DNS Rebinding: Google Home verrät, wo du wohnst

Besitzer eines Google Home oder Chromecast können von Webseiten auf wenige Meter genau lokalisiert werden. Hintergrund des Angriffs ist eine Technik namens DNS Rebinding.

Artikel veröffentlicht am , Hanno Böck
Der Lautsprecher Google Home verrät, wo man sich gerade befindet - und das jedem, der fragt.
Der Lautsprecher Google Home verrät, wo man sich gerade befindet - und das jedem, der fragt. (Bild: NDB Photos, Wikimedia Commons/CC-BY-SA 2.0)

Mangelnde Authentifizierung in Geräten von Google sorgt dafür, dass eine Webseite den Besitzer der Geräte lokalisieren kann. Mit einem DNS-Rebinding-Angriff gelang es Craig Young von der IT-Sicherheitsfirma Tripwire, die Daten aus den Geräten auszulesen. Google sah darin zunächst offenbar kein Problem. Nun soll die Lücke doch behoben werden, allerdings erst im Juli.

Stellenmarkt
  1. Softwareentwickler (m/w/d) C# / .NET
    Alarm IT Factory GmbH, Stuttgart
  2. SAP Consultant (m/w/d)* Schwerpunkt R&D
    Dr. Richter Heidelberger GmbH & Co. KG, Bodensee-Region
Detailsuche

Bei Google Home handelt es sich um einen smarten Lautsprecher, bei Chromecast um ein Streaming-Gerät. Beide Geräte werden ins lokale WLAN eingeloggt und können mit Hilfe eines Google-Accounts konfiguriert werden.

Wie Young jedoch herausfand, lassen sich im lokalen Netz über HTTP Befehle an die Geräte ohne jede Authentifizierung schicken. Ein Angreifer muss dafür nur die lokale IP-Adresse herausfinden, aber das lässt sich mit ein paar Tricks erreichen. Damit gelang es Young beispielsweise, von einer Webseite aus ein Video auf dem Chromecast und auf einem angeschlossenen Fernseher abspielen zu lassen.

DNS-Server zeigt abwechselnd auf Server und lokales Gerät

Das allein wäre zwar nervig, aber noch kein großes Sicherheitsrisiko. Doch Young gelang es auch, Daten aus den Geräten auszulesen. Dafür konfigurierte er einen DNS-Server, der einen Host zunächst auf einen vom Angreifer kontrollierten Server zeigen lässt. Von dort wird eine Seite mit Javascript-Code geladen. Anschließend wird die DNS-Konfiguration geändert und der Hostname zeigt auf die lokale IP des jeweiligen Google-Geräts.

Golem Akademie
  1. Entwicklung mit Unity auf der Microsoft HoloLens 2 Plattform: virtueller Zwei-Tage-Workshop
    7.–8. Februar 2022, Virtuell
  2. Kotlin für Java-Entwickler: virtueller Zwei-Tage-Workshop
    N.N., Virtuell
Weitere IT-Trainings

Damit laufen der Javascript-Code und das HTTP-Interface des Geräts auf demselben Host - und Daten können ausgelesen werden. Diese Angriffstechnik nennt sich DNS Rebinding.

Positionsbestimmung auf wenige Meter genau

Mit diesem Angriff lassen sich aus den Google-Geräten Geo-Koordinaten auslesen, die eine sehr genaue Bestimmung des Standortes erlauben. Dass Webseiten Geodaten von Nutzern abfragen können, ist nicht ungewöhnlich, aber wenn diese über die normale Geolocation-Funktion von Browsern abgefragt werden, muss ein Nutzer dem explizit zustimmen.

Alternativ können Webseiten versuchen, Nutzer über deren IP-Adresse zu lokalisieren. Damit kann man aber nur eine sehr grobe Positionsbestimmung - im Normalfall im Bereich einiger Kilometer - durchführen.

Die Geodaten von Geräten sind oft extrem genau, da über die Position von bekannten WLAN-Netzen der Standort bestimmt werden kann. In vielen Fällen lässt sich darüber erkennen, in welcher Wohnung sich eine Person gerade aufhält. Es ist naheliegend, dass solche Daten ein hohes Missbrauchspotenzial besitzen und nicht ohne die Zustimmung des Nutzers geteilt werden sollten.

Young meldete diese Sicherheitslücke im Mai an Googles Sicherheitsteam. Dort sah man allerdings kein Problem in diesem Verhalten. Der entsprechende Report wurde als "Won't fix" (wird nicht behoben) geschlossen. Als der Journalist Brian Krebs bei Google nachfragte, änderte man dort offenbar die Meinung. Laut Krebs will Google das Problem nun mit einem Update im Juli beheben.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


whitbread 20. Jun 2018

Meine IP-Verortung ist derzeit fast 800km ungenau :-)

whitbread 20. Jun 2018

Ich weiss nicht, ob mein DNS-Cache die TTL-Vorgabe des externen Servers übernimmt, aber...

whitbread 20. Jun 2018

Ich hatte es so verstanden, dass ein präparierter DNS-Server Teil des Systems sein muss...

LinuxMcBook 20. Jun 2018

Aber wieso bist du denn der Meinung, dass du weniger darauf vertrauen kannst, dass...

matok 20. Jun 2018

Was denn nun? Ist der Entwickler das ausführende Organ oder trifft er die...



Aktuell auf der Startseite von Golem.de
Naomi "SexyCyborg" Wu
Pappbüste einer Tech-Youtuberin ist Youtube zu anstößig

Naomi Wu wird in der Maker-Szene für ihr Fachwissen geschätzt. Youtube demonetarisiert sie aber wohl wegen ihrer Körperproportionen.

Naomi SexyCyborg Wu: Pappbüste einer Tech-Youtuberin ist Youtube zu anstößig
Artikel
  1. Akamai: Steigende Nachfrage für illegale Kopien von Filmen
    Akamai
    Steigende Nachfrage für illegale Kopien von Filmen

    Durch die vielen neuen Streaming-Dienste ist illegales Filesharing wieder stark im Kommen.

  2. VDSL-Mietpreiserhöhung: Sie investieren nicht in Netzausbau, aber beschweren sich
    VDSL-Mietpreiserhöhung
    "Sie investieren nicht in Netzausbau, aber beschweren sich"

    Die Deutsche Telekom hat die Kritiken von 1&1, Vodafone und Telefónica erwartet.

  3. Coronapandemie: 42,6 Millionen mehr digitale Impfzertifikate als Impfdosen
    Coronapandemie
    42,6 Millionen mehr digitale Impfzertifikate als Impfdosen

    Einem Medienbericht zufolge gibt es eine Lücke zwischen ausgestellten Impfnachweisen und verabreichten Dosen. Diese wird sogar noch größer.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • RX 6900 XTU 16GB 1.449€ • Intel i7 3,6Ghz 399€ • Alternate: u.a. Acer Gaming-Monitor 119,90€ • Logitech Gaming-Headset 75€ • iRobot Saugroboter ab 289,99€ • 1TB SSD PCIe 4.0 128,07€ • Razer Gaming-Tastatur 155€ • GOG New Year Sale: bis zu 90% Rabatt • LG OLED 65 Zoll 1.599€ [Werbung]
    •  /