Drucksache: Entwickler Magazin 6.17 - Wenn das IoT ins Haus einzieht...
Im Entwickler Magazin 6.17 ist ein Artikel über die Sicherheit der Heimautomation erschienen.
Das IoT für „Internet of Things“ steht ist zumindest die offizielle Erklärung. Es gibt aber auch noch andere Erklärungsmöglichkeiten. Aus Sicherheitssicht ist das zum Beispiel ein „Internet of Targets“. Denn so unsicher, wie viele dieser „Things“ sind, stellen sie für alle möglichen Angreifer ein verlockendes Ziel dar.
Das Fazit ist eindeutig: Die Geräte des IoT sind gefährdet. Und gefährlich, wenn sie in falsche Hände fallen.
Da man als Benutzer kaum etwas tun kann, um eine gefährdetes IoT-Gerät zu schützen, sind die Hersteller gefordert: Sie müssen ihre Geräte sicher entwickeln und auch nach dem Verkauf durch die Korrektur von Schwachstellen vor Angriffen schützen.
Mit Belkin und Philips habe ich zwei Beispiele für hinsichtlich der Sicherheit sehr aktive Hersteller ausgewählt. Beide geben sich große Mühe, ihre Geräte sicher zu machen. Beide sind dabei auch recht erfolgreich, und trotzdem gibt es immer wieder Schwachstellen. Die aber wenigstens behoben werden, und das meist recht zügig. Andere Hersteller sehen das alles deutlich lockerer.
Tun die Hersteller nichts, bleibt eigentlich nur ein Schluss: Am besten vergessen wir das mit den intelligenten und vernetzten Geräten, bis die Hersteller sich dazu durchgerungen haben, sie sicher zu machen.
Denn außer „nicht nutzen“ gibt es für die Benutzer kaum eine Möglichkeit, um die Sicherheit eines gefährdeten IoT-Geräts zu erhöhen. Bei nur über das Netzwerk ausnutzbaren Schwachstellen könnte man auf die Verbindung mit dem Netzwerk verzichten, aber was soll man mit einem IoT-Gerät ohne I? Das läuft doch dann eigentlich auch auf „nicht nutzen“ hinaus.
Und hier noch die Links und Literaturverweise aus dem Artikel:
- [1] Carsten Eilers: "Sesam, öffne dich!"; Entwickler Magazin 4.17
- [2] Carsten Eilers: "Cyberkriminelle erobern das IoT"; Entwickler Magazin 1.17
- [3] Carsten Eilers: "Internet of (In)Security?"; Entwickler Magazin 4.14
- [4] Scott Tenaglia, Joe Tanen; Black Hat Europe 2016: "Breaking BHAD: Abusing Belkin Home Automation Devices" (Video auf YouTube)
- [5] SQLite3 Injection Cheat Sheet
- [6] Scott Tenaglia; Two Six Labs Blog: "Breaking BHAD: Remote Rooting WeMo Devices"
- [7] Scott Tenaglia; Two Six Labs Blog: "SQLite as a Shell Script"
- [8] Scott Tenaglia; Two Six Labs Blog: "Breaking BHAD: Injecting Code into the WeMo App Using XSS"
- [9] twosixlabs auf GitHub: Code from the Breaking BHAD talk at Black Hat Europe 2016
- [10] Colin O'Flynn; Black Hat USA 2016: "A Lightbulb Worm?" (Video auf YouTube)
- [11] Eyal Ronen, Colin O’Flynn, Adi Shamir, Achi-Or Weingarten: "IoT Goes Nuclear: Creating a ZigBee Chain Reaction"
- [12] AES-CCM Attack
- [13] Colin O’Flynn: "Philips Hue, AES-CCM, and more!"
- [14] Colin O’Flynn: "Getting Root on Philips Hue Bridge 2.0"
- [15] R. X. Seger: "Enabling the hidden Wi-Fi radio on the Philips Hue Bridge 2.0:"
- [16] Tristan Crispijn: "Soft Link Button for HUE Bridge"
- [17] Eyal Ronen, Colin O’Flynn, Adi Shamir, Achi-Or Weingarten; 38th IEEE Symposium on Security and Privacy: "IoT Goes Nuclear: Creating a Zigbee Chain Reaction" (Video auf YouTube, Paper siehe [11])
- [18] Lei Ji, Yunding Jian; Black Hat USA 2016: "The Risk from Power Lines: How to Sniff the G3 and Prime Data and Detect the Interfere Attack" (Video auf YouTube)
- [19] Thomas Brandstetter; Black Hat USA 2017: "(in)Security in Building Automation: How to Create Dark Buildings with Light Speed"
- [20] Lucas Lundgren; Black Hat USA 2017: "Taking Over the World Through MQTT - Aftermath"
- [21] Caleb Madrigal; DEF CON 25: "Controlling IoT devices with crafted radio signals" (Präsentation als PDF)
- [22] Zhengbo Wang, Wang Kang, Bo Yang, Shangyuan LI, Aimin Pan; Black Hat USA 2017: "Sonic Gun to Smart Devices: Your Devices Lose Control Under Ultrasound/Sound" (Website)
Trackbacks