender de nuvem), faço self-hosting de servidores DNS e de dados/serviços pessoais, uso servidores fixos para DNS na WAN (Cloudflare, Google, Quad9, etc.), tenho acesso a infraestrutura local com proxy reverso sem port forwarding por meio de VPN, desliguei UPNP no meu roteador principal (com o qual também tenho minhas questões, como o fato dele ter um servidor SSH para o qual eu não sei qual a senha utilizada), entre outros. Com este artigo descobri que o elo mais fraco é justamente a parte que eu menos tenho controle sobre a minha rede local: o ZTE F689 V9 da Claro, que configurei com relativa facilidade em modo bridge.
Tangente sobre modo bridge: curiosamente, sempre tive menos dor de cabeça habilitando esse modo com os modems da Claro do que com a Vivo ou com a Algar, em que é necessário acessar com usuários privilegiados pra fazer funcionar e nem sempre funciona. A Algar em particular eu acho hilário como qualquer um na rede local pode usar o usuário "telecomadmin" com senha "admintelecom" pra acessar a interface privilegiada pra mexer em configurações da WAN, sem ao menos a opção de alterar este conjunto de usuário e senha. Ou como consegui copiar a chave PPPoE alterando o HTML da página pela ferramenta de inspeção do navegador.
Voltando ao F689: eu tinha achado esquisito já como mesmo em modo bridge (que eu sei que funciona no meu pois de fato tenho um IP público de verdade, não fui sentenciado ao inferno do CGNAT), a Wi-Fi dele continuava ligada com dois rádios: um do próprio modem e outro que era a rede pública #NET_CLARO_WIFI. Ambas recebiam endereços IP por meio de um servidor DHCP que não sei onde poderia estar, mas com certeza não estava na interface web do modem. Pelo menos lá deu para desligar ambos os rádios e isso deixou de ser um problema.
É genuinamente frustrante ver a quantidade de problema nesses firmwares customizados dos modems de provedores de internet. Tenho um sonho dourado de que equipamentos como o F689 - que poderiam funcionar de forma adequada como um roteador se não fosse pelo software que vem nele, que não tem nem suporte a rede mesh - fossem equipados com OpenWrt. Pessoas literalmente trabalhariam de graça pra dar suporte a um ONT completão como o F689. (Outra tangente: tenho quase certeza que um modem de coaxial que tinha aqui em casa, bem antes da Claro trocar para a fibra, rodava um firmware derivado do OpenWrt, mas não consigo provar. Também tem a questão que aparentemente estes equipamentos são capados em termos de memória flash e usam hardware com drivers proprietários para a unidade ótica, o que também não ajuda mas enfim.) Sabe, pra que fazer um aparelho equipado com Wi-Fi dual band com um bom alcance e 4 portas ethernet gigabit, que poderia me fazer economizar um roteador/AP/switch por conta própria, se o firmware que vai nele é essa bomba? Dito isso, vou considerar seriamente comprar um roteador com SFP (ou um conversor de mídia) e um GPON stick ou ONU que seja mais reputável, nem que eu precise catar em algum lugar as credenciais pra conseguir me conectar a OLT da rua - que claramente pela investigação não é impossível de conseguir fazer.
As minhas perguntas que ficam são:
Não ficou claro (ba dum tss) se a Claro/ZTE já implementaram as correções. No sites que busquei aqui (CyStack, cvmanager) não constam nenhuma dessas vulnerabilidades. Por acaso todas elas já foram corrigidas? (Antes da resposta, francamente eu duvido).
Para quem já tem o modem configurado em modo bridge funcional, o quão relevantes ainda são as vulnerabilidades? Quais são as medidas que podem ser tomadas por usuários (não só para mim, as para outras pessoas que conheço que tem modem da ZTE) para melhorar a segurança do modem?
Meus parabéns pelo trabalho. Vou deixar salvo o HTML desse post caso por qualquer razão isto seja derrubado.