Abo
  • Services:
Anzeige
Wer eine Lifx-Lampe einsetzt, sollte das Sicherheitsupdate installieren.
Wer eine Lifx-Lampe einsetzt, sollte das Sicherheitsupdate installieren. (Bild: Lifx)

Sicherheitslücke: Lifx-LED-Lampe verrät WLAN-Passwort

Sicherheitsexperten haben erfolgreich eine LED-Lampe mit WLAN-Mesh-Funktion angegriffen. Der Weg ist zwar recht aufwendig, könnte aber die Vorlage für weitere Forschung sein, denn im drahtlosen Smarthome gibt es zahlreiche neue Geräte mit potenziellen Sicherheitslücken.

Anzeige

In den Lifx-LED-Lampen befindet sich eine Sicherheitslücke, die das Passwort des eigenen WLANs preisgibt, wenn sie ausgenutzt wird. Das fanden die Sicherheitsforscher von Context Information Security bei Experimenten mit den Lampen heraus.

Bei den Lifx-LED-Lampen handelt es sich um Leuchtmittel, die dem Smarthome zugeordnet werden können. Sie werden per App gesteuert und können in ihrer Lichtfarbe angepasst werden. Zudem besitzen die Lampen die Fähigkeit, ein WLAN-Mesh-Netzwerk aufzubauen. Dazu muss nur eine Lampe Kontakt mit der Außenwelt haben. Die Lampen untereinander sorgen dafür, dass das WLAN-Netzwerk weiterhin aktiv bleibt - ganz ohne Controller. Das deutete auf eine Designschwäche hin, die Context untersuchen wollte, denn die Lampen müssen untereinander das WLAN-Passwort austauschen.

Da es zum Zeitpunkt des Hacks an der Lampe noch kein herunterladbares Firmware-Image gab, behalfen sich die Forscher anderweitig. Sie extrahierten die Firmware mit Hilfe der JTAG-Pins direkt vom kleinen Mainboard der Lampe. Die Firmware war essentiell für die Untersuchung der Lampen, da die Lampen untereinander verschlüsselt kommunizieren.

Im Laufe des Reverse Engineering fanden sie heraus, dass die Verschlüsselung zwischen den Lampen zwar AES-gesichert ist, der globale Schlüssel zur Entschlüsselung sich jedoch in allen Lampen befindet. Den Algorithmus konnten die Forscher eigenen Angaben zufolge vergleichsweise einfach aus der Firmware extrahieren. Dasselbe galt für den Schlüssel.

Mit Hilfe dieser Informationen waren dann alle Lampen anfällig für einen Angriff auf das Mesh-Netzwerk. Mit Hilfe von manipulierten WLAN-Paketen konnten die Forscher den Lampen den WLAN-Schlüssel entlocken, der für das Mesh-Netzwerk an andere Lampen verteilt wurde. Die App wurde dabei nicht von den Lampen benachrichtigt, dass sich eine vermeintlich neue Lampe im Mesh-Netzwerk anmeldete, um den WLAN-Code zu bekommen.

Die Lifx-Lampen werden hierzulande nur von wenigen Händlern verkauft. Wer ein derartiges Leuchtmittel im Einsatz hat, sollte die aktuelle Firmware 1.3 in seine Lampen einspielen. Diese steht unter http://updates.lifx.co/ bereit, da die Sicherheitsforscher sich für Responsible Disclosure entschieden haben. Der Hersteller wurde über die Entdeckung der Sicherheitslücke vorab informiert.


eye home zur Startseite
fbfb 08. Jul 2014

Wenn es einen Key für alle Geräte weltweit gibt, ist das sehr wohl ein Problem. Eine...

nille02 08. Jul 2014

Nicht wollen stimmt nicht, es ist nur extrem nervig. Dabei kann ich schon einige...



Anzeige

Stellenmarkt
  1. thyssenkrupp AG, Essen
  2. eQ-3 Entwicklung GmbH, Leer
  3. Audicon GmbH, Düsseldorf
  4. Software AG, verschiedene Standorte


Anzeige
Blu-ray-Angebote
  1. 29,99€ (Vorbesteller-Preisgarantie)
  2. (u. a. Reign, Person of Interest, Gossip Girl, The Clone Wars)
  3. (u. a. Hobbit Trilogie Blu-ray 43,89€ und Batman Dark Knight Trilogy Blu-ray 17,99€)

Folgen Sie uns
       


  1. Cobot

    Der Roboter wird zum Kollegen

  2. Mimimi

    Entwicklerverband kritisiert Deutschen Computerspielpreis

  3. Sprachassistent

    Google stellt SDK für Assistant vor

  4. Anker Powercore+ 26800 PD

    Akkupack liefert Strom per Power Delivery über USB Typ C

  5. Electronic Arts

    "Alle unsere Studios haben VR-Programmiermöglichkeiten"

  6. Bluetooth-Kopfhörer

    Bose will Opt-out aus Datenspeicherung anbieten

  7. Handheld

    New Nintendo 2DS XL vorgestellt

  8. Apple

    Preiserhöhung für europäischen App Store verordnet

  9. Airbus A350-1000XWB

    Ein Blick ins Innere eines Testflugzeugs

  10. Amazon

    Echo-Lautsprecher mit Bildschirm soll im Mai kommen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Quantencomputer: Alleskönner mit Grenzen
Quantencomputer
Alleskönner mit Grenzen

Spielebranche: "Ungefähr jetzt ist der Prinzessin-Leia-Moment"
Spielebranche
"Ungefähr jetzt ist der Prinzessin-Leia-Moment"
  1. id Software Nächste id Tech setzt massiv auf FP16-Berechnungen
  2. Spielentwickler Männlich, 34 Jahre alt und unterbezahlt
  3. Let's Player Auf Youtube verkauft auch die Trashnight Spiele

DLR-Projekt Eden ISS: Das Paradies ist ein Container
DLR-Projekt Eden ISS
Das Paradies ist ein Container
  1. Weltraumschrott "Der neue Aspekt sind die Megakonstellationen"
  2. Transport Der Güterzug der Zukunft ist ein schneller Roboter
  3. "Die Astronautin" Ich habe heute leider keinen Flug ins All für dich

  1. Re: Office 365 ist NICHT "Die Onlineversion von...

    Gerier | 12:13

  2. Re: Schon lustig

    hum4n0id3 | 12:13

  3. Du meinst Akku-Auto...

    Berner Rösti | 12:12

  4. Ein Roboter ist eine Maschine und damit kein Kollege

    Netzweltler | 12:09

  5. Re: Kann ich noch Dinge kaufen die mich nicht...

    neocron | 12:09


  1. 12:01

  2. 11:53

  3. 11:42

  4. 11:32

  5. 11:21

  6. 11:04

  7. 10:27

  8. 10:12


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel