HP findet 250 Schwachstellen in zehn Geräten fürs Internet der Dinge

Hewlett-Packard hat Daten zur Sicherheit im Internet der Dinge (Internet of Things, kurz IoT) vorgelegt. Im Rahmen der „Internet State of the Union Study“ wurden zehn führende IoT-Geräte untersucht, die in der Summe 250 Schwachstellen aufwiesen – also durchschnittlich 25 pro Gerät.

Bei den untersuchten Geräten handelt es sich HP zufolge um „Fernseher, Webcams, Thermostate, fernsteuerbare Steckdosen, Löschanlagen, Türschlösser, Waagen und Garagenöffner“. Welche dieser acht Kategorien wirklich mehrfach vertreten waren, sagte das Unternehmen nicht und nannte auch keine Produktnamen. Sie wurden jedenfalls mit der HP-Lösung Fortify on Demand auf die vom Open Web Application Security Project definierten Schwachstellen abgeklopft.

Bei acht der zehn Geräte beanstandet HP, dass sie Anwenderdaten sammeln: etwa Namen, E-Mail- und Postadresse, Geburtsdatum, Kreditkarten- und Gesundheitsdaten. Neun von ihnen riefen mindestens eine dieser Angaben ab und speicherten sie.

Acht der Geräte verpflichteten den Nutzer nicht zum Einsatz eines starken Passworts, sondern gaben sich gegebenenfalls auch mit „1234“ zufrieden. Dabei fanden die solchermaßen schlecht geschützten Konten meist auch für den Zugang zur Website oder App des jeweiligen Anbieters Verwendung.

In sieben von zehn Fällen verschlüsselten die IoT-Geräte die Kommunikation zwischen dem Internet und dem lokalen Netz nicht. Die Hälfte übertrug Daten unverschlüsselt in die Cloud – obwohl es sich überwiegend um sehr private Daten handelt.

Die Web-Oberfläche beanstandete HP in sechs von zehn Fällen, etwa wegen Anfälligkeit für Cross-Site-Scripting, mangelhaftem Session-Management, als Klartext übertragenen Zugangsdaten oder schwach geschütztem Standardkonto. In sieben Fällen hätte ein Angreifer durch Serienabfragen oder die Funktion zum Rücksetzen des Passworts herausfinden können, welche gültigen Nutzerkonten es gibt.

Den Download von Software-Aktualisierungen verschlüsselten sechs der Geräte nicht. Downloads ließen sich teilweise abfangen, extrahieren und als Dateisystem in Linux mounten, um die Software zu untersuchen oder zu modifizieren.

Schwachstellen von Geräten fürs Internet der Dinge (Diagramm: HP)

Die Datensicherheit im Internet der Dinge wird als potenziell gewaltiges Problem gesehen. McAfee hatte etwa im April eine „Strategie für ein sicheres Internet der Dinge“ öffentlich gemacht. Es fordert vor allem, über IP verbundene Geräte von vornherein nach bestimmten Regeln zu konzipieren, statt nachträglich für Sicherheit sorgen zu wollen.

Als ersten Eckpfeiler sieht McAfee vor, dass es eine Prüfmöglichkeit geben muss, um festzustellen, dass Geräte wie vom Hersteller beabsichtigt laufen und nicht korrumpiert wurden. Die Sicherheit ist für die gesamte Lebenszeit und nicht nur fürs Einzelgerät, sondern auch das Netzwerk und Rechenzentrum zu gewährleisten. Drittens müssen Branchenstandards geschaffen und eingehalten werden, um Geräte interoperabel zu machen, und viertens muss die Technik auf für die Gewährleistung der Privatsphäre des Einzelnen sorgen.

[mit Material von Larry Dignan, ZDNet.com]

Tipp: Was wissen Sie eigentlich über Hewlett-Packard? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.