IoT-Geräte-Schwachstellen machen Smart Home angreifbar: Die Credential-Compromise-Bedrohung

Internet of Things (IoT) Geräte – von smarten Kühlschränken, die Sie benachrichtigen, wenn Milch ausgeht, bis zu Thermostaten, die Nutzung auf Ihrem Phone charten – sind zum Standard moderner Haushalte geworden. Laut Fleming Shi, CTO von Barracuda Networks, qualifiziert sich jedes Verbrauchergerät, das sich über PC, Phone, Tablet oder Router hinaus mit einem Netzwerk verbindet, als IoT-Gerät.

Während Konnektivität Komfort erweitert hat, führte sie auch neue Sicherheitsrisiken ein. Aktuelle Arbeiten von Barracuda Labs demonstrieren eine neuartige Bedrohung: IoT Credential Compromise, wo Angreifer Web- und Mobile-App-Schwachstellen ausnutzen, um Anmeldedaten zu stehlen und das Gerät dann remote zu kontrollieren.

IoT Credential Compromise

Sobald ein Angreifer die Anmeldedaten eines Geräts erlangt, kann er Video-Feeds einsehen, Alarm-Einstellungen ändern, Cloud-gespeichertes Filmmaterial löschen und sogar bösartige Firmware pushen, die genutzt werden kann, um auf andere Geräte im selben Netzwerk zu pivotieren.

Schwachstellenprofil einer Beispiel-Sicherheitskamera

Unsere Analyse einer vernetzten Sicherheitskamera deckte folgende Schwächen in ihrem Web- und Mobile-App-Ökosystem auf:

• Mobile App akzeptiert ungültiges Server-Zertifikat.
• Cross-Site Scripting (XSS) Schwachstelle in der Web-App.
• File-Traversal-Fehler auf dem Cloud-Server.
• Benutzer können die Geräte-Update-URL bereitstellen.
• Firmware-Updates sind unsigniert.
• Gerät ignoriert Server-Zertifikatsvalidierung.

Mithilfe dieser Fehler demonstrierte das Team eine vollständige Credential-Extraktions- und Geräte-Kompromittierungs-Kette – ohne physische Nähe zur Kamera.

Anmeldedaten stehlen via Mobile App

Durch Positionieren eines bösartigen Wi-Fi-Hotspots kann ein Angreifer HTTPS-Traffic zwischen Mobile App und Vendor-Servern abfangen. Das Versäumnis der App, das Server-Zertifikat zu validieren, erlaubt dem Angreifer-Proxy, einen ungesalzenen MD5-Hash des Benutzerpassworts zu erfassen.

Anmeldedaten stehlen via Web App

Viele IoT-Vendor erlauben Geräte-Sharing per E-Mail. Ein Angreifer kann XSS in einen Gerätenamen einbetten, es mit einem Opfer teilen und dann das Zugriffstoken des Opfers beim Einloggen abfangen. Das gestohlene Token gewährt dem Angreifer volle Kontrolle über das Opferkonto und alle verknüpften Geräte.

Diese Ergebnisse zeigen, dass IoT-Geräte vollständig über die Cloud-Infrastruktur des Vendors kompromittiert werden können – was die Notwendigkeit traditioneller Scanning-Tools wie Shodan eliminiert. Die Bedrohung erstreckt sich auf jedes Gerät, das auf Cloud-basierte Authentifizierung vertraut.

Implikationen für IoT-Hersteller

Gerätehersteller müssen jede Software-Oberfläche absichern – Mobile Apps, Web-Interfaces und Backend-Services. Kernmaßnahmen umfassen:

• Web Application Firewall (WAF) gegen Layer-7-Angriffe einsetzen.
• Netzwerk-Layer-Verteidigungen und Phishing-Gegenmaßnahmen stärken.
• Signierte Firmware-Updates implementieren und Server-Zertifikatsvalidierung erzwingen.
• Cloud-Security-Best-Practices für Visibility, Schutz und schnelle Remediation anwenden.

Verbraucherschutz-Tipps

Beim Kauf von IoT-Geräten Sicherheit neben Preis und Komfort priorisieren:

• Vendor-Sicherheits-Track-Record recherchieren.
• Bekannte Schwachstellen in anderen Produkten desselben Unternehmens prüfen.
• Bewerten, wie schnell der Vendor auf gemeldete Issues reagiert.

Trotz wachsender IoT-Gerätezahl bleiben öffentliche Sicherheitsbewertungen rar. Eine Zukunft, in der jedes IoT-Produkt ein standardisiertes Safety-Rating erhält – analog zu Auto-Sicherheitsbewertungen – würde Verbraucher befähigen, informierte Entscheidungen zu treffen.

Autor: Fleming Shi, CTO, Barracuda Networks