技术声明

关于Pierre Kim披露C-data OLT产品安全漏洞的声明

我们注意到Github上发布了一篇题为“在C-Data OLT中发现多个漏洞”的文章。C-Data钦佩技术界两位专业人士Pierre Kim和Alexandre Torres的工作，感谢他们通过详细测试发现安全漏洞问题，以及他们在降低用户使用网络产品风险方面的积极工作。C-Data秉持服务客户的理念，始终将客户利益放在首位，并特别关注产品安全问题。通过这种方式，C-Data能够为客户提供有安全保障的产品。

与此同时，我们关注到媒体发布的一些新闻稿，并对Pierre Kim和Alexandre Torres的技术文章进行了解读。为了不让广大客户误解我们设备的安全设计，C-Data以真诚坦率的态度对上述技术问题进行分析和澄清。

排除假冒产品

本文中提到的账号：panger123/suma123。我们对该账号和密码进行了调查。此外，我们已确认该账号和密码并非来自C-Data OLT产品，而是其他公司和个人在仿制C-Data OLT时所使用的。仿冒OLT的CLI风格及其大部分命令均抄自C-Data OLT。C-Data OLT设备目前在全球广泛使用，仿冒者抄袭C-Data OLT以获取非法利润。

根据以下截图，我们可以完全对比分析出panger123/suma123账号来自一台非法仿制的OLT。

[Replica command line style and version information]

[C-Data FD11XX series OLT version information and command line style]

如果您使用panger123/suma123账号，您将永远无法访问C-Data OLT。下图展示了使用panger123/suma123账号尝试登录C-Data OLT失败的信息拦截情况。

本文分析了关于“使用硬编码凭据的身份验证过程”的问题。演示表明，我们通过telnet方式登录OLT的bcm-shell并获取OLT的关键信息。相关信息均来自仿冒产品，而非C-Data OLT。截图中红色标注的账号和密码信息为仿冒产品的信息。

几个工厂设置账户简介

本文提到的以下两个telnet登录账号和密码实际用于C-Data第一代OLT（以FD11XX开头的OLT）：

OLT telnet 账户 1：debug/debug124

OLT telnet 账户 2：root/root126

该账号和密码主要由C-Data用于协助客户调试问题和写入生产参数。（OLT MAC地址信息和SN信息等）

必须通过OLT上的本地串行线路成功登录此账户到CONSOLE端口，然后才能进入OLT bcm-shell模式修改和查看OLT的关键信息。在OLT TELNET模式下使用此账户，只能进入设备的CLI，无法进入OLT bcm-shell修改OLT的关键信息。

如果攻击者想进入OLT的bcm-shell模式以获取设备隐私信息或向OLT植入恶意程序，他们必须在本地直接连接计算机的串口线登录OLT。这样一来，远程攻击者绝无可能利用这两个账户发起攻击。

因此，不存在“通过 telnet 进行后门访问”这种情况。

此外，关于这两个账户，C-Data已毫无保留地向所需客户披露。客户的一种常见用途是在需要修改MAC地址时使用。

[The following figure shows how to log into C-Data OLT remotely with debug/debug124 and root/root126, and how to attempt to enter the shell mode prompt. In addition, OLT prompt only supports entering bcm-shell under the direct connection of CONSOLE.]

debug/debug124 和 root/root126 的另一个使用场景是 C-Data 应客户请求提供远程技术支持。C-Data 的所有远程访问均在与客户协商后获得客户同意。操作时，操作人员需要远程登录到客户的计算机，然后使用这两个账户通过本地串口登录设备，以此方式与客户共同进行网络问题的定位分析。客户的技术人员将全程参与并监督技术服务过程。

至于是否存在攻击者通过 TELNET 使用这两个账户登录 CLI，进而更改 OLT 配置，导致网络安全问题的情况，我们将在后续的安全策略中进一步说明。

OLT telnet 账户3：guest/[empty]

该账户和密码为出厂默认配置的账户，仅能查看 OLT 的部分基本信息，不具备对 OLT 进行任何配置的权限。用户在使用时可根据需要删除或修改该账户。

解决方案：由于 FD11XX 系列 OLT 是 C-Data OLT 的第一代型号，其账户和密码规则未被充分考虑。默认密码固定且过于简单，可能被不法分子利用。C-Data 将立即更新并发布该 OLT 产品的软件版本。在最新版本中，调试账户将不再采用通用的固定密码，密码将根据绑定到设备的唯一识别码，由专用密码生成工具生成。如果没有设备的唯一识别码信息或密码生成工具，则无法获取密码。

更安全的加密机制

对于 C-Data OLT 的其他型号（OLT 型号为 FD15XX、FD16XX、FD12XX、FD8000），不存在“通过 telnet 后门访问”的问题，因为这些 OLT 采用了更安全的加密机制。设备出厂默认配置了若干通用账户，包括 root/admin、admin/admin 和 guest/guest，可供客户对 OLT 进行初始配置。客户在使用设备时，需要根据自身的安全策略创建、删除和修改设备的登录账户和密码。我们不建议在运营网络中使用出厂默认的用户名和密码。

该设备保留了一个调试账户，用于协助客户调试和解决问题，客户也可在忘记OLT登录密码时使用该账户找回遗忘的密码。然而，该账户不再使用通用密码，密码根据客户OLT的唯一标识信息计算生成。只有当客户提供唯一标识码信息并结合专用密码生成工具时，才能生成密码。每台OLT的密码各不相同，这将更好地保障设备的安全。

WEB登录管理需求

本文中显示的用户名和密码实际上是众多用户的需求。该账户和密码是OLT Web管理界面的登录用户名和密码。由于许多客户反馈，其部分初级维护人员可能容易忘记OLT WEB管理界面的登录用户名和密码，并希望上级管理人员能够通过OLT CLI查询WEB的用户名和密码，我们应客户要求提供了此命令，以便客户可以通过命令行自行查看WEB的登录用户名和密码。我们相信客户能够制定有效的安全管理制度，妥善管理用户名和密码的使用，以避免使用此命令带来的风险。

安全策略与建议

本文从网络安全风险的角度，介绍了在获知C-Data“Telnet后门访问”的账户和密码后，可用于攻击C-Data OLT的几种方案。C-Data相信广大客户拥有一套适合自身防御网络攻击的措施。以下将列出客户侧常见的网络攻击防御措施。这些措施可以保护OLT免受本文所述以下攻击手段的影响：

* 利用root权限逃逸shell

* 预认证远程DoS

* 凭据信息泄露及明文凭据（HTTP）

* 弱加密算法

* 不安全的管理接口

防御策略1：在一般的网络规划中，客户端所有OLT管理VLAN和业务VLAN均不相同。如果攻击者使用的管理VLAN不正确，这种规划方式使得无法从OLT的网络侧（上行链路）或用户侧（下行至ONU）访问OLT设备。

防御策略2：OLT用作接入层设备。对于许多中小型ISP而言，OLT通常部署在其网络的内网上。当内网访问公网时，会经过路由器或防火墙设备。路由器和防火墙设备上会禁用telnet和http等服务；能够访问OLT的人员是客户内网中有权访问OLT的员工；确实，如果有其他人员需要从内网通过公网访问OLT设备，则需要在路由器或防火墙上进行端口转发，而只有客户知道转发规则，因此攻击者很难获取信息并实施攻击。

防御策略3：C-Data的OLT已经做了大量的控制策略，这些策略由客户自行设置，可以完全阻止网络攻击者非法登录设备：

OLT配置策略1：

可以通过OLT的系统访问控制（access-control）进行控制，仅允许客户配置的特定IP地址或MAC访问OLT设备，其他人完全无法得知。

OLT配置策略2：

OLT的带外访问可以由客户开启或关闭。客户可以关闭带外管理并使用带内管理。在这种情况下，设备管理通过独立于业务数据的专用管理通道实现，因此网络安全性更高。

OLT配置策略3：

OLT的Web访问端口可以由客户修改，并且可以由客户关闭和开启。

OLT配置策略4：

OLT可配置完善的ACL功能，以防止设备轻易遭受攻击。

结论

Pierre Kim和Alexandre Torres的文章从安全漏洞的角度对C-Data的设备进行了详细总结和认真测试。原文的初衷是反馈设备中的安全漏洞，使技术人员和用户注意到安全风险并采取有效的安全防范措施，而非媒体转载传播时所称的“OLT设备后门”之意，更不应被解读为C-Data在产品上故意留有后门。C-Data期望产品能为客户提供最佳体验，使客户使用设备更加便捷。C-Data有能力帮助客户更好地建立网络安全防护策略。C-Data也欢迎各方提出合理建议，使C-Data设备在为客户提供便利性和实用性的前提下，更多地考虑客户的安全问题和使用设备时的困惑。谢谢！

附录：

文档原始来源：

https://pierrekim.github.io/blog/2020-07-07-C-Data-olt-0day-vulnerabilities.html

网络媒体转载：

https://www.zdnet.com/article/backdoor-accounts-discovered-in-29-ftth-devices-from-chinese-vendor-c-data/