Abo
  • Services:

Schwachstellen in der Firmware

Die Komponenten für vernetzte Geräte sollen möglichst günstig sein. In Serie von einem einzigen Hersteller fabriziert, werden sie in Tausenden oder sogar Millionen von Geräten eingesetzt. Und sie müssen mit entsprechender Firmware ausgestattet werden. Das jüngste Beispiel BadUSB hat gezeigt, wie wenige Hersteller solche Chips vor dem Aufspielen manipulierter Firmware schützen. Eine ausreichende Sicherheitsimplementierung fehlt oftmals, wie auch das Beispiel der Wemo-Geräte von Belkin zeigte.

Stellenmarkt
  1. embitel GmbH, Stuttgart
  2. Bosch Gruppe, Dresden

Im Januar 2014 gab es ein Firmware-Update, das "SSL-Verschlüsselung und eine Verifizierung zu der Infrastruktur für Firmware-Updates hinzufügte." Dabei wurde der zuvor auf den Geräten gespeicherte Schlüssel überflüssig, wie das Unternehmen schreibt. Offenbar war dieser wichtige Schlüssel zuvor in der Firmware abgelegt worden und konnte einfach über die serielle Schnittstelle ausgelesen werden, die Belkin ebenfalls mit dem Update mit einer Passwortabfrage absicherte. Das Problem ist oftmals, dass solche Schlüssel nicht nur für ein Gerät vergeben, sondern für eine gesamte Infrastruktur genutzt werden. Ein Angreifer hätte also einen solchen Schlüssel nur auf einem Gerät auslesen können und so Tausende andere manipulieren können.

Auslesbare Passwörter und offene Telnet-Zugänge

Dass Hersteller nicht immer die Firmware überprüfen, die ihnen zur Verfügung gestellt wird oder selbst Fehler dort einbauen, zeigten vier Forscher von der französischen Universität Institut Eurécom auf. In etwa 101.000 Geräten hatten sie nach eigenen Angaben SSH-Schlüssel und Zugangsdaten für Administratoren entdeckt. In weiteren 2.000 fanden sie hartcodierte Telnet-Zugänge. In 681 unterschiedlichen Firmware-Dateien von 27 Herstellern haben die Forscher in den Verzeichnissen /etc/passwd und /etc/shadow eindeutige Passwort-Hashes entdeckt, von denen sie 58 Passwörter auslesen konnten. Bei einigen habe es gar kein Passwort gegeben, bei anderen habe es sich um einfache Passwörter wie "pass", "logout" oder "helpme" gehandelt.

Auch die Forscher kommen zu dem Schluss, dass viele der Schwachstellen beispielsweise eine gemeinsame Quelle haben, etwa einen Fehler in der SDK oder in anderen Werkzeugen von Softwareherstellern, die ihre Produkte dann unter einem anderen Namen an weitere Hardwarehersteller lizenzieren. Sie entdeckten den gleichen Fehler in völlig verschiedenen Überwachungskameras, deren Firmware in leicht veränderter Form von einem einzigen Unternehmen erstellt wurde. Angreifer hingegen könnten aufgrund eines einzigen gefundenen Fehlers mehrere Geräte angreifen, resümieren die Forscher.

 Es könnte Tote gebenRouter sind die Tore zum Smarthome 
  1.  
  2. 1
  3. 2
  4. 3
  5. 4
  6. 5
  7. 6
  8. 7
  9.  


Anzeige
Hardware-Angebote
  1. 23,99€
  2. (reduzierte Überstände, Restposten & Co.)

Leichse 09. Jan 2015

Also, ich kann 30 Sekunden, nachdem ich den Topf runterziehe auf meine Herdplatte...

baz 21. Dez 2014

APPs gibt es wie Sand am Meer, da wirst du immer eine passende finden. Ich persönlich...

Donnergurgler 18. Dez 2014

Denkt man mal an körperlich beeinträchtigte Menschen, die froh sind, wenn sie alles...

Garius 16. Dez 2014

Dein Post wiederum zeigt mal wieder wunderbar, wie wenig die Leute in der Lage sind...

baz 16. Dez 2014

Dummerweiße wohne ich in einer Wohnung. Sprich sie wäre bloß in das Treppenhaus gekommen...


Folgen Sie uns
       


Acer Spin 13 - Fazit

Das Spin 13 von Acer ist ein hochwertig verarbeitetes, gut ausgestattetes Chromebook. Nach dem Test fragen wir uns aber, ob wir wirklich mindestens 900 Euro für ein Notebook mit Chrome OS ausgeben wollen.

Acer Spin 13 - Fazit Video aufrufen
EU-Urheberrecht: Die verdorbene Reform
EU-Urheberrecht
Die verdorbene Reform

Mit dem Verhandlungsergebnis zur EU-Urheberrechtsrichtlinie ist eigentlich niemand zufrieden. Die Einführung von Leistungsschutzrecht und Uploadfiltern sollte daher komplett gestoppt werden.
Ein IMHO von Friedhelm Greis

  1. Uploadfilter Fast 5 Millionen Unterschriften gegen Urheberrechtsreform
  2. Uploadfilter EU-Kommission bezeichnet Reformkritiker als "Mob"
  3. Leistungsschutzrecht und Uploadfilter EU-Unterhändler einigen sich auf Urheberrechtsreform

Carsharing: Regierung will Mobilitätsdienste per Gesetz stärken
Carsharing
Regierung will Mobilitätsdienste per Gesetz stärken

Die digitalen Plattformen für Carsharing und Carpooling sollen Rechtssicherheit bekommen. BMW, Daimler und VW sowie Uber & Co. stehen in den Startlöchern.
Ein Bericht von Daniel Delhaes und Markus Fasse

  1. Lobbyregister EU-Parlament verordnet sich mehr Transparenz
  2. Contract for the web Bundesregierung unterstützt Rechtsanspruch auf Internet
  3. Initiative D21 E-Government-Nutzung in Deutschland ist rückläufig

Far Cry New Dawn im Test: Die Apokalypse ist chaotisch, spaßig und hat Pay to Win
Far Cry New Dawn im Test
Die Apokalypse ist chaotisch, spaßig und hat Pay to Win

Grizzly frisst Bandit, Buggy rammt Grizzly: Far Cry New Dawn zeigt eine wunderbar chaotische Postapokalypse, die gerade bei der Geschichte und dem Schwierigkeitsgrad viel besser macht als der Vorgänger. Schade, dass die bunte Welt von Mikrotransaktionen getrübt wird.
Ein Test von Oliver Nickel

  1. Far Cry New Dawn angespielt Das gleiche Chaos im neuen Gewand
  2. New Dawn Ubisoft setzt Far Cry 5 postapokalyptisch fort

    •  /