[NewsBot]

Hier geht es zur originalen News: Es werde Licht, oder doch nicht? im Blog

Es werde Licht, sprach der Forscher und so sollte es sein. Forscher aus Kanada und Israel haben eine fehlerhafte ZigBee-Implementierung aufgedeckt. Was bedeutet dies und was ist daran so besonders? Der Begriff Internet der Dinge, kurz (IdD bzw. englisch: IoT), ist in aller Munde. Apple hat mit iHome eine eigene Schnittstelle zu derartigen Komponenten in iOS implementiert.

Auszug aus Wikipedia: "Internet der Dinge"

Der Begriff Internet der Dinge (IdD) (auch: "Allesnetz"; englisch Internet of Things, Kurzform: IoT) beschreibt, dass der (Personal) Computer zunehmend als Gerät verschwindet und durch „intelligente Gegenstände“ ersetzt wird. Statt – wie derzeit – selbst Gegenstand der menschlichen Aufmerksamkeit zu sein, soll das „Internet der Dinge“ den Menschen bei seinen Tätigkeiten unmerklich unterstützen. Die immer kleineren eingebetteten Computer sollen Menschen unterstützen, ohne abzulenken oder überhaupt aufzufallen.

Doch birgt der Einsatz kleiner Mini-Computer nicht auf Gefahren? Gerade wenn man sich das Thema Sicherheit anschaut, kommen sicher einige Rückfragen auf. Wer hat Zugriff auf die Komponenten, sind diese Komponenten gegen Zugriff von Dritten geschützt?





Wir Alle haben sicherlich in einigen Filmen und TV-Serien erlebt, dass Dritte z.B. Thermostate und/oder die Steuerung dieser Mini-Computer übernehmen können, sind diese Annahmen Fiktion oder Wirklichkeit? Fragen über Fragen, doch einige davon können jetzt beantwortet werden.

Auszug aus Wikipedia: "ZigBee"

ZigBee ist eine Spezifikation für drahtlose Netzwerke mit geringem Datenaufkommen, wie z. B. Hausautomation, Sensornetzwerke, Lichttechnik. Der Schwerpunkt von ZigBee liegt in kurzreichweitigen Netzwerken (10 bis 100 Meter). Es sind aber auch Reichweiten von mehreren Kilometern möglich. Die ZigBee Spezifikation erweitert den IEEE 802.15.4-Standard um eine Netzwerk- und Anwendungsschicht. Die Spezifikation ist eine Entwicklung der ZigBee-Allianz, die Ende 2002 gegründet wurde. Sie ist ein Zusammenschluss von derzeit mehr als 230 Unternehmen, welche die weltweite Entwicklung dieser Technologie vorantreiben. 2004 kam die erste ZigBee-Spezifikation auf den Markt. Die mittlerweile unter dem Namen ZigBee 2004 bekannte Version gilt als veraltet und wurde 2006 von einer komplett überarbeiteten Version abgelöst. 2007 ist eine weitere leicht erweiterte Version der ZigBee Spezifikation erschienen. Z. B. wird in dieser Version die Fragmentierung von Paketen unterstützt. Seither sind nur kleine Änderungen und Veränderungen in der Spezifikation vorgenommen worden.

Eine Forschergruppe hat jetzt einen ZigBee-Wurm entwickelt, der in der Lage ist, auf Glühbirnen der Marke Philips zuzugreifen und sich von Lampe zu Lampe selbst zu verbreiten. Der Wurm lässt unter Anderem das Licht flackern und kann die Lampe vollständig zerstören. Eine Infizierung wurde sogar per Drohne und per vorbeifahrendem Auto (Entfernung ca. 150 Meter) durchgeführt. Die restliche Verbreitung innerhalb des Netzwerks erfolgt dann selbständig. Da auch hier ein Fehler in der Prüfung der Signalstärke (über die Distanz zum Empfänger) vorliegt, konnten beliebige Birnen in das Netzwerk aufgenommen und infiziert werden. Eigentlich ist angedacht, dass man eine neue Birne in einer Entfernung von 40cm - 1 Meter in das eigenen Kontrollnetz aufnehmen muss und man somit nicht einfach Birnen aus der Nachbarschaft übernehmen kann.

Die Infizierung ist durch zwei getrennte Sicherheitslücken der Firmware in den Hue-Birnen von Philips möglich. Eine der Lücken ist auf das Funkprotokoll zurückzuführen, welches es dem Angreifer ermöglicht, die bösartige Firmware mit einem Schlüssel von Philips zu unterschreiben und somit die Firmware auf die Birne hochzuladen. Der Schlüssel wurde durch eine Seitenkanalattacke aus der ursprünglichen Firmware herausgelöst.

Die Forscher gaben an, dass es auch weitere Möglichkeiten gibt, die Glühbirnen zu missbrauchen. So ist z.B. davon die Rede, die Birnen als Störsender für WLAN Netze, oder gar für die Übertragung von Daten zu nutzen.

Doch es gibt Entwarnung - Philips hatte im Oktober, durch ein Sicherheitsupdate, die Lücke bereits geschlossen. Dennoch waren von Juli - Oktober die Birnen einem möglichen Angriff ausgesetzt.

Was denkt Ihr darüber?

[access]

War klar, jetzt wo das Zeug langsam ins Rollen kommt, wird es für Hacker interessant. Da lobe ich mir doch den guten alten Schalter an der Wand...

[Slicendice]

Klar, dass so Systeme angreifbarer sind.
Wundern tut es mich nicht.

Ich möchte trotzdem nicht auf mein Hue verzichten. Ist schon sehr praktisch und nützlich alle Lampen gleichzeitig zu dimmen und die Stimmung zu ändern, je nachdem ob man ein Buch liest oder vor dem TV sitzt mit einer dezenten Hintergrundbeleuchtung.

Oder morgens im Schlafzimmer ab 05:50 Uhr das Licht immer heller werden zu lassen als "Lichtwecker" und so - für mein Empfinden - sehr angenehm geweckt zu werden

[JarvisRoot]

Keine Frage, der Mehrwert und die Unterstützung im Alltag (einiger Themen sowie künftiger Themen) ist sicherlich enorm, gerade deshalb sollte und muss man hier auf Sicherheit achten. Die Produkte und Mini-PCs werden fester Bestandteil und somit zum täglichen Nutzen herangezogen. Eine Lampe blinken zu lassen ist ein Thema, Zugriff auf Microfone, Thermostate und gar Türen/Fenster sowie auf die Heizanlage, usw... wäre eine ganz andere Thematik.

[LukeLR]

Naja, "hacken" kann man das nicht nennen. Phillips hat es einfach verdammt dämlich gelöst: Es gibt ein Standardpasswort, was verwendet wird, um die Glühbirne erstmalig in das Netzwerk aufzunehmen. Dieses Standard-Passwort ist aber für alle Birnen gleich, es ist nicht so, dass das irgendwie auf der Verpackung steht und man das irgendwo eingeben muss. Also wenn ich mit nem Gerät rumfliege was dieses Standardpasswort herumfunkt, dann denken sich alle Birnen: "Au geil, ne neue Basisstation, ich verbinde mich gleich mal", und schon hat der Angreifer vollen Zugriff. Ist schon irgendwie peinlich, das so etwas 2016 noch vorkommt.

Es hätte gereicht, wenn Phillips zufällige Passwörter verwendet hätte, aber sie haben sich einfach keine Mühe gegeben. Wenn man es gut macht, sind solche Systeme nicht angreifbar, und es ist auch nicht schwer, es gut zu machen ^^ (Beispiel heimisches WLAN-Netz, das ist auch nicht angreifbar, sofern man WPA2 verwendet - es ist also ohne viel Aufwand möglich)

[snowman78]

Und wie sieht es aktuell aus? Habe mir auch ein HUE-Starter-Set der 3. Generation bestellt...muss ich mir jetzt Sorgen machen, was die Sicherheit meines Heimnetz angeht?


Sent by  iPhone 7