HP findet 250 Schwachstellen in zehn Geräten fürs Internet der Dinge

Hewlett-Packard hat Daten zur Sicherheit im Internet der Dinge (Internet of Things, kurz IoT) vorgelegt. Im Rahmen der „Internet State of the Union Study“ wurden zehn führende IoT-Geräte untersucht, die in der Summe 250 Schwachstellen aufwiesen – also durchschnittlich 25 pro Gerät.

Bei den untersuchten Geräten handelt es sich HP zufolge um „Fernseher, Webcams, Thermostate, fernsteuerbare Steckdosen, Löschanlagen, Türschlösser, Waagen und Garagenöffner“. Welche dieser acht Kategorien wirklich mehrfach vertreten waren, sagte das Unternehmen nicht und nannte auch keine Produktnamen. Sie wurden jedenfalls mit der HP-Lösung Fortify on Demand auf die vom Open Web Application Security Project definierten Schwachstellen abgeklopft.

Bei acht der zehn Geräte beanstandet HP, dass sie Anwenderdaten sammeln: etwa Namen, E-Mail- und Postadresse, Geburtsdatum, Kreditkarten- und Gesundheitsdaten. Neun von ihnen riefen mindestens eine dieser Angaben ab und speicherten sie.

Acht der Geräte verpflichteten den Nutzer nicht zum Einsatz eines starken Passworts, sondern gaben sich gegebenenfalls auch mit „1234“ zufrieden. Dabei fanden die solchermaßen schlecht geschützten Konten meist auch für den Zugang zur Website oder App des jeweiligen Anbieters Verwendung.

In sieben von zehn Fällen verschlüsselten die IoT-Geräte die Kommunikation zwischen dem Internet und dem lokalen Netz nicht. Die Hälfte übertrug Daten unverschlüsselt in die Cloud – obwohl es sich überwiegend um sehr private Daten handelt.

Die Web-Oberfläche beanstandete HP in sechs von zehn Fällen, etwa wegen Anfälligkeit für Cross-Site-Scripting, mangelhaftem Session-Management, als Klartext übertragenen Zugangsdaten oder schwach geschütztem Standardkonto. In sieben Fällen hätte ein Angreifer durch Serienabfragen oder die Funktion zum Rücksetzen des Passworts herausfinden können, welche gültigen Nutzerkonten es gibt.

Den Download von Software-Aktualisierungen verschlüsselten sechs der Geräte nicht. Downloads ließen sich teilweise abfangen, extrahieren und als Dateisystem in Linux mounten, um die Software zu untersuchen oder zu modifizieren.

Schwachstellen von Geräten fürs Internet der Dinge (Diagramm: HP)

Die Datensicherheit im Internet der Dinge wird als potenziell gewaltiges Problem gesehen. McAfee hatte etwa im April eine „Strategie für ein sicheres Internet der Dinge“ öffentlich gemacht. Es fordert vor allem, über IP verbundene Geräte von vornherein nach bestimmten Regeln zu konzipieren, statt nachträglich für Sicherheit sorgen zu wollen.

Als ersten Eckpfeiler sieht McAfee vor, dass es eine Prüfmöglichkeit geben muss, um festzustellen, dass Geräte wie vom Hersteller beabsichtigt laufen und nicht korrumpiert wurden. Die Sicherheit ist für die gesamte Lebenszeit und nicht nur fürs Einzelgerät, sondern auch das Netzwerk und Rechenzentrum zu gewährleisten. Drittens müssen Branchenstandards geschaffen und eingehalten werden, um Geräte interoperabel zu machen, und viertens muss die Technik auf für die Gewährleistung der Privatsphäre des Einzelnen sorgen.

[mit Material von Larry Dignan, ZDNet.com]

Tipp: Was wissen Sie eigentlich über Hewlett-Packard? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Florian Kalenda

Seit dem Palm Vx mit Klapp-Tastatur war Florian mit keinem elektronischen Gerät mehr vollkommen zufrieden. Er nutzt derzeit privat Android, Blackberry, iOS, Ubuntu und Windows 7. Die Themen Internetpolitik und China interessieren ihn besonders.

Recent Posts

Corona befördert das Wachstum von Cloud-Services

Corona hat sowohl die Bedeutung der IT als auch von Public Cloud Services gesteigert. Die…

2 Tagen ago

ZTNA versus Remote Access VPN – 6 Vorteile

Remote Access Virtual Private Networks (VPN) haben lange gute Dienste geleistet, aber der Trend zum…

2 Tagen ago

AWS nutzt Fedora Linux für sein cloudbasiertes Amazon Linux

Ziel ist die Integration von Red Hat Enterprise Linux. Das Betriebssystem ist für Amazon EC2…

2 Tagen ago

So setzen Ransomware-Verbrecher ihre Opfer unter Druck

Ransomware-Angreifer setzen eine breite Palette von rücksichtslosen Druckmitteln ein, um die Opfer zur Zahlung des…

2 Tagen ago

Kubernetes gegen Ransomware

Container sind mittlerweile nicht mehr vor Attacken gefeit. Veritas verrät sechs Tipps, um Kubernetes-Daten vor…

2 Tagen ago

Storage-Tiering – ein obsoletes Paradigma

Das traditionelle Tiering von Speicherinfrastruktur in verschiedene Klassen je nach Alter der Daten und Zugriffswahrscheinlichkeit…

2 Tagen ago