Officiële Ziggo kabelmodems - firmware updates

René zei:

Dat klopt helemaal, maar even advocaat van de duivel.... waarom lukt het vrijwel elke website op internet wel om een valide certificaat te krijgen (volledig geautomatiseerd) en een modem/router niet?
Uiteindelijk draait daar ook gewoon een webserver op, en het aanvragen van een certificaat zou automatisch en gratis kunnen.

Klik om te vergroten...

Het publieke internet werkt meestal met domeinnamen, maar een Ziggo aansluiting heeft standaard geen normale domeinnaam. Alleen fanatiekelingen, zoals ikzelf, hebben een eigen domeinnaam die aan het Ziggo IP adres gekoppeld is.

Tegenwoordig bestaan er (minstens) twee initiatieven waarmee je gratis certificaten kunt aanmaken voor zo'n domeinnaam. Let's Encrypt is hiervan de eerste en grootste. Maar die willen geen certificaat op IP adres uitgeven, hoewel dat technisch geen probleem zou zijn.

En zelfs als je het wel voor elkaar krijgt om aan iedere ziggo abonnee een unieke domeinnaam te koppelen, dan is dan een toegang vanaf de internet kant, waardoor de hele inlogpagina vanaf het internet toegankelijk moet zijn. Dat wil je ook niet.
(PS eigenlijk heeft elke abonnee al een publieke domeinnaam. Die van mij is b.v. "94-213-xx-xx.cable.dynamic.v4.ziggo.nl". Dus je IP adres gevolgd door ".cable.dynamic.v4.ziggo.nl". Maar dan zou je elke keer die naam moeten intikken als je bij de inlogpagina van je moden wilt komen, wat het best lastig maakt voor het grootste deel van de klanten )

In mijn optiek is het een fout in het ontwerp van browsers. Zij zouden niet standaard https moeten gebruiken als je een intern IP adres opgeeft. Ik weet dat Safari vroeger geen veiligheidswaarschuwing gaf als je een intern IP adres via http benaderde, maar wel als je een extern IP adres via http benaderde. Dus soms wordt er rekening gehouden met de speciale status van een intern IP adres. (NB Interne IP adressen zijn bekende IP reeksen die elke browser simpel kan herkennen)

Briolet zei:

In mijn optiek is het een fout in het ontwerp van browsers.

Klik om te vergroten...

Eigenlijk heel raar. Als ik mijn router, uiteraard vanaf LAN, benader krijg ik geen waarschuwing.
Wel zie ik in de adresbalk een "Niet beveiligd" kopje maar dat is het dan ook.
Daarvoor gebruik ik wel het IP-adres van de router (LAN zijde).
Net nog even getest maar ook met andere browsers, die k daar nog nooit voor gebruikt heb, vertonen hetzelfde gedrag.

Vooral niet vergeten, dat velen hier wel 'iets' technisch zijn en deze 'fout' melding kunnen begrijpen/herleiden. Echter iedereen die een ander talent heeft, zal van zo'n melding schrikken. Natuurlijk kan je dan zeggen/schrijven dat ze dan daar ook niets te zoeken hebben, maar soms is het 'nood breekt wet' en moet men daar b.v. alleen settings controleren i.v.m. een mogelijke storing, waarbij men o.a. op het forum direct aan klanten vraagt om settings en logfiles te controleren/uploaden.

Ik ( ! ) vind het zeer slecht, dat een bedrijf als Ziggo wat miljoenen klanten heeft en wat miljarden omzet heeft, zich er zo gemakkelijk vanaf maakt en vind het zeer onprofessioneel dat Ziggo hun certificaten niet werkende krijgen en/of op tijd updaten. Vooral omdat dát met beveiliging te maken heeft, nu is dit een lokaal netwerk, maar toch !

E.e.a. getuigt m.i. dat Ziggo maar wat aan rommelt en vooral de goedkoopste optie kiest en/of qua techniek te minimalistisch bezig is. En i.p.v. dat Ziggo pro-actief bezig is, blust Ziggo altijd achteraf de brandjes, wat natuurlijk wel het goedkoopste is maar beslist geen vertrouwen en kwaliteit uitstraalt.

@Tonne: Het gaat hier om de Sagem router met de laatste firmware update. Als ik daar "192.168.178.1" intik in de adresbalk, krijg ik elke keer eerst de pagina met de eerder aangehaalde waarschuwing. (Getest met Chrome en Safari). Volgens mij is dat een pagina die je via http benaderd. Als je dan op doorgaan klikt, schakelt de verbinding over naar https en gaat de browser waarschuwingen over het certificaat geven.

Ik denk nu dat het de nieuwe software in de Sagem router is die je dwingt om een https verbinding te gebruiken en niet de browser. Safari en Chrome onthouden wel dat je het certificaat vertrouwt, want bij een volgende poging om 192.168.178.1 in te tikken ga je vanaf de waarschuwingspagina van de router direct naar de inlogpagina. De browsers laten geen certificaat-waarschuwing meer zien.

Chrome blijft nog wel aangeven dat het niet beveiligd is omdat het certificaat niet onafhankelijk ondertekend is. Safari laat het wel als een veilige verbinding zien.



Als je ook van die eerste waarschuwing af wilt, moet je zelf direct via https inloggen. b.v. door dit ervoor te tikken: "https://192.168.178.1" of door de https inlog te bookmarken en via de bookmark in te loggen.

@Briolet Aha, duidelijk.
Die hele versleuteling (https) lijkt me dan volstrekt overbodig want ik neem aan dat de modem/router alleen via LAN bereikbaar is.
Dan krijgt de browser een ongeldig certificaat te zien en geeft een waarschuwing.
Daar het verkeer alleen over LAN gaat lijkt me die hele zelf-certificering overbodig.
Zou jij er wel een goede reden voor weten?

Mij lijkt het ook overbodig.

Ik heb op de Ziggo Community gevraagd waarom dat is, en dit kreeg ik als antwoord:
Het certificaat is helaas iets waar we niet omheen kunnen, gezien dit een regelgeving is vanuit de EU.
De hele precieze regel kan ik je niet geven, want die weet ik zelf op dit moment ook niet. Ik denk dat dit onder andere te maken heeft met de Radio Equipment Directive (RED) en Cyber Resilience Act (CRA), vanuit een snelle Google. Ik zal eens navragen waar dit precies beschreven wordt. Het document (van andere community user) UITVOERINGSBESLUIT (EU) 2025/138 VAN DE COMMISSIE link is al een goed begin.

Maar ik heb thuis ook KPN, en die gebruiken nog geen https voor de login op het modem.

Maar de Ziggo klanten zullen daar dan wel behoefte aan hebben, en geen behoefte aan een hogere upload.

Ik vind het ook een moedige stap van Ziggo om uit zich zelf een https verbinding te forceren. Wel verstandig om er de waarschuwingspagina tussen te zetten.

Dat Ziggo dat doet is waarschijnlijk omdat browsers in toekomst de https verbinding als standaard gaan maken. Ik dacht dat de uitrol al begonnen was, maar ik lees b.v. dat Chrome dat pas vanaf oktober dit jaar gaat doen:


Als Ziggo niets doet, worden ze hier door overvallen. Blijkbaar zijn ze nu pro-actief bezig om dit zelf te implementeren zodat ze de klanten alvast kunnen laten wennen aan een verbinding via een certificaat. Voor LAN verkeer volledig overbodig en ik denk ook niet dat Ziggo dit van harte toegevoegd heeft. Voor hen zal het kiezen uit twee kwaden geweest zijn.

Anderzijds heeft he stuk van Google het over publieke adressen waar https afgedwongen gaat worden. Hat kan betekenen dat je nog steeds via http kunt verbinden binnen een lan. Misschien dat het verhaal van Rob Jansen hierboven van toepassing is.

Het probleem met selfsigned certificaten is niet alleen bij Ziggo, maar geld ook voor de meeste NAS’en en andere netwerk apparaatjes met ingebouwde websites die op https benaderbaar zijn.

Met selfsigned en/of verlopen certificaten is alleen de verbinding niet vertrouwd, maar het verkeer over https is wel versleuteld. En dus niet zomaar door anderen op het netwerk te onderscheppen.

Ook beheerders van internet websites die gebruik maken van DDNS voor hun domein en Let’s Encrypt certificaten zijn meestal anoniem en is dan ook de vraag is die website wel te vertrouwen. Je web browser zal daar in dat geval niets over melden het certificaat is immers geldig. Je moet dus per definitie bij contact met internet websites al terughoudend zijn over de betrouwbaarheid.

Voor de zwarte modem zou er een update klaar moeten staan.


Is onderstaande software versie de laatste?