Dazu zählen E-Mail-Daten, IP-Adressen und drahtlose MAC-Adressen. Diese Daten reichen bereits aus, um eine bestimmte Person zweifelsfrei zu identifizieren einschließlich ihrer privaten Adresse. Dank der Fehlkonfiguration eines Dienstes innerhalb der betreffenden Systeme gelang es dem Sicherheitsforscher auf sensible Daten wie E-Mail- und MAC-Adressen zuzugreifen. Damit aber nicht genug. Es gelang Young mit diesen Informationen auch auf Zeitstempel zuzugreifen. Sie enthalten Informationen, wann die Schlösser geöffnet oder geschlossen werden.
Potenzielle Angreifer haben leichtes Spiel
Weitere Tests von Craig Young haben ergeben, dass es für potenzielle Angreifer ein leichtes ist riesige Mengen von Token zu stehlen und freizuschalten, allein auf Basis der MAC-Adresse. Die U-tec Ultraloq-Serie ist bei Anbietern wie Amazon und großen Handelsketten wie den US-amerikanischen Walmart und Home Depot prominent gelistet. Nach Angaben des Unternehmens selbst wurden bereits weit über 1 Million Produkte verkauft. Seit Aufdeckung der Schwachstelle arbeiten Craig Young und Tripwire mit dem Hersteller zusammmen, um das Problem zu beheben und neue Sicherheitskontrollen einzuziehen.
