TR-069

aus Wikipedia, der freien Enzyklopädie
Wechseln zu: Navigation, Suche

TR-069 ist ein bidirektionales SOAP-Protokoll für die HTTP-basierte Kommunikation zwischen CPEs und Auto-Configuration-Servern (ACS). Es ist daher auch bekannt als CPE WAN Management Protocol (CWMP).

Inhaltsverzeichnis

Fernzugriff auf Konfiguration [Bearbeiten]

Im DSL-Breitbandmarkt stellt TR-069 den dominierenden Anschaltstandard für Zugangsgeräte dar. Die technischen Spezifikationen (TR-069) werden vom Broadband Forum veröffentlicht.

Das Protokoll umfasst sowohl Methoden für die sichere Autokonfiguration als auch für die (An-)Steuerung anderer CPE-Funktionen in einem einheitlichen Framework. Unterschieden wird hierbei zwischen unterschiedlichen Arten von CPEs. Beim Grundtyp handelt es sich um Breitband-/DSL-Ausrüstung, wie z. B. DSL-Router.

TR-069 im TCP/IP‑Protokollstapel:
Anwendung TR-069
HTTP HTTPS …
Transport TCP
Internet IP (IPv4, IPv6)
Netzzugang Ethernet Token
Bus		 Token
Ring		 FDDI …

Im Zuge des Markterfolgs von Breitbandzugängen zum Internet steigt auch die Anzahl sonstiger Zugangsgeräte (z. B. neben Modems und Routern auch Residential Gateways, Set-Top-Boxen, Spielkonsolen, IP-Telefone und IP-TV-Streaminglösungen).

Gleichzeitig erhöht sich die Komplexität der Konfiguration dieser Geräte in einem Maße, dass der durchschnittliche Benutzer oft überfordert ist.

Aus diesem Grund wurde mit TR-069 ein Protokoll entwickelt, welches die Fähigkeiten zur automatischen Konfiguration dieser Geräte zur Verfügung stellt. Via TR-069 können Endgeräte Kontakt zu Auto-Configuration-Servern (ACS) aufnehmen und automatisch konfiguriert werden. Auch andere Dienstfunktionen können auf diese Weise dynamisch bereitgestellt werden.

Neben dem TR-069-Kernstandard selbst, der sich primär mit DSL-Routern befasst, gibt es noch eine Reihe von Nebenstandards, die sich mit speziellen Funktionalitäten von anderen Endgeräten beschäftigt, die hinter der NAT/Firewall dieses als vorhanden vorausgesetzten DSL-Routers liegen - und mit dem Zugriff auf diese. Zudem hat sich das Broadband Forum zum Ziel gesetzt den Standard auf Glasfaser- und andere Breitbandanschlusstechnologien auszudehnen. Die neue Kategorie der Femtocell-Router fällt ebenfalls hierunter.

Remote CPE Control via TR-069.jpg

Sicherheit [Bearbeiten]

Oftmals wird TR-069 vorgeworfen, dass es die Privatsphäre und/oder den Datenschutz der Endanwender gefährdet. Dieses wird begründet mit der unbestrittenen Tatsache, dass TR-069 dem Provider auch erlaubt, automatische Aktualisierungen unbemerkt und ohne explizite Zustimmung des Benutzers für Heim-Router einzuspielen. Diese können sogar zielgerichtet für bestimmte Benutzer oder Benutzergruppen eingerichtet werden. Insbesondere vor dem Hintergrund der „Online-Durchsuchungen“, von Abhör-Befugnissen[1] und ähnlichem wird dieses als gefährlich für den Benutzer angesehen.

Weniger bekannt ist auch die Tatsache, dass TR-069 dazu benutzt werden kann, Geräte im „Sicheren Bereich“ hinter der Box oder dem Modem, die sich also hinter der Firewall befinden, zu konfigurieren.[2] Es kann zwar nicht jedes beliebige Gerät verwaltet werden, jedoch ist dies ein Beweis für die Möglichkeiten, die TR-069 bietet. Durch Fernzugriff könnten so auch beliebig Daten auf den Kundengeräten, auf die der Netzbetreiber Zugriff hat, gelöscht werden. Dies würde nicht zum ersten Mal geschehen, wie es das Beispiel von Amazon und seinem Kindle zeigt.[3] Hierzu diente nicht TR-069, jedoch wird diese Möglichkeit von TR-069 geboten.

Durch sein Funktionsprinzip stellt TR-069 daher eine Backdoor dar, die - so geworben - durch Vertrauen dem Endnutzer sowie dem Netzbetreiber von Nutzen sein soll. Besonders kritisch bleibt jedoch die Tatsache, dass auch unter den erfahrenen Benutzern nur den Wenigsten die Existenz von TR-069 bekannt ist und dessen Möglichkeiten bewusst sind.

Auf der anderen Seite erlaubt es dem Provider, Sicherheitsupdates auf der installierten Basis automatisch einzuspielen[4] und so Sicherheitslücken für Angriffe wie Cross-Site-Scripting u. ä. auch für diejenigen zu schließen, die technisch nicht versiert sind und für die ein lokales Firmwareupgrade zu kompliziert ist.

Weiterhin können neue Leistungsmerkmale freigeschaltet werden, ohne die vorhandene Hardware dafür austauschen zu müssen.[5] Dies erlaubt die Vermeidung von Elektroschrott und ist somit ein Schritt zur Green IT. Ein wesentlicher Aspekt ist aber auch die automatische Einrichtung der Geräte, sobald der Anwender sie mit dem Netz verbindet. Viele technisch weniger versierte Anwender haben Schwierigkeiten, die Einstellungen für Netzzugang (PPP-Username und -Passwort), Internet-Telefonie (SIP-Server, -Username, -Passwort, …) selbst vorzunehmen. Dieses kann TR-069 mit Auto-Konfiguration übernehmen und für die Breite der Anwender den Zugang erleichtern.

Kritische Daten, wie Passwörter, können ebenso wenig mittels TR-069 ausgelesen werden wie besuchte Webseiten oder die Tageszeiten, in denen der Endanwender im Internet surft. Zwar können diese theoretisch als proprietäres Datenmodell auf dem CPE hinterlegt und somit abrufbar gemacht werden, allerdings liegt das Sicherheitsproblem dann auf dem verwendeten CPE und nicht an TR-069. Zudem kann man sich mit alternativen CPEs aus dem freien Handel versorgen, die man vollständig selbst kontrollieren kann. Das CPE muss die Serveradresse des ACS kennen, um verwaltet zu werden. Diese Provider-spezifische Serveradresse wird bei Drittgeräten in der Regel nicht passend konfiguriert sein. Zudem wird der ACS regelmäßig nur vom Provider selbst zur Verfügung gestellte CPEs authentisieren und in der Folge dann automatisch verwalten.

Von TR-069 unterstützte Funktionen [Bearbeiten]

  • Autokonfiguration und dynamische Dienstaktivierung
    • Initiale CPE-Konfiguration
    • Remote-CPE-Konfiguration
  • Firmware-Management
    • Versionsverwaltung
    • Aktualisierungsverwaltung
  • Status und Leistungskontrolle
    • Logdateiauswertung und dynamische Mitteilungen
  • Diagnose
    • Konnektivität und Service-Kontrolle
    • 100%-ige Interoperabilität zwischen Management-Server und CPEs.

In Zukunft wird TR-069 über reine Anschaltstandards hinaus auch viele Zusatzfunktionen der CPEs steuern, wie zum Beispiel:

  • Abfrage der Gerätefunktionen
  • Informationsabfrage, Diagnose, Status und Leistungswerte
  • Automatische Ereignis-getriggerte Alarmfunktionen
  • Unabhängiges Gateway-Daten-Modell, in Verbindung mit TR-064, erweiterbar, um zusätzliche Geräte und Funktionen einzubinden
  • Das Router-Frontend zur Konfiguration wird unnötig, alle Funktionen können vom Management-Server überwacht und gesteuert werden.

Es gibt auch erste Ansätze, die die Funktion eines TR-069-Servers mit den Möglichkeiten von OSGi und/oder OMA-DM kombinieren. OSGi kann hierbei z. B. als SOA dienen, die das Client-Framework auf dem Router bildet, auf dem TR-069 selbst, sowie andere – ggf. kostenpflichtige – (Mehrwert)dienste dynamisch installiert und administriert werden können. Dies ist besonders dann interessant, wenn inkrementelle Aktualisierungen der Routersoftware möglich sein sollen oder wenn die Fernwartungsmöglichkeiten von TR-069 nicht ausreichen. Da es sich bei OSGi um ein Framework auf Java-Basis handelt, besteht auch ein natürlicher Bezug zum objektorientierten SOAP-Protokoll.

Spezifikation [Bearbeiten]

Das Broadband Forum veröffentlicht bereits verabschiedete Standards, sogenannte TRs (Technical Reports) auf seiner Webseite.[6]

Die Entwürfe sind nicht öffentlich und werden als Working Text (WT) und Proposed Draft (PD) bezeichnet. Working Texts sind Entwürfe zu Standards und werden in der Regel zu TRs. Proposed Drafts weitere Dokumente der Arbeitsgruppen die entweder interne Verwendung finden (z. B. PD-128, Interoperabilitäts Testplan für TR-069 Plugtests), können aber auch eine Vorstufe zu Working Texts sein.

Die Nummerierung der Standards ist dreistellig und linear, d. h. sie beginnt bei 001 und wird fortlaufend hochgezählt. Wird ein WT zum TR, ändert sich die Nummerierung nicht. Zum Teil werden Nachträge (Amendments) unter der gleichen Nummer mit dem Zusatz „Amendment“ und einer weiteren Nummerierung (Amendment 1, …) versehen, die das vorherige Dokument ersetzen. Hierfür können zum Beispiel trotz verabschiedetem TR, WTs mit gleicher Nummer existieren (z. B. derzeit TR-106 Amendment 1 und WT-106 für ein Amendment 2 (geplant für November 2008).

Der Zugang zu allen Entwürfen neuer Spezifikationen der TR-069-Familie steht seit neustem für alle kostenlos auf der Seite www.broadband-forum.org zur Verfügung.

Weblinks [Bearbeiten]

Quellen [Bearbeiten]

  1. ↑ http://www.bmj.bund.de/files/-/2047/RegE%20TK%DC.pdf Regierungsentwurf eines Gesetzes zur Neuregelung der Telekommunikationsüberwachung und anderer verdeckter Ermittlungsmaßnahmen sowie zur Umsetzung der Richtlinie 2006/46/EG
  2. ↑ http://www.broadband-forum.org/technical/download/TR-098_Amendment-1.pdf Internet Gateway Device Data Model for TR-069 - Fernzugriff auf Endbenutzergeräte
  3. ↑ http://www.heise.de/newsticker/meldung/Amazon-loescht-gekaufte-Kindle-eBooks-6887.html Amazon löscht gekaufte Kindle-eBooks - Heise.de
  4. ↑ http://www.theregister.co.uk/2007/10/09/bt_home_hub_hole_response/
  5. ↑ http://www.btopenzone.com/news/news_20080422.jsp
  6. ↑ www.broadband-forum.org
Von „http://de.wikipedia.org/w/index.php?title=TR-069&oldid=116494229“