Hewlett-Packard hat Daten zur Sicherheit im Internet der Dinge (Internet of Things, kurz IoT) vorgelegt. Im Rahmen der „Internet State of the Union Study“ wurden zehn führende IoT-Geräte untersucht, die in der Summe 250 Schwachstellen aufwiesen – also durchschnittlich 25 pro Gerät.
Bei den untersuchten Geräten handelt es sich HP zufolge um „Fernseher, Webcams, Thermostate, fernsteuerbare Steckdosen, Löschanlagen, Türschlösser, Waagen und Garagenöffner“. Welche dieser acht Kategorien wirklich mehrfach vertreten waren, sagte das Unternehmen nicht und nannte auch keine Produktnamen. Sie wurden jedenfalls mit der HP-Lösung Fortify on Demand auf die vom Open Web Application Security Project definierten Schwachstellen abgeklopft.
Bei acht der zehn Geräte beanstandet HP, dass sie Anwenderdaten sammeln: etwa Namen, E-Mail- und Postadresse, Geburtsdatum, Kreditkarten- und Gesundheitsdaten. Neun von ihnen riefen mindestens eine dieser Angaben ab und speicherten sie.
Acht der Geräte verpflichteten den Nutzer nicht zum Einsatz eines starken Passworts, sondern gaben sich gegebenenfalls auch mit „1234“ zufrieden. Dabei fanden die solchermaßen schlecht geschützten Konten meist auch für den Zugang zur Website oder App des jeweiligen Anbieters Verwendung.
In sieben von zehn Fällen verschlüsselten die IoT-Geräte die Kommunikation zwischen dem Internet und dem lokalen Netz nicht. Die Hälfte übertrug Daten unverschlüsselt in die Cloud – obwohl es sich überwiegend um sehr private Daten handelt.
Die Web-Oberfläche beanstandete HP in sechs von zehn Fällen, etwa wegen Anfälligkeit für Cross-Site-Scripting, mangelhaftem Session-Management, als Klartext übertragenen Zugangsdaten oder schwach geschütztem Standardkonto. In sieben Fällen hätte ein Angreifer durch Serienabfragen oder die Funktion zum Rücksetzen des Passworts herausfinden können, welche gültigen Nutzerkonten es gibt.
Den Download von Software-Aktualisierungen verschlüsselten sechs der Geräte nicht. Downloads ließen sich teilweise abfangen, extrahieren und als Dateisystem in Linux mounten, um die Software zu untersuchen oder zu modifizieren.
Die Datensicherheit im Internet der Dinge wird als potenziell gewaltiges Problem gesehen. McAfee hatte etwa im April eine „Strategie für ein sicheres Internet der Dinge“ öffentlich gemacht. Es fordert vor allem, über IP verbundene Geräte von vornherein nach bestimmten Regeln zu konzipieren, statt nachträglich für Sicherheit sorgen zu wollen.
Als ersten Eckpfeiler sieht McAfee vor, dass es eine Prüfmöglichkeit geben muss, um festzustellen, dass Geräte wie vom Hersteller beabsichtigt laufen und nicht korrumpiert wurden. Die Sicherheit ist für die gesamte Lebenszeit und nicht nur fürs Einzelgerät, sondern auch das Netzwerk und Rechenzentrum zu gewährleisten. Drittens müssen Branchenstandards geschaffen und eingehalten werden, um Geräte interoperabel zu machen, und viertens muss die Technik auf für die Gewährleistung der Privatsphäre des Einzelnen sorgen.
[mit Material von Larry Dignan, ZDNet.com]
Tipp: Was wissen Sie eigentlich über Hewlett-Packard? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Der Cybersecurity Report von Hornetsecurity stuft 2,3 Prozent der Inhalte gar als bösartig ein. Die…
Die Hintermänner haben es auf Zugangsdaten zu Microsoft Azure abgesehen. Die Kampagne ist bis mindestens…
Cloud-Plattform für elektronische Beschaffungsprozesse mit automatisierter Abwicklung elektronischer Rechnungen.
Mindestens eine Schwachstelle erlaubt eine Remotecodeausführung. Dem Entdecker zahlt Google eine besonders hohe Belohnung von…
Nur rund die Hälfte schaltet während der Feiertage komplett vom Job ab. Die anderen sind…
Security-Experten von Check Point sind einer neuen Angriffsart auf die Spur gekommen, die E-Mail-Schutzmaßnahmen umgehen…
