• IT-Karriere:
  • Services:

Shodan: Die Suchmaschine für das Netz der Dinge

Wie viel Toner benötigen US-Universitäten, welche Windkraftanlagen laufen gerade und welche Autokennzeichen werden gerade in New Orleans erfasst? John Matherly berichtet, wie freigiebig das Internet der Dinge mit Informationen umgeht.

Artikel veröffentlicht am , Hanno Böck
Gescannte Nummernschilder von automatischen Kameras - ungeschützt im Netz abrufbar
Gescannte Nummernschilder von automatischen Kameras - ungeschützt im Netz abrufbar (Bild: John Matherly)

Die Webseite Shodan wurde schon als gefährlichste Suchmaschine der Welt, aber auch als die Suchmaschine im Internet der Dinge bezeichnet. John Matherly betreibt den Service, der systematisch öffentlich zugängliche Informationen über alle per IPv4 am Internet angeschlossenen Geräte anzeigt. Auf der Hack-in-the-Box-Konferenz berichtete Matherly anhand von vielen Beispielen, was sich aus diesen Daten alles herauslesen lässt.

Stellenmarkt
  1. Delta Energy Systems (Germany) GmbH, Soest
  2. Software AG, Darmstadt, Saarbrücken

Das komplette Scannen des Internets im IPv4-Adressraum ist inzwischen verbreitet. Es gab schon eine ganze Reihe von Forschungsprojekten, die sich damit beschäftigt haben. Programme wie ZMap oder masscan erlauben es, innerhalb von Stunden den gesamten IPv4-Addressraum zu scannen. Matherly hat in der Vergangenheit beispielsweise Statistiken über die Verbreitung von Bugs wie Heartbleed erstellt oder die Command-and-Control-Server von Malware verfolgt. Doch in seinem Vortrag berichtete Matherly vor allem über das Internet der Dinge.

Die Universität von Minnesota benötigt frischen Toner

Während Betreiber gewöhnlicher Server üblicherweise versuchen, möglichst wenig Informationen über das System preiszugeben, ist das bei vielen anderen am Netz hängenden Geräten anders. Oft ist es ohne jede Authentifizierung möglich, detaillierte Informationen auszulesen. So gelang es Matherly beispielsweise, eine Statistik über am Netz hängende Drucker von Universitäten zu erstellen, die alle freigiebig preisgaben, ob sie gerade frischen Toner benötigen. Die Universität von Minnesota benötigte demnach besonders dringend neue Tonerkartuschen.

Oft ist laut Matherly anhand der IP-Adresse nicht erkennbar, wo sich ein Gerät befindet und wer dafür zuständig ist. So finden sich etwa Interfaces von Windkraftanlagen häufig im Netz, sie hängen aber in der Regel an gewöhnlichen mobilen Internetanschlüssen von großen Providern. Im Fall von Sicherheitslücken ist es da nur schwer möglich, die Betreiber überhaupt zu informieren.

An seinem Fernseher bemerkte Shodan ein offenes Telnet-Interface. Als Matherly dies dem Hersteller mitteilte, erfuhr er, dass dies ein Debug-Interface eines Yahoo-Entwicklerkits war, das eigentlich vor der Veröffentlichung der Fernseher-Firmware hätte abgeschaltet werden sollen.

120 offene Ports bei Western Digital

Überschüssige offene Ports sind kein Einzelfall. Matherly zeigte eine Statistik über Geräte nach Herstellern sortiert. Im Schnitt hatten diese etwa zehn Ports offen. Ein besonderer Ausreißer nach oben waren Geräte von Western Digital, dort waren über 120 Ports offen, darunter 3 Memcache-Instanzen, 13 VNC-Interfaces und 38 Telnet-Interfaces. Auch ein TLS-geschützter Port mit Heartbleed-Bug fand sich bei den Western-Digital-Geräten.

Die Liste an Sicherheitsproblemen ist schier endlos: Kühlschränke, die Spam verschicken, Fernseher, die ihre Nutzer belauschen, Billboards, bei denen jeder ohne Authentifizierung JPEG-Bilder hochladen kann, oder Geräte wie der Wink Hub, eine Steuerungseinrichtung für Heimautomatik, der nach einem fehlerhaften automatischen Firmware-Update schlicht nicht mehr startete.

Erfassung von Nummernschildern öffentlich

Besonders die Privatsphäre der Nutzer ist laut Matherly durch die Masse an neuen Internetgeräten bedroht. An einem besonders drastischen Beispiel machte er das deutlich: ein Gerät zur Erfassung von Nummernschildern von Autos. Matherly fand etwa 100 Installationen dieses Geräts, das ohne Authentifizierung JPEG-Bilder aller erfassten Fahrzeuge ins Netz streamte. Die gescannten Nummernschilder wurden gleich mitgeliefert. Die meisten Geräte waren in New Orleans installiert.

Matherly erfasste die Bilder über den Zeitraum mehrerer Tage und konnte dabei mehr als 60.000 Nummernschilder erfassen. Dass derartige Daten auch kommerziell interessant sind, zeigte Matherly anhand eines Anbieters namens Vigilant Solutions, der ähnlich wie Google Street View Kamerafahrzeuge durch Städte fahren lässt und dabei die Nummernschilder von Fahrzeugen erfasst und die entsprechenden Daten verkauft.

Ansätze für mehr IT-Sicherheit im Internet der Dinge gibt es zwar, sie wirken aber eher bescheiden. Eine Webseite mit dem Namen BuildItSecure.ly, initiiert von einigen Geräteherstellern, will die Branche mit Sicherheitsforschern zusammenbringen. Die Idee: Forscher könnten vorab kostenlos Geräte erhalten und sie untersuchen. Von Bezahlung ist dort nicht die Rede. Matherly bezweifelt daher, dass das für die Sicherheitsforscher ein guter Deal ist. Zu einem sicheren Internet der Dinge ist es wohl noch ein weiter Weg.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote
  1. (u. a. Xbox Wireless Controller Robot White für 59,99€)

Bachsau 23. Aug 2015

Das wird erst besser, wenn man die Knöpfe auch wirklich drückt. Aus Schaden werden sie...

Bachsau 23. Aug 2015

Hatte Besuch vom einem von denen über IPv6.

FreiGeistler 02. Jun 2015

Shodan hat auch Plugins für obengenannte Browser, mit denen man sich sämtliche verfügbare...

hab (Golem.de) 01. Jun 2015

Blöder Fehler, danke für den Hinweis, ist korrigiert.

Dwalinn 01. Jun 2015

Es wäre schlimm wenn es dir egal wäre. Das du dich darüber nicht mehr wunderst ist...


Folgen Sie uns
       


Die Tesla-Baustelle von oben (Januar-November 2020)

Wir haben den Fortschritt in Grünheide dokumentiert.

Die Tesla-Baustelle von oben (Januar-November 2020) Video aufrufen
Arbeitsschutzverordnung: Corona macht Homeoffice für Bildschirmarbeiter zur Regel
Arbeitsschutzverordnung
Corona macht Homeoffice für Bildschirmarbeiter zur Regel

Das Bundesarbeitsministerium hat eine Verordnung erlassen, die pandemiebedingt Homeoffice für viele Arbeitnehmer zur Folge haben soll.

  1. Corona Beamtenbund fordert klare Regeln für Telearbeit
  2. Homeoffice in der Coronapandemie Ministerien setzen auf Wechselmodelle
  3. Homeoffice FDP fordert klare Regeln für mobiles Arbeiten

Data-Mining: Wertvolle Informationen aus Datenhaufen ziehen
Data-Mining
Wertvolle Informationen aus Datenhaufen ziehen

Betreiber von Onlineshops wollen wissen, was sich verkauft und was nicht. Mit Data-Mining lassen sich aus den gesammelten Daten über Kunden solche und andere nützliche Informationen ziehen. Es birgt aber auch Risiken.
Von Boris Mayer


    Elektromobilität: Diese E-Autos kommen 2021 auf den Markt
    Elektromobilität
    Diese E-Autos kommen 2021 auf den Markt

    2020 war ein erfolgreiches Jahr für die Elektromobilität. Dieser Trend wird sich fortsetzen: ein Überblick über die Neuerscheinungen 2021.
    Ein Bericht von Dirk Kunde

    1. Prototyp vorgestellt VW-Laderoboter im R2D2-Style kommt zum Auto
    2. E-Auto VDA-Chefin fordert schnelleren Ausbau von Ladesäulen
    3. Dorfauto im Hunsrück Verkehrswende geht auch auf dem Land

      •  /