Smarte Helfer mit lückenhafter API-Security Wenn die digitale Haushaltshilfe zum Spion wird

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

Confluent Germany GmbH

H zwo B Kommunikations GmbH

Webfähige Geräte sind in vielen Unternehmen und Haushalten in Deutschland längst zu unverzichtbaren Begleitern geworden. Smarte Sprachassistenten, intelligente Gebäudetechnik sowie digitale Kommunikations- und Videosysteme versprechen ein Plus an Komfort und Effizienz. Doch die APIs, über die die nützlichen Helfer kommunizieren, weisen oft gravierende Sicherheitslücken auf – und öffnen Cyberkriminellen Tür und Tor.

Um die smarten Funktionen zu ermöglichen, sind IoT-Geräte nicht nur mit einer ausgeklügelten Steuerung und oft Dutzenden unterschiedlichster Anwendungen ausgestattet, sondern in der Regel auch mit einem Server des jeweiligen Herstellers verbunden. Dieser sorgt dafür, dass die Daten aller aktiven Devices zentral in Cloud-Applikationen gesammelt und ausgewertet werden. Damit erhalten eigentlich recht simpel aufgebaute Systeme eine Art von künstlicher Intelligenz, die die Erfahrungswerte aller Geräte nutzt, um einzelne in ihren Arbeitsabläufen zu optimieren.

Genau das kann Probleme verursachen, wie ein aktueller Fall des Research Teams von Checkmarx zeigt. Die Forscher, die in der Vergangenheit bereits Sicherheitslücken bei Amazons Alexa, der Kamera von Google- und Samsung-Smartphones und dem Kindertablet LeapPad aufgedeckt haben, haben jetzt dokumentiert, wie gefährlich vermeintlich harmlose Smart Home und Smart Office Systeme sein können. Zuvor hatten die Sicherheitsforscher IoT-Geräte im Haushalt untersucht, darunter den Saugroboter Ironpie M6 von Trifo. Der App-gesteuerte Staubsaugerroboter verfügt über eine eingebaute Kamera, mit der Anwender via App jederzeit ins eigene Heim blicken können. Das Checkmarx Team fand schwerwiegende Schwachstellen in den Programmierschnittstellen (APIs) zwischen dem Gerät, der Android-App und der Verbindung zum Backend Server.

Die Sicherheitslücken im Detail

In der Untersuchung haben die Forscher nicht nur gleich mehrere Schwachstellen gefunden, sondern auch unsichere Coding-Practices dokumentiert. Während einige Schwachstellen in der Praxis nur geringes Gefährdungspotenzial haben, sind andere schon als deutlich ernsthafter einzustufen. Das gilt besonders angesichts der Tatsache, dass der Saugroboter nach wie vor als Sicherheitsprodukt vermarktet wird.

Bei der Untersuchung wurden Lücken in allen drei Komponenten des Systems gefunden:

• in der Android-App

• im Zusammenspiel mit dem Cloud-System im Backend

• im Staubsauger selbst

Unsicheres Update

Im Hinblick auf ihre Programmierung lässt sich die Trifo Android-App (Trifo Home) durchaus als sicher einstufen. Sie entspricht den gängigen Richtlinien und ist auch im Coding solide ausgeführt. Ihre Schwachstelle liegt den Forschern zufolge in der Update-Prozedur. Das Update wird nämlich nicht wie vorwiegend üblich über den Google-Play-Store ausgeführt, sondern über einen Drittserver per HTTP-Request. Hier können Angreifer die Anfrage abfangen und dazu missbrauchen, Schadcode beim Anwender zu installieren. Die Möglichkeiten einer auf diese Weise manipulierten App sind für Cyberkriminelle dann nahezu unbegrenzt.

MQTT-Fernzugriff öffnet Tor für Hacker

MQTT (Message Queuing Telemetry Transport) ist ein datensparendes Protokoll, das IoT-Geräten selbst in schmalbandigen Netzen die Übertragung von Telemetriedaten erlaubt. Im Fall des Saugroboters agieren die unterstützenden MQTT-Server als Brücke zwischen dem Trifo-Sauger, den Backend-Servern und der Trifo-Home-Anwendung. Die Server werden verwendet, um Ereignisse aus den eingesetzten Saugrobotern zu verarbeiten, die dann an die grafische Benutzeroberfläche der entsprechenden Trifo Home App übermittelt werden. Das Problem: Das System verfügt über keinen ausreichend sicheren Authentifizierungsmechanismus. Dadurch kann sich ein Angreifer mit den MQTT-Servern verbinden. Dazu benötigt er lediglich eine beliebige Client-ID, die sich vergleichsweise einfach aus vorhandenen Daten extrapolieren lässt.

Während die Android-App des Herstellers MQTT über SSL verwendet, verbindet sich der Saugroboter selbst zunächst über eine unverschlüsselte Verbindung mit den MQTT-Servern und tauscht einige Pakete offen aus. Erst danach wird die eigentliche MQTT-Payload verschlüsselt. Problematisch, denn genau das versetzt Angreifer in die Lage, jede beliebige Client-ID zu errechnen. Mit diesem Wissen kann er dann den Datenverkehr des Ironpie überwachen, um eine beliebige MAC-Adresse zu übernehmen und so Daten auf die eigenen Systeme umzuleiten. Zu diesen Daten zählt auch der sogenannte dev_key, der zur Entschlüsselung des gesamten Traffics verwendet werden kann. Mit diesen Informationen ist der Hacker dann in der Lage, sich als MQTT-Server auszugeben und die volle Kontrolle über den Staubsauger zu erlangen.

Komplette Einsicht

Über MQTT hat der Angreifer dann den kompletten Zugriff auf nahezu alle Informationen. Dazu zählen zum Beispiel die SSID des Netzwerks, mit dem der Saugroboter verbunden ist, seine interne IP-Adresse, seine MAC-Adresse und andere Daten. Damit kann ein Angreifer einen Schlüssel erzeugen, der es ihm ermöglicht, Zugang zum Video-Feed aller aktiven Ironpie-Sauger zu erhalten, unabhängig davon, wo sie sich befinden. Dem Ausspionieren ganzer Gebäude und ihrer Bewohner und dem Erstellen von Grundrissen fremder Häuser steht damit nichts mehr im Weg.

Obwohl Checkmarx den Hersteller bereits über die Schwachstellen informiert hat, wurden diese bislang nicht behoben. Anbieter und Hersteller müssen die Sicherheit ihrer Geräte stärker in den Fokus rücken, um die Benutzer und deren Daten zuverlässig zu schützen.

Fazit

Im Zuge von Digitalisierung und IoT nimmt die Zahl intelligenter, web-fähiger Geräte im privaten und im beruflichen Umfeld rasant zu. Dabei dürfen die Hersteller aber nicht mit Blick auf eine rasche Markteinführung ihrer Produkte Abstriche bei der Absicherung der Geräte-Software und der Schnittstellen in Kauf nehmen. Um Sicherheitslücken im Code frühzeitig zu erkennen und zu beheben, gilt es insbesondere auf die Einhaltung der OWASP Best Practice Vorgaben im Bereich API-Security zu achten. In kritischen Umgebungen mit hohem Code-Volumen empfiehlt sich darüber hinaus der Einsatz einer dedizierte Software-Security-Plattform, die den Code und die eingebundenen Open-Source-Komponenten über den gesamten SDLC hinweg überwacht.

Über den Autor: Brad Wolfe ist Sales Engineering Manager beim Software-Security-Anbieter Checkmarx.

(ID:46833729)