Massenhaft Sicherheitslücken in vernetzten Geräten
Zusammenfassung
Forscher des französischen Instituts Eurécom analysierten 2014 automatisiert 32.356 Firmware-Dateien vernetzter Geräte. 693 Images enthielten mindestens eine Lücke, 38 davon bislang unbekannt; in über 300 fanden sich Hinweise auf Hintertüren, etwa in einem Gerät der Belkin-Wemo-Reihe. Außerdem sammelten sie 109 private RSA-Schlüssel aus über 400 Images ein.
Ideen
- Automatisierte Firmware-Analyse findet Sicherheitsprobleme in großem Maßstab.
- Voreingestellte Benutzerkonten mit schwachen Passwörtern waren weit verbreitet.
- Private Schlüssel in öffentlicher Firmware entwerten die Verschlüsselung aller Geräte.
- Ein Wemo-Gerät führte Befehle als root aus, wenn man bestimmte Multicast-Pakete schickte.
Einsichten
- Hersteller nutzen dieselben Schlüssel und Komponenten über viele Geräte hinweg.
- Was in öffentlicher Firmware steckt, ist kein Geheimnis mehr.
Fakten
- Fast 700 Images enthielten voreingestellte Benutzerkonten, in 58 Fällen wurden die Hashes geknackt.
- Beliebte Passwörter waren pass, logout, helpme und gar keines.
- In 41 Fällen fanden die Forscher privaten Schlüssel und Zertifikat zusammen.
Referenzen
Kritik
- Die Meldung nennt kaum Hersteller, sodass Leser eigene Geräte nicht zuordnen können.
Empfehlungen
- Trenne IoT-Geräte in ein eigenes Netzsegment ohne Zugriff auf andere Systeme.
- Ersetze Hersteller-Firmware wo möglich durch gepflegte offene Alternativen wie OpenWrt.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.