Un-Sicherheit von IoT-Devices
ID: 1455795
Die Angriffe von Internet of Things (IoT)-Geräten auf Router der deutschen Telekom und den DNS Betreiber Dyn haben erneut die völlige Unsicherheit dieser Geräte verdeutlicht. Sie wurden ausgelöst durch Malware wie Mirai, die Internet-basierte Webcams, Babyphones etc. kontrolliert.
Viele dieser Geräte sind auch weiterhin angreifbar: Mit dem TP-Link HS110 wurde ein IoT-Gerät zur Home Automation genauer betrachtet. Es handelt sich hierbei um eine Prozessor-gesteuerte Steckdose, die sich mit dem hauseigenen WLAN verbindet und per ebenfalls unsicherer Smartphone-App verwaltet wird. Zur Konfiguration stellt das Gerät einen ungesicherten Ad-Hoc Access Point zur Verfügung. Eine Kommunikation mit der Cloud des Herstellers ist ebenfalls vorgesehen und ermöglicht diesem, den Lebenszyklus (Gerätenummer, Eigentümer, Einsatzzeit und –dauer) eines jeden Geräts genau zu verfolgen. Der disassemblierte Firmware-Quellcode offenbart Details über die Implementierung, über die verwendeten Protokolle sowie im Klartext gespeicherte Standardpasswörter.
Mit Reverse-Engineering nach dem Black-Box-Prinzip wurde der Einsatz einer einfach-knackbaren XOR Verschlüsselung nachgewiesen. Daraus folgend kann die gesamte Kommunikation des Geräts leicht entschlüsselt werden. Zu diesen Informationen gehören auch die an die Cloud zur Registrierung gesendeten Zugangsdaten.
Durch die über die Kommunikation bekannten Informationen war es möglich, ein kleines Tool zur Steuerung des TP-Link HS110 zu entwickeln. Dieses kann ohne jegliche Authentifizierung beliebige Geräte der Serie steuern und beliebig manipulieren. Ein Wartungsprotokoll - mit entsprechendem offenem Port am IoT-Gerät - gibt weiterhin Auskunft über die Konfiguration und den Status des Geräts und kann spezielle gerätespezifische Befehle ausführen.
Der eingesetzte völlig unzulängliche Ansatz ‚Security by Obscurity‘ ist für eine umfassende Sicherheit des Geräts offensichtlich nicht ausreichend. Dies gewinnt weiter an Relevanz, da die Verwendung von Universal Plug and Play (UPnP) standardmäßig bei vielen Routern aktiviert ist. Die nicht ausreichend gesicherten Geräte aus dem Heimnetzwerk können so den Zugriff aus dem Internet ermöglichen.
Nachträgliche Korrekturen am Produkt führen unweigerlich zu zusätzlichem Aufwand und damit auch weit höheren Kosten. Eine frühzeitige Prüfung des Konzepts durch Threat Modeling, sowie intensive Prüfung durch Penetrationstests sind also auch aus Kostengründen unverzichtbar.
Eine technisch detaillierte Beschreibung findet sich unter https://www.softscheck.com/en/reverse-engineering-tp-link-hs110/.
Weitere Infos zu dieser Pressemeldung:
Themen in dieser Pressemitteilung:
Unternehmensinformation / Kurzprofil:
softScheck GmbH
Die IT-Sicherheitsberatung softScheck GmbH identifiziert seit mehr als 10 Jahren Sicherheitslücken - insbesondere bislang nicht-erkannte Zero-Day-Vulnerabilities in Software, Firmware und Hardware.
softScheck führt regelmäßig Sicherheitsprüfungen von Software und Hardware durch. Daneben bietet softScheck selbstverständlich auch die klassische IT-Sicherheitsberatung an – angefangen mit dem Grundschutz (ISO 27000-Familie) bis hin zur Hochsicherheit in der Informationsverarbeitung (Redundanz und Diversität) – auch mit Consulting, Coaching und Forensics.
Datum: 13.02.2017 - 17:43 Uhr
Sprache: Deutsch
News-ID 1455795
Anzahl Zeichen: 2999
Kontakt-Informationen:
Kategorie:
Sicherheit
Meldungsart: Unternehmensinformation
Versandart: Veröffentlichung
Diese Pressemitteilung wurde bisher 414 mal aufgerufen.
Die Pressemitteilung mit dem Titel:
"Un-Sicherheit von IoT-Devices"
steht unter der journalistisch-redaktionellen Verantwortung von
softscheck GmbH (Nachricht senden)
Beachten Sie bitte die weiteren Informationen zum Haftungsauschluß (gemäß TMG - TeleMedianGesetz) und dem Datenschutz (gemäß der DSGVO).
Die softScheck GmbH freut sich, bekannt zu geben, dass sie ab sofort den CyberRisikoCheck anbietet – eine Dienstleistung, die speziell für kleinere Unternehmen entwickelt wurde. Dieser Check basiert auf der neuen DIN SPEC 27076 "IT-Sicherheitsberatung für kleine und Kleinstunternehmen"
Use Case Secure Medical Device ...
Bei der Cyber Security Prüfung eines Laien-Defibrillators hat softScheck für ein Unternehmen der Medizintechnik eine Reihe von Sicherheitslücken identifiziert und darüber hinaus bestätigt, dass das Gerät schließlich vor weiteren Angriffsvektoren geschützt ist. Damit kann das geprüfte System
Webinar: Medical Device Security Testing (IoT) – MDR, MDCG and ISO 27034 based ...
Medizinische Geräte und Systeme in Praxen und Krankenhäusern werden häufig vernetzt – mit anderen Geräten, mit anderen Abteilungen, mit dem Hersteller, Dritt-Anbieter wie Wartungsunternehmen, mit anderen (Fach-)Kliniken etc. - und auch an das Internet angeschlossen. Auch die Digitalisierung me
Weitere Mitteilungen von softscheck GmbH
Doctor Web entdeckt neuen Linux-Trojaner ...
Der neue Linux-Trojaner heißt Linux.Proxy.10 und startet den Proxyserver SOCKS5 auf dem infizierten Gerät. SOCKS5 basiert dabei auf einem offenen Quellcode des Satanic Socks Servers und gewährleistet so die Anonymität der Cyber-Kriminellen. Via Secure Shell verbreiten diese Linux.Proxy.10 und sp
Hilfreiche Tipps für Anwender von Dr.Web im Zuge des Safer Internet Days ...
Cyber-Kriminelle entwickeln immer einfallsreichere Malware, bereits ein falscher Klick kann schwerwiegende Folgen für Nutzer haben. Angesichts des Safer Internet Days am 7. Februar ruft Doctor Web zu erhöhter Aufmerksamkeit beim Surfen im Internet auf. Ein neues Aufklärungsprojekt hilft dabei.
Rechtssichere E-Mail Archivierung - sind Sie bereit? ...
Die GoBD formulieren die Anforderungen an die Nutzung von IT-gestützter Buchführung und allen damit verbundenen geschäftsrelevanten Aufzeichnungen, unter anderem auch per E-Mail versendete oder empfangene Daten, wie Angebote, Rechnungen etc. Lesen Sie im Dokument der Bitkom die 10 Regeln zum Them
