Mehr als zwei Millionen IoT-Geräte sind von Schwachstellen betroffen. Angreifer können damit unter anderem Webcams übernehmen. Eine Beseitigung der Schwachstelle ist nicht in Sicht.
Es gibt insgesamt zwei Sicherheitslücken, die in iLnkP2P gefunden wurden. Eine davon erlaubt es einem Angreifer, sich mit einem beliebigen Gerät zu verbinden. Die andere Sicherheitslücke ermöglicht das Stehlen von Zugangsdaten zu einem Gerät und dessen komplette Übernahme. Das wird vor allem dann problematisch, wenn sich eine betroffene Überwachungs-Webcam in einem höchstpersönlichen Bereich befindet, wie etwa einen Schlaf- oder Kinderzimmer.
Viele smarte Geräte verschiedener Hersteller verwenden Komponenten „von der Stange“. Darunter befindet sich auch eine P2P (Peer to Peer) Kommunikationstechnologie, welche die reibungslose und unkomplizierte Kommunikation zwischen den einzelnen Geräten sicherstellen soll. Eine fertige Lösung, die viele Anbieter einsetzen, heißt iLnkP2P und kommt von einem einzigen Hersteller namens Shenzen Yunni Technologies. Fertige Komponenten extern einzukaufen ist eine gängige Praxis, nicht nur in der IoT-Welt: So kaufen zum Beispiel Autohersteller bestimmte Baugruppen (wie zum Beispiel Kabelbäume) von Zulieferern ein. Probleme mit einer eingekauften Komponente betreffen daher im Regelfall gleich mehrere Hersteller, wie auch im vorliegenden Fall. Unter den betroffenen Hersteller sind VStarcam, Eye Sight und HiChip. Alle betroffenen Hersteller aufzulisten, ist jedoch „schwierig“, wie der Entdecker der Schwachstellen Paul Marrapese, in einem Blogpost schreibt.
Das Verhalten des Zulieferers in diesem Fall ist nicht akzeptabel. Kommunikation zu verweigern sendet ein Signal, das nicht nur dem Unternehmen selbst schadet, sondern auch den Kunden, die das Unternehmen beliefert. Vieles hätte hier besser laufen können und auch müssen. Vorfälle wie dieser sind dazu geeignet, das Vertrauen von Endanwendern in Technologien und deren Hersteller nachhaltig zu schädigen.
Eine Beseitigung der Schwachstelle ist derzeit nicht in Sicht und auch generell unwahrscheinlich. Mehrfache Versuche, mit dem Hersteller der P2P-Lösung in Kontakt zu treten, wurden ignoriert. Nach drei Monaten hat der Sicherheitsforscher die Lücken publik gemacht.
Es gibt jedoch eine Möglichkeit, zu prüfen, ob ein Gerät betroffen ist. Auf einem Aufkleber, der in der Regel an der Unter- oder Rückseite eines Gerätes angebracht ist, steht die so genannte „UID“. Anhand der ersten drei bis fünf Buchstaben ist erkennbar, ob ein Gerät von der Schwachstelle betroffen ist. Eine entsprechende Liste ist auf der Webseite https://hacked.camera/ zu finden.
Es gibt nur wenige wirksame Gegenmaßnahmen. Eine davon ist, bestimmte Verbindungen von außen (UDP, Port 32100) mit einer Firewall zu blockieren. Die wirksamste Methode ist allerdings, das betroffene Gerät durch ein anderes von einem renommierten Hersteller zu ersetzen.
Tim Berghoff
Security Evangelist
