Viele der bereits erwähnten Geräte aus Fernost funktionieren gut und leisten im IoT-Kontext wertvolle Dienste. Aus der Sicherheitsperspektive ist jedes dieser Geräte aber eben auch ein kompletter Netzwerk-Client mit allen Privilegien im jeweiligen Netz. Es ist fast schon obligatorisch, Geräte dieser Art vom Rest der Umgebung abzuschirmen, schon weil das Prinzip der Separation of Concern greift und eine Waschmaschine mit WLAN-Verbindung schlicht keinen Zugriff auf Ihren Laptop braucht.
Apropos WLAN-Waschmaschine: Gerade Geräte dieser Art sind fast noch öfter als Geräte zweifelhafter fernöstlicher Provenienz die Auslöser für große Probleme. Das hat vor allem etwas mit der Art und Weise zu tun, wie ihre Hersteller ticken: Die WLAN-Module für Waschmaschinen etwa entwickeln Firmen wie Miele oder Bosch Siemens Hausgeräte (BSH) üblicherweise nicht im eigenen Haus, schon, weil ihnen die dafür benötigten Fachleute fehlen. Stattdessen werden solche Bauteile von extern zugekauft und verarbeitet – oft genug, ohne eine konkrete Ahnung zu haben, was man da eigentlich tut.
Das ist einer der Gründe dafür, warum beispielsweise Sicherheitsaktualisierungen bei Geräten wie Waschmaschinen so schleppend funktionieren: Seitens der Hersteller fehlt es oft schon am grundlegenden Bewusstsein, dass Geräte dieser Art überhaupt ein Problem in Sachen Sicherheit sein können. Als Anwender haben Sie hier letztlich nur zwei Optionen: Entweder verzichten Sie komplett auf die smarten Eigenschaften dieser Geräte, oder Sie kapseln sie zumindest so gut wie möglich in einem separaten WLAN-Netz ab.
Der Router im Fokus
Vielerorts ist der Router heute eine Komponente im Netzwerk, deren Existenz den Nutzern gar nicht mehr bewusst ist. Das Konzept von Masquerading und NAT ist bis heute auch wegen der mangelnden Verbreitung von IPv6 so ubiquitär, dass es ganz normal erscheint, solch ein Gerät irgendwo stehen zu haben. Dazu haben auch die verschiedenen Internet-Anbieter beigetragen, die ihre Router mit immer generischeren und immer offeneren Standardkonfigurationen ausliefern.
Es geht aber auch umgekehrt wie bei den Kollegen von Magenta-T, die ihre Speedport-Router mit so fehlerhaft implementierten Sicherheits-“Features” auslieferten, dass das normale Versenden von E-Mails nicht mehr möglich war und die Anwender frustriert gleich sämtliche Sicherheitsmaßnahmen auf den Geräten deaktivierten. Gerade im Kontext des IoT-Sicherheitsthemas spielt der Router in den eigenen vier Wänden aber eine relevante Rolle, und zwar aus mehreren Gründen.
Haben Sie schon einmal von uPNP gehört? Universal Plug and Play ist ein für Multimediageräte wie Audioplayer oder Kameras konzipiertes Protokoll, das es den Geräten erleichtern soll, sich untereinander zu finden. Gegen den Einsatz in den eigenen vier Wänden ist bei uPNP grundsätzlich auch nichts einzuwenden. Doch manche Router- und Internet-Anbietern konfigurieren die Geräte ab Werk so, dass sie uPNP-Ankündigungen von Geräten im LAN an die Außenwelt weiterleiten.
Wer also beispielsweise überwachen möchte, was der Hund während der eigenen Abwesenheit in der Wohnung treibt und dazu eine billige IP-Kamera beim Discounter anschafft, läuft Gefahr, unfreiwillig ein Live-Video aus der eigenen Bude ins Internet zu streamen – und zwar 24 Stunden am Tag. Wer das für ein übertriebenes Szenario hält, sei an Shodan (Abbildung 2) verwiesen: Der Dienst sammelt entsprechende Announcements weltweit und katalogisiert sie, sodass man sich mit den entsprechend ins Netz gestreamten Kameras unmittelbar verbinden kann.
Abbildung 2: Wer Abhörangriffe auf schlecht gesicherte Webcams per uPNP für eine ferne Utopie hält, sieht sich durch die Website Shodan eines Besseren belehrt. Quelle: Sebastian Hemel
Wem so ein Sicherheit-GAU unterläuft, der hat meist gleich mehrere Grundsätze der Internet-Sicherheit fröhlich ignoriert. Die oberste Regel lautet, die Standardpasswörter auf ausnahmslos jedem IoT-Gerät zu ändern, sobald es zu Hause live geht. Das Webcam-Beispiel setzt nämlich auch voraus, dass auf der Kamera noch die Standardkombination aus Benutzernamen und Passwort für den Zugriff aktiv ist. Wer diese Credentials nicht hat, sieht zwar noch den Stream, kann aber zumindest nicht mehr auf ihn zugreifen.
Darüber hinaus ist es für Sie an der Zeit, die Sicherheitseinstellungen des eigenen Routers genauer zu kontrollieren, falls Sie das bis dato noch nicht erledigt haben. Das Streamen von uPNP-Ankündigungen ins Internet sollten Sie jedenfalls dringend unterbinden, denn diese Funktion öffnet dem Missbrauch Tür und Tor.
Schwachstellen suchen
Bis hierhin hat dieser Artikel vorrangig Best Practices empfohlen, die darauf abzielen, den möglichen Angriffsvektor im IoT-Kontext so klein wie nur irgend möglich zu halten. Wer massiven Gebrauch von IoT-Geräten macht, dem genügt das aber möglicherweise nicht mehr: Dann gilt es, das eigene Netzwerk aktiv abzusichern, indem man etwa Software zum Einsatz bringt, die vorhandene Schwachstellen erkennt und Alarm schlägt.
Dass es beim Einsatz Dutzender IoT-Geräte von etlichen verschiedenen Herstellern kaum möglich ist, deren Sicherheitsankündigungen allesamt ständig zu verfolgen, liegt auf der Hand. Ein Werkzeug, das stattdessen aktiv auf eine auftretende ausnutzbare Schwachstelle hinweist, entlastet den Betreiber und macht die Überwachung implizit auch effizienter. Für Linux steht ein solcher Schwachstellenscanner zur Verfügung. Er stammt von der Firma Greenbone, gehört zur Greenbone Community Edition und hört auf den etwas sperrigen Namen OpenVAS-Scanner. Die Abkürzung OpenVAS steht für Open Vulnerability Assessment Scanner. Die Software wird sogar seitens des Bundesamts für Sicherheit in der Informationstechnologie (BSI) als Werkzeug zum Auffinden von Schwachstellen empfohlen.
Dazu wertet OpenVAS die regelmäßig erscheinenden Sicherheitsankündigungen von Stellen wie dem CERT oder der CVE aus, definiert maschinenlesbare Kriterien, nach denen es ein System als verwundbar identifiziert, und ermöglicht Suchläufe im Batch-Modus. Unter der Haube arbeitet OpenVAS dabei ein wenig wie ein klassisches Antivirenprogramm: Anhand von Signaturen versucht es, betroffene Systeme zu finden. Anders als bei AVsoftware gilt bei OpenVAS aber nicht nur das Finden einer konkreten Schadsoftware als Metrik für Erfolg, sondern auch das Identifizieren bestimmter Firmwareversionen auf Zielgeräten.
Es schadet nicht, sich in diesem Kontext in Erinnerung zu rufen, dass auch in den meisten IoT-Geräten ein kleiner Computer steckt, der verschiedene Details wie den genutzten Kernel oder die verwendete SSH-Version zur Außenwelt exponiert. Lässt man OpenVAS auf ein lokales Netz los, identifiziert es dort zunächst aktive Systeme und klopft diese danach anhand der eigenen Datenbank auf potenzielle Probleme ab. Für den Besitzer der Geräte im Netz ist das besonders praktisch, weil die Überprüfung ohne das händische Zutun einer Person abläuft, also vollkommen automatisch.
OpenVAS sinnvoll ausrollen
Will man eine eigene Instanz des Verwundbarkeitsscanners im lokalen Netz betreiben, empfiehlt es sich, das auf separater Hardware zu tun. Greenbone macht das mittlerweile relativ leicht: Ein aktueller Raspberry Pi bietet genug RAM und CPU, um die zur Lösung gehörenden Komponenten zu betreiben. Lediglich eine hinreichend große SD-Karte sollte im Gerät verbaut sein, um die zu OpenVAS gehörenden Dateien aufzunehmen.
