Business Security, Schutzprogramme, Sicher & Anonym, Verschlüsselung & Datensicherheit

Smart Lock-Schwachstelle gefährdet Sicherheit von Millionen Nutzer

Schwachstelle in der IoT U-Tec UltraLoq-Serie digtaler Schlösser erlaubt es einem Hacker private Daten von jedem beliebigen Nutzer eines solchen Produktes abzuziehen.

Craig Young, Senior Security Researcher beim Tripwire Vulnerability and Exposure Research Team (VERT), hat die kritische Schwachstelle identifiziert und in der vorliegenden Analyse ausführlich unter die Lupe genommen. So kann laut Young ein anonymer Hacker zusätzlich Daten zur Benutzeridentifikation von jedem gerade aktiven U-Tec Kunden einsammeln.

Dazu zählen E-Mail-Daten, IP-Adressen und drahtlose MAC-Adressen. Diese Daten reichen bereits aus, um eine bestimmte Person zweifelsfrei zu identifizieren einschließlich ihrer privaten Adresse. Dank der Fehlkonfiguration eines Dienstes innerhalb der betreffenden Systeme gelang es dem Sicherheitsforscher auf sensible Daten wie E-Mail- und MAC-Adressen zuzugreifen. Damit aber nicht genug. Es gelang Young mit diesen Informationen auch auf Zeitstempel zuzugreifen. Sie enthalten Informationen, wann die Schlösser geöffnet oder geschlossen werden.

Potenzielle Angreifer haben leichtes Spiel

Weitere Tests von Craig Young haben ergeben, dass es für potenzielle Angreifer ein leichtes ist riesige Mengen von Token zu stehlen und freizuschalten, allein auf Basis der MAC-Adresse. Die U-tec Ultraloq-Serie ist bei Anbietern wie Amazon und großen Handelsketten wie den US-amerikanischen Walmart und Home Depot prominent gelistet. Nach Angaben des Unternehmens selbst wurden bereits weit über 1 Million Produkte verkauft. Seit Aufdeckung der Schwachstelle arbeiten Craig Young und Tripwire mit dem Hersteller zusammmen, um das Problem zu beheben und neue Sicherheitskontrollen einzuziehen. 

Zurück

Diesen Beitrag teilen
Weitere Meldungen zum Thema
oben