- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

IoT-Geräte kompromittieren


Risiko IoT-Apps: Die Verwundbarkeit der Dinge durch Anwendungsschwachstellen
Neue Bedrohungen wie die Kompromittierung von Anmeldeinformationen durch Schwachstellen in Web- und Mobil-Applikationen bestimmter IoT-Devices

- Anzeigen -





Von Klaus Gheri, Vice President & General Manager Network Security bei Barracuda Networks

Sei es der Kühlschrank, der meldet, wenn die Milch alle ist, oder der Thermostat, der Nutzungsstatistiken aufs Smartphone sendet – verschiedenste Produkte, die traditionell nicht über eine Netzwerkverbindung verfügten, werden mittlerweile damit ausgestattet. Abgesehen von Computer, Telefon, Tablet oder Router gilt grundsätzlich jedes Endanwender-Gerät, das sich mit einem Netzwerk verbinden kann, als IoT-Device. Zu den größten Problemen dieser Entwicklung zählen jedoch immer noch die vielen Sicherheitslücken der Geräte. Zwar bemühen sich Hersteller mittlerweile um Verbesserungen, zugleich zeigen sich neue Bedrohungen wie die Kompromittierung von Anmeldeinformationen durch Schwachstellen in Web- und Mobil-Applikationen bestimmter IoT-Devices.

Derlei gestohlene Anmeldedaten ermöglichen es Angreifern, sich beispielsweise den Videofeed einer IoT-Überwachungskamera anzeigen zu lassen, Alarme zu setzen, zu empfangen oder zu löschen, gespeicherte Videoclips aus dem Cloud-Storage zu entfernen sowie Kontoinformationen auszulesen. Darüber hinaus können Kriminelle die Anmeldedaten auch dazu nutzen, um ihr eigenes Firmware-Update auf das IoT-Gerät zu übertragen, seine Funktionalität zu ändern und mit dem kompromittierten Gerät, andere Geräte im selben Netzwerk anzugreifen.

Schwachstellen-Test: Die unsichere Security-Kamera
Um diese Art Bedrohung zu veranschaulichen, hat das Sicherheitsteam von Barracuda eine IoT-Überwachungskamera untersucht und eine Vielzahl von Schwachstellen in der Web-Applikation sowie dem Ökosystem der mobilen Anwendungen der Kamera identifiziert. Hierzu zählen:

• >> Die mobile App ignoriert die Gültigkeit des Serverzertifikats
• >> Cross-Site Scripting (XSS) in der Web-Applikation
• >> Datei-Übertragung in einen Cloud-Server
• >> Der Benutzer steuert den Link zum Aktualisieren des Geräts
• >> Geräte-Updates werden nicht signiert
• >> Das Gerät ignoriert die Gültigkeit des Serverzertifikats

Mithilfe dieser Schwachstellen konnte das Barracuda-Sicherheitsteam zwei Angriffsarten durchführen, um Anmeldeinformationen abzugreifen und das IoT-Gerät zu kompromittieren – und das ohne direkte Verbindung zum Gerät selbst.

Angriff 1: Diebstahl von Zugangsdaten aus der mobilen App
Gelingt es einem Angreifer, den Datenverkehr mit der mobilen App über ein kompromittiertes Netzwerk abzufangen, kann er das Benutzerpasswort problemlos abgreifen. Der Ablauf des Angriffs ist wie folgt:

1. Das Opfer verbindet sich mit seinem Mobiltelefon mit einem kompromittierten Netzwerk.
2. Die IoT-App wird versuchen, sich über https mit den Servern des Herstellers zu verbinden.
3. Das kompromittierte Netzwerk leitet die Verbindung zum Server des Angreifers weiter, der sein eigenes SSL-Zertifikat verwendet und die Kommunikation zum Server des Anbieters vorgaukelt.
4. So erhält der Server des Angreifers einen ungesalzenen MD5-Hash des Benutzerkennworts.
5. Zudem kann der Angreifer auch die Kommunikation zwischen dem Server des Anbieters und der App manipulieren.

Angriff 2: Zugangsdatendiebstahl von der Webanwendung
Dieser Angriff nutzt die Funktionen aus, die es Benutzern ermöglichen, den Gerätezugriff auf die IoT-Überwachungskamera mit anderen Benutzern zu teilen. Um ein Gerät gemeinsam nutzen zu können, muss der Empfänger über ein gültiges Konto beim IoT-Anbieter verfügen und der Absender den Benutzernamen des Empfängers kennen. Bei der getesteten IoT-Überwachungskamera entsprach der Benutzername der E-Mail-Adresse. Cyberkriminelle würden bei einem Angriff folgendermaßen vorgehen:

1. Der Angreifer bettet einen XSS-Exploit in einen Gerätenamen ein und teilt dieses Gerät dann mit dem Opfer.
2. Sobald sich das Opfer mit der Webanwendung in sein Konto einloggt, wird der XSS-Exploit ausgeführt und teilt das Zugriffstoken, das als Variable in der Webanwendung gespeichert ist, dem Angreifer mit.
3. Mit dem Zugriffstoken kann der Angreifer anschließend auf das Konto des Opfers und alle registrierten Geräte zugreifen.

Die Schwachstellenanalyse zeigt, wie Angreifer ein IoT-Gerät ohne direkte Verbindung zum Gerät selbst kompromittieren können. Das erleichtert Cyberkriminellen das Leben: Kein Scannen nach anfälligen Geräten mehr auf der IoT-Suchmaschine Shodan. Stattdessen zielt der Angriff auf die Infrastruktur des IoT-Herstellers.

Diese Art Bedrohung kann verschiedenste IoT-Devices betreffen, da sie die Art und Weise nutzt, wie das Gerät mit der Cloud kommuniziert. Mit der Verlagerung des Zugriffs sowie der Zugriffskontrollen für IoT-Geräte auf Cloud-Dienste sind die oben gezeigten neuen Schwachstellen und Angriffsvarianten hinzugekommen. So steht und fällt die Sicherheit des Internet of Things nicht nur mit den Sicherheitsvorkehrungen für die Geräte selbst, sondern mit der Entwicklung und genauen Schwachstellenanalyse von Prozessen.
(Barracuda Networks: ra)

eingetragen: 06.02.19
Newsletterlauf: 13.03.19

Barracuda Networks: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • Geschichte und Zukunft der Ransomware

    Aktuelle Ransomware-Angriffe wie das erneute Aufflammen der GandCrab-Welle oder die Attacke auf den deutschen Maschinenbauer Krauss Maffei, durch den zahlreiche Rechner lahmgelegt und die Produktion wochenlang gedrosselt wurde, zeigen, dass das Geschäftsmodell der Datengeiselnahme für Cyberkriminelle leider nichts an Attraktivität eingebüßt hat. Lösegelderpressung durch Ransomware hat von ihren frühesten Anfängen vor 30 Jahren bis heute eine berüchtigte Karriere hingelegt. Durch die enorme Professionalisierung der Vertriebswege, beispielsweise durch Ransomware-as-a-Service (RaaS), wurden Krypto-Trojaner-Attacken auch für technisch wenig versierte Kriminelle zu einer der lohnenswertesten und erfolgreichsten Angriffsarten.

  • Unterschätzte Bedrohung "Datendiebstahl"

    Datendiebstahl zählt zu den größten Bedrohungen in der Cyberwelt. So wurden im Jahr 2017 rund 2,6 Milliarden Daten gestohlen. Das entspricht einer Zunahme von 88 Prozent im Vergleich zum Vorjahr (1). Trotzdem wird diese Gefahr häufig noch immer unterschätzt. Denn gerade durch das Aufkommen des Internet of Things (IoT) sowie des Industrial Internet of Things (IIoT) können die Folgen solcher ungewollten Datenabflüsse weitaus größere Ausmaße haben als "nur" den reinen Verlust von wichtigen Daten. Dabei haben es die Hacker auf den ersten Blick auf vermeintlich uninteressante Unternehmens- und Mitarbeiterdaten abgesehen.

  • Wer muss die Sicherheitsstrategie mittragen?

    Wir schreiben das Jahr 2019. Daten sind omnipräsent und allein mit unseren Fingerspitzen agieren wir hochgradig transformativ. Das ändert, wie wir unsere Geschäftstätigkeit betrachten, macht uns produktiver und vereinfacht an vielen Stellen unser Leben. Sei es, dass wir sicher nach Hause finden, Lebensmittel online bestellen können oder entscheiden, was wir wann auf welchem Gerät ansehen. Die Möglichkeiten sind schier unendlich sowohl für den privaten als auch für den geschäftlichen Bereich. Und jede Minute kommen neue Optionen dazu. Unglücklicherweise hat jede neue Möglichkeit auch neue Sicherheitsrisiken im Gepäck. Risiken, denen sich Sicherheitsverantwortliche wie CISOs nur allzu bewusst sind. Welche Verhaltensweisen, Methoden und Haltungen sind also besser als andere geeignet das bestmögliche aus unseren Daten herauszuholen und gleichzeitig deren Sicherheit zu gewährleisten?

  • Biometrie hat viele Gesichter

    Laut National Academies Press versteht man unter Biometrie "die automatisierte Erkennung von Individuen anhand von Verhaltensmerkmalen und biologischen Eigenschaften". Diese Merkmale werden zunehmend genutzt, um eine wachsende Zahl digitaler Systeme und Objekte wie Anwendungen, Datenquellen, Mobiltelefone, PCs und Gebäude zu sichern sowie den Zugang oder Zugriff zu ermöglichen. Hier ersetzen biometrische Merkmale vermehrt Passwörter und Codes, die wesentlich einfacher zu knacken sind. Passwörter haben fundamentale Schwächen. Sie können kompromittiert oder gestohlen, oder in einigen Fällen sogar einfach erraten werden - und so die digitale Identität einer Person gefährden. Biometrische Technologien sind an dieser Stelle wesentlich sicherer, weil sie sich auf einzigartige Erscheinungsmerkmale oder Verhaltensweisen einer Person stützen, bevor diese auf Geräte, Datenbanken oder Systeme zugreifen darf.

  • Fragmentierung macht Compliance-Nachweis schwierig

    Die Verschlüsselung von Daten ist rund um den Globus zu einem zentralen Bestandteil der IT-Sicherheitsstrategie von Unternehmen geworden. Das hat unterschiedliche Gründe. Öffentlich bekannt gewordene Fälle von Datenschutzverletzungen und Datendiebstahl haben Unternehmenslenker für die Folgewirkungen sensibilisiert. Neben rechtlichen Konsequenzen können Datenschutzverletzungen und Datenverluste auch negative Folgen für den Ruf des Unternehmens haben. Und auch Compliance-Anforderungen, wie sie etwa der PCI DSS an Unternehmen stellt, die Kreditkartentransaktionen nutzen, sind ein entscheidender Motivationsfaktor für den Einsatz von Verschlüsselungstechnologie. Moderne Datenverschlüsselung steht auf fünf Säulen: Sie ist universell, hoch automatisiert, sie nutzt moderne Authentifizierungsmechanismen, sie setzt auf Verschlüsselungstechnologien auf Hardwareebene und sie ist transparent und zentral verwaltet. Die Säulen im Einzelnen.