Hacker könnten Staubsauger-Roboter zur Spionage nutzen
Informatiker der TU Darmstadt haben festgestellt, dass die Software von Staubsauger-Robotern nicht immer ausreichend geschützt ist. Hacker könnten sie knacken und die Geräte fernsteuern oder über sie Daten aus dem Haushalt sammeln.
Bei der Sicherheitsanalyse an der TU Darmstadt hat der Staubsauger-Roboter von Tesvor schlechte Noten erhalten.
Foto: Markus Miettinen / System Security Lab
Das Internet der Dinge (Internet of Things – IoT) macht das Leben in vielerlei Hinsicht leichter. Geräte arbeiten nicht nur autonom, sie verbinden sich auch miteinander und sammeln Informationen, die ihre Effektivität erhöhen. Gleichzeitig ist es in vielen Fällen möglich, Heizung, Kühlschrank, Staubsauger & Co. aus der Ferne anzusteuern. Dem Komfort steht allerdings ein Risiko gegenüber, über das sich viele Verbraucher gar nicht im Klaren sind: Nicht immer ist die Technik ausreichend gegen Angriffe von Hackern geschützt. Das haben jetzt Wissenschaftler der TU Darmstadt gezeigt. Beim Staubsauger-Roboter Tesvor X500 haben sie eine Schwachstelle in der Software entdeckt. Nach Aussage der Forscher wäre es dadurch sogar möglich, die Geräte fernzusteuern und Informationen, etwa über den Grundriss der Wohnung, abzurufen.
Fernsteuerung für Staubsauger-Roboter: Komfortabel und gefährlich
Staubsauger-Roboter sollen eigentlich nur Staub saugen. Die Technologie hat sich aber in den letzten Jahren erheblich weiterentwickelt. Bei den ersten Modellen war es noch ein typischer Anblick, dass sie so lange gegen dasselbe Tischbein fuhren, bis der Akku leer war. Heute verfügen die meisten Staubsauger-Roboter über eine ausgefeilte Technik mit zahlreichen Funktionen, die ihre Arbeit besonders effizient gestalten sollen. Zur Ausstattung gehören beispielsweise oftmals verschiedene Sensoren sowie eine integrierte Kamera. Beides nutzen die Roboter, um Daten über die Wohnung zu sammeln. Mit diesem virtuellen Grundriss können sie sich besser durch die Räume bewegen – ohne versehentlich einen Bereich doppelt zu reinigen.
Das klingt sinnvoll und ist besonders komfortabel, wenn der Nutzer die Funktionen aus der Ferne in Gang setzen kann. Spontan hat sich Besuch angesagt? Dann tippt der Besitzer des Staubsauger-Roboters einfach auf seine Smartphone-App und lässt zu Hause noch mal eben schnell durchsaugen. Genau diese Fähigkeit bietet Hackern aber unter Umständen eine große Angriffsfläche. Den Sicherheitsforschern der TU Darmstadt ist es bei mehreren Staubsauger-Robotern gelungen, Sicherheitslücken zu entlarven. Unter anderem spielten sie bei einem Modell der Firma Mi Robot ein schädliches Update auf. Dem Staubsauger-Roboter Tesvor X500 könnten Hacker gemäß der Testreihe der Forscher sogar den kompletten Grundriss der Wohnung entlocken. Außerdem wird der Status des Gerätes für sie sichtbar. Da die meisten Verbraucher einen Staubsauger-Roboter seine Arbeit machen lassen, wenn sie selbst nicht zu Hause ist, ist diese Information sehr sensibel.
Adresscode ist zu leicht zu knacken
Tesvor X500 gehört mit einem Preis von knapp 200 Euro zum unteren Preissegment und kann problemlos online bestellt werden. Allerdings beschränkt sich die vorhandene Sicherheitslücke nicht auf dieses Modell, sondern bezieht sich nach Angabe der Wissenschaftler auf alle Saug- und Wischroboter dieses Herstellers.
Ein Hacker braucht demnach nicht mehr als die sogenannte MAC-Adresse, um das Gerät fernzusteuern und Daten abzurufen. Bei der MAC-Adresse handelt es sich um lange Zahlenfolge, über die sich ein elektronisches Gerät eindeutig identifizieren lässt. Für einen potenzielle Angreifer ist es dabei kein Problem, die MAC-Adresse zu knacken. Er muss lediglich verschiedene Nummernfolgen aus dem Adressbereich des Herstellers ausprobieren. Eine entsprechende Software spielt die Varianten sogar automatisch durch.
Zertifikat fehlt bei der Auslieferung
Als Backend nutzt der Staubsauger-Roboter von Tesvor „Amazon Web Services (AWS) Internet of Things (IoT)“. Mit dieser App kann der Nutzer das Gerät steuern. Als Authentifikation reicht jedoch die MAC-Adresse aus. Weitere Sicherheitsmaßnahmen wie eine Zugriffsbeschränkung sind nicht installiert. Entsprechend einfach sei es für einen Hacker, den Code zu knacken.
Ein weiteres Sicherheitsproblem komme hinzu. Normalerweise benutzt die App AWS IoT Zertifikate des Herstellers. Sie werden benötigt um, Authentizität und Vertraulichkeit in der Kommunikation zwischen Gerät und Cloud sicherzustellen. Wird das Gerät mit einem individuellen Zertifikat ausgeliefert, kann es dementsprechend schon bei der Einrichtung eine geschützte Verbindung aufbauen. Das sei bei Tesvor aber nicht der Fall. Die Roboter gelangen ohne Zertifikat zum Kunden und rufen es bei der erstmaligen Aktivierung vom Server des Herstellers ab. Das ermöglicht eine sogenannte Man-in-the-Middle-Attacke. Dabei wird das Zertifikat, vereinfacht gesagt, von einem Mithörer zwischen Roboter und Server abgefangen.
Die Wissenschaftler haben das Unternehmen auf die Sicherheitsprobleme hingewiesen. Nach eigener Aussage aber bislang noch keine Antwort erhalten.
Mehr Beiträge zum Thema IT-Sicherheit:
Ein Beitrag von:
