- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

IoT-Geräte kompromittieren


Risiko IoT-Apps: Die Verwundbarkeit der Dinge durch Anwendungsschwachstellen
Neue Bedrohungen wie die Kompromittierung von Anmeldeinformationen durch Schwachstellen in Web- und Mobil-Applikationen bestimmter IoT-Devices

- Anzeigen -





Von Klaus Gheri, Vice President & General Manager Network Security bei Barracuda Networks

Sei es der Kühlschrank, der meldet, wenn die Milch alle ist, oder der Thermostat, der Nutzungsstatistiken aufs Smartphone sendet – verschiedenste Produkte, die traditionell nicht über eine Netzwerkverbindung verfügten, werden mittlerweile damit ausgestattet. Abgesehen von Computer, Telefon, Tablet oder Router gilt grundsätzlich jedes Endanwender-Gerät, das sich mit einem Netzwerk verbinden kann, als IoT-Device. Zu den größten Problemen dieser Entwicklung zählen jedoch immer noch die vielen Sicherheitslücken der Geräte. Zwar bemühen sich Hersteller mittlerweile um Verbesserungen, zugleich zeigen sich neue Bedrohungen wie die Kompromittierung von Anmeldeinformationen durch Schwachstellen in Web- und Mobil-Applikationen bestimmter IoT-Devices.

Derlei gestohlene Anmeldedaten ermöglichen es Angreifern, sich beispielsweise den Videofeed einer IoT-Überwachungskamera anzeigen zu lassen, Alarme zu setzen, zu empfangen oder zu löschen, gespeicherte Videoclips aus dem Cloud-Storage zu entfernen sowie Kontoinformationen auszulesen. Darüber hinaus können Kriminelle die Anmeldedaten auch dazu nutzen, um ihr eigenes Firmware-Update auf das IoT-Gerät zu übertragen, seine Funktionalität zu ändern und mit dem kompromittierten Gerät, andere Geräte im selben Netzwerk anzugreifen.

Schwachstellen-Test: Die unsichere Security-Kamera
Um diese Art Bedrohung zu veranschaulichen, hat das Sicherheitsteam von Barracuda eine IoT-Überwachungskamera untersucht und eine Vielzahl von Schwachstellen in der Web-Applikation sowie dem Ökosystem der mobilen Anwendungen der Kamera identifiziert. Hierzu zählen:

• >> Die mobile App ignoriert die Gültigkeit des Serverzertifikats
• >> Cross-Site Scripting (XSS) in der Web-Applikation
• >> Datei-Übertragung in einen Cloud-Server
• >> Der Benutzer steuert den Link zum Aktualisieren des Geräts
• >> Geräte-Updates werden nicht signiert
• >> Das Gerät ignoriert die Gültigkeit des Serverzertifikats

Mithilfe dieser Schwachstellen konnte das Barracuda-Sicherheitsteam zwei Angriffsarten durchführen, um Anmeldeinformationen abzugreifen und das IoT-Gerät zu kompromittieren – und das ohne direkte Verbindung zum Gerät selbst.

Angriff 1: Diebstahl von Zugangsdaten aus der mobilen App
Gelingt es einem Angreifer, den Datenverkehr mit der mobilen App über ein kompromittiertes Netzwerk abzufangen, kann er das Benutzerpasswort problemlos abgreifen. Der Ablauf des Angriffs ist wie folgt:

1. Das Opfer verbindet sich mit seinem Mobiltelefon mit einem kompromittierten Netzwerk.
2. Die IoT-App wird versuchen, sich über https mit den Servern des Herstellers zu verbinden.
3. Das kompromittierte Netzwerk leitet die Verbindung zum Server des Angreifers weiter, der sein eigenes SSL-Zertifikat verwendet und die Kommunikation zum Server des Anbieters vorgaukelt.
4. So erhält der Server des Angreifers einen ungesalzenen MD5-Hash des Benutzerkennworts.
5. Zudem kann der Angreifer auch die Kommunikation zwischen dem Server des Anbieters und der App manipulieren.

Angriff 2: Zugangsdatendiebstahl von der Webanwendung
Dieser Angriff nutzt die Funktionen aus, die es Benutzern ermöglichen, den Gerätezugriff auf die IoT-Überwachungskamera mit anderen Benutzern zu teilen. Um ein Gerät gemeinsam nutzen zu können, muss der Empfänger über ein gültiges Konto beim IoT-Anbieter verfügen und der Absender den Benutzernamen des Empfängers kennen. Bei der getesteten IoT-Überwachungskamera entsprach der Benutzername der E-Mail-Adresse. Cyberkriminelle würden bei einem Angriff folgendermaßen vorgehen:

1. Der Angreifer bettet einen XSS-Exploit in einen Gerätenamen ein und teilt dieses Gerät dann mit dem Opfer.
2. Sobald sich das Opfer mit der Webanwendung in sein Konto einloggt, wird der XSS-Exploit ausgeführt und teilt das Zugriffstoken, das als Variable in der Webanwendung gespeichert ist, dem Angreifer mit.
3. Mit dem Zugriffstoken kann der Angreifer anschließend auf das Konto des Opfers und alle registrierten Geräte zugreifen.

Die Schwachstellenanalyse zeigt, wie Angreifer ein IoT-Gerät ohne direkte Verbindung zum Gerät selbst kompromittieren können. Das erleichtert Cyberkriminellen das Leben: Kein Scannen nach anfälligen Geräten mehr auf der IoT-Suchmaschine Shodan. Stattdessen zielt der Angriff auf die Infrastruktur des IoT-Herstellers.

Diese Art Bedrohung kann verschiedenste IoT-Devices betreffen, da sie die Art und Weise nutzt, wie das Gerät mit der Cloud kommuniziert. Mit der Verlagerung des Zugriffs sowie der Zugriffskontrollen für IoT-Geräte auf Cloud-Dienste sind die oben gezeigten neuen Schwachstellen und Angriffsvarianten hinzugekommen. So steht und fällt die Sicherheit des Internet of Things nicht nur mit den Sicherheitsvorkehrungen für die Geräte selbst, sondern mit der Entwicklung und genauen Schwachstellenanalyse von Prozessen.
(Barracuda Networks: ra)

eingetragen: 06.02.19
Newsletterlauf: 13.03.19

Barracuda Networks: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • IAM eine der grundlegenden Sicherheitsmaßnahme

    Wenn man die Analogie zum Fußball bemühen will, dann hat der Erfolg einer IT-Sicherheitsabteilung maßgeblich mit einer guten Verteidigung zu tun. Es kommt darauf an, dass die Abwehr geschlossen steht und der Gegner am besten gar nicht erst zum Schuss oder auch nur in eine dafür geeignete Position gelangt. Die beste Voraussetzung für einen Sieg. Ein Bild, dass sich durchaus auf den Datenschutz und das Zusammenwirken unterschiedlicher Sicherheitsebenen übertragen lässt. Im Idealfall hält ein mehrschichtiger Sicherheitsansatz Cyberkriminelle davon ab "ein Tor zu machen" - sprich in ein Netzwerk vorzudringen, an Unternehmensdaten zu gelangen, diese zu entwenden und zu missbrauchen.

  • Angriffe, die keinem bekannten Muster folgen

    Technologien, die auf künstlicher Intelligenz basieren, sind inzwischen weit verbreitet und für hunderttausende IT-Sicherheitsexperten auf der ganzen Welt zugänglich. Forscher müssen dank künstlicher Intelligenz nicht mehr am Computer Unmengen von Zahlen und Daten analysieren. Der Siegeszug der KI hat einige Gründe. Einer davon ist die zur Verfügung stehende Rechenleistung. Wirtschaftliche Cloud-Lösungen und bedienerfreundliche Tools haben ebenfalls dazu beigetragen ausgereiftes maschinelles Lernen und Algorithmen, die auf künstlicher Intelligenz beruhen, einem breiten Kreis von Anwendern zugänglich zu machen und mithilfe dieser Tools Probleme zu lösen.

  • Angreifer werden zunehmend hartnäckiger

    Unternehmen, die im Umbruch sind, scheinen besonders gefährdet zu sein, Opfer von Hacking-Angriffen zu werden. Laut des gerade erst veröffentlichten M-Trends Reports von FireEye, scheint sich ein Trend abzuzeichnen, dass Unternehmen oder Organisationen, die einen Merger & Acquisition-Prozess durchlaufen, gezielt ins Visier von Cyber-Bedroher geraten. Schwächstes Glied in der Kette ist demnach der Mitarbeiter: Phishing-E-Mails sind die wichtigsten Einfallstore für Hacker, um via einem gefälschten Link oder verseuchten Anhängen Zugriffe auf ein Netzwerk zu erlangen.

  • Hype um die Sicherheit

    Von Automobilherstellern über Chemie- und Industrieunternehmen bis zum verarbeitenden Gewerbe - Robotic Process Automation (RPA) findet in verschiedenen Branchen Anwendung und führt dort zu wirtschaftlichen Vorteilen. Besonders etabliert hat sich der Einsatz von Software-Robotern in den Bereichen Finanzen und Buchhaltung sowie IT, Personalwesen und Einkauf, wo sensible Informationen im Umlauf sind. "Durch den Einsatz von RPA lassen sich administrative Aufwände rund um den Datenschutz erheblich vereinfachen", erklärt Alexander Steiner, Chief Solution Architect der meta:proc GmbH. "Gleichzeitig gilt es einige Dinge zu beachten, wenn der Bot vollen Zugriff auf sensible Kundendaten erhält."

  • Algorithmen in einer Post-Quantum-Welt

    Die National Academies of Sciences, Engineering and Medicine veröffentlichte einen neuen Bericht, in dem sie Fortschritte und Perspektiven - oder deren Fehlen - rund um das Thema Quantencomputer - untersucht hat. Der Report skizziert verschiedene technische und finanzielle Probleme, die es zu überwinden gilt, bevor man einen funktionsfähigen Quantencomputer bauen kann. Selbst für Prognosen für die zeitliche Entwicklung der Technologie ist es nach Ansicht der Wissenschaftler noch zu früh. Auch wenn das für einige überraschend klingen mag: die Art der Fortschritte auf diesem Gebiet und das technologische Wachstum haben sich im Laufe der Jahre so dramatisch verändert, dass einige Experten davon ausgehen, dass wir möglicherweise nie eine groß angelegte Implementierung sehen werden.