Abo
  • Services:
Anzeige
Wer eine Lifx-Lampe einsetzt, sollte das Sicherheitsupdate installieren.
Wer eine Lifx-Lampe einsetzt, sollte das Sicherheitsupdate installieren. (Bild: Lifx)

Sicherheitslücke: Lifx-LED-Lampe verrät WLAN-Passwort

Sicherheitsexperten haben erfolgreich eine LED-Lampe mit WLAN-Mesh-Funktion angegriffen. Der Weg ist zwar recht aufwendig, könnte aber die Vorlage für weitere Forschung sein, denn im drahtlosen Smarthome gibt es zahlreiche neue Geräte mit potenziellen Sicherheitslücken.

Anzeige

In den Lifx-LED-Lampen befindet sich eine Sicherheitslücke, die das Passwort des eigenen WLANs preisgibt, wenn sie ausgenutzt wird. Das fanden die Sicherheitsforscher von Context Information Security bei Experimenten mit den Lampen heraus.

Bei den Lifx-LED-Lampen handelt es sich um Leuchtmittel, die dem Smarthome zugeordnet werden können. Sie werden per App gesteuert und können in ihrer Lichtfarbe angepasst werden. Zudem besitzen die Lampen die Fähigkeit, ein WLAN-Mesh-Netzwerk aufzubauen. Dazu muss nur eine Lampe Kontakt mit der Außenwelt haben. Die Lampen untereinander sorgen dafür, dass das WLAN-Netzwerk weiterhin aktiv bleibt - ganz ohne Controller. Das deutete auf eine Designschwäche hin, die Context untersuchen wollte, denn die Lampen müssen untereinander das WLAN-Passwort austauschen.

Da es zum Zeitpunkt des Hacks an der Lampe noch kein herunterladbares Firmware-Image gab, behalfen sich die Forscher anderweitig. Sie extrahierten die Firmware mit Hilfe der JTAG-Pins direkt vom kleinen Mainboard der Lampe. Die Firmware war essentiell für die Untersuchung der Lampen, da die Lampen untereinander verschlüsselt kommunizieren.

Im Laufe des Reverse Engineering fanden sie heraus, dass die Verschlüsselung zwischen den Lampen zwar AES-gesichert ist, der globale Schlüssel zur Entschlüsselung sich jedoch in allen Lampen befindet. Den Algorithmus konnten die Forscher eigenen Angaben zufolge vergleichsweise einfach aus der Firmware extrahieren. Dasselbe galt für den Schlüssel.

Mit Hilfe dieser Informationen waren dann alle Lampen anfällig für einen Angriff auf das Mesh-Netzwerk. Mit Hilfe von manipulierten WLAN-Paketen konnten die Forscher den Lampen den WLAN-Schlüssel entlocken, der für das Mesh-Netzwerk an andere Lampen verteilt wurde. Die App wurde dabei nicht von den Lampen benachrichtigt, dass sich eine vermeintlich neue Lampe im Mesh-Netzwerk anmeldete, um den WLAN-Code zu bekommen.

Die Lifx-Lampen werden hierzulande nur von wenigen Händlern verkauft. Wer ein derartiges Leuchtmittel im Einsatz hat, sollte die aktuelle Firmware 1.3 in seine Lampen einspielen. Diese steht unter http://updates.lifx.co/ bereit, da die Sicherheitsforscher sich für Responsible Disclosure entschieden haben. Der Hersteller wurde über die Entdeckung der Sicherheitslücke vorab informiert.


eye home zur Startseite
fbfb 08. Jul 2014

Wenn es einen Key für alle Geräte weltweit gibt, ist das sehr wohl ein Problem. Eine...

nille02 08. Jul 2014

Nicht wollen stimmt nicht, es ist nur extrem nervig. Dabei kann ich schon einige...



Anzeige

Stellenmarkt
  1. Deloitte, Berlin
  2. über Duerenhoff GmbH, Bayreuth
  3. Knauf Information Services GmbH, Iphofen
  4. GILDEMEISTER Beteiligungen GmbH, Bielefeld


Anzeige
Hardware-Angebote
  1. (reduzierte Überstände, Restposten & Co.)

Folgen Sie uns
       


  1. Nintendo Labo

    Switch plus Pappe

  2. Apple

    Messages-App kann mit Nachricht zum Absturz gebracht werden

  3. Analog

    Kabelnetzkunden in falscher Sorge wegen DVB-T-Abschaltung

  4. Partnerprogramm

    Geld verdienen auf Youtube wird schwieriger

  5. Nur beratendes Gremium

    Bundestag setzt wieder Digitalausschuss ein

  6. Eclipse Foundation

    Erster EE4J-Code leitet Java-EE-Migration ein

  7. Breitbandmessung

    Provider halten versprochene Geschwindigkeit fast nie ein

  8. Virtualisierung

    Linux-Gasttreiber für Virtualbox bekommt Mainline-Support

  9. DJI Copilot von Lacie

    Festplatte kopiert SD-Karten ohne separaten Rechner

  10. Swift 5

    Acers dünnes Notebook kommt ab 1.000 Euro in den Handel



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
EU-Netzpolitik: Mit vollen Hosen in die App-ocalypse
EU-Netzpolitik
Mit vollen Hosen in die App-ocalypse

Preiswertes Grafik-Dock ausprobiert: Ein eGPU-Biest für unter 50 Euro
Preiswertes Grafik-Dock ausprobiert
Ein eGPU-Biest für unter 50 Euro
  1. XG Station Pro Asus' zweite eGPU-Box ist schlicht
  2. Zotac Amp Box (Mini) TB3-Gehäuse eignen sich für eGPUs oder SSDs
  3. Snpr External Graphics Enclosure KFA2s Grafikbox samt Geforce GTX 1060 kostet 500 Euro

Kryptowährungen: Von Tulpen, Berg- und Talfahrten
Kryptowährungen
Von Tulpen, Berg- und Talfahrten
  1. Bitcoin Israels Marktaufsicht will Kryptoverbot an Börse durchsetzen
  2. Geldwäsche EU will den Bitcoin weniger anonym machen
  3. Kryptowährung 4.700 Bitcoin von Handelsplattform Nicehash gestohlen

  1. Re: Kein Backup? Kein Mitleid!

    AntiiHeld | 04:04

  2. Re: Sieht interessant aus

    SanderK | 03:36

  3. Re: Videos von brennenden und sterbenden Menschen...

    SanderK | 03:30

  4. Re: Chile schlechtes Internet (Clickbait)

    SanderK | 03:20

  5. Re: Link

    xeneo23 | 02:41


  1. 00:02

  2. 19:25

  3. 19:18

  4. 18:34

  5. 17:20

  6. 15:46

  7. 15:30

  8. 15:09


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel