Thought Leadership
Sicherheitsforscher von BitSight fanden sechs Schwachstellen in GPS-Trackern des Herstellers MiCODUS. Sie ermöglichen es Hackern unter anderem, den Standort von Personen ohne deren Wissen nachzuverfolgen, Flotten von Liefer- und Einsatzfahrzeugen aus der Ferne zu deaktivieren, und zivile Fahrzeuge auf Autobahnen abrupt anzuhalten.
Weltweit sind wohl 1,5 Millionen Geräte im Einsatz. Unter den Betroffenen, teils aus Deutschland, sind Privatpersonen, Regierungsbehörden, Militärs, Strafverfolgungsbehörden und Unternehmen. Es gibt bisher noch keine Patches für die Schwachstellen.
Autos sind angreifbare Datenzentren
„Moderne Autos sind im Wesentlichen Datenzentren auf Rädern, mit über 30 verschiedenen elektronischen Platinen, die sie steuern“, sagt Barak Hadad, Head of Research bei Armis. „Die eingangs erwähnte Untersuchung zeigt, welche Auswirkungen eine einzige unsichere Komponente auf das gesamte Fahrzeug haben kann. Sie unterstreicht auch die Notwendigkeit von festgelegten Berechtigungsebenen, um die Auswirkungen von Sicherheitsvorfällen im internen Fahrzeugnetzwerk abzuschwächen. Schwachstellen sind zwar immer ein Problem, jedoch kann eine geeignete Firewall oder eine Engine zur Erkennung von Anomalien, die die Kommunikationssysteme des Fahrzeugs überwacht, eine zusätzliche Verteidigungslinie darstellen, da sie die Ausnutzung dieser Art von Schwachstellen erkennen kann.“
Angreifbarkeit der Tracker ist vorprogrammiert
Ein Blick auf die Programmierung der GPS-Tracker führt vor Augen, wie angreifbar die Tracker sind. „MiCODUS mit Sitz im chinesischen Shenzhen hat eine grundlegend unsichere Kommunikationsarchitektur, die auf einer zentralen Steuerung all dieser Geräte von einer einzigen IP-Adresse oder Website aus beruht“, erklärt Steve Gyurindak, Chief Technical Officer, Network & Operational Technology bei Armis. „Dadurch ist das gesamte System für einfache Man-in-the-Middle-, Denial-of-Service-Angriffe und Attacken zur Umgehung der Authentifizierung anfällig.
Außerdem verwendet der Hersteller unverschlüsseltes http und ein unverschlüsseltes proprietäres Protokoll, um die gesamte Kommunikation mit dem GPS-Gerät zu ermöglichen. Es kann sogar einfach über SMS-Nachrichten jedes GPS-Gerät gesteuert werden. Der Hersteller ermöglicht die Umprogrammierung der IP-Adresse des API-Servers des Geräts, sodass jeder Angreifer die Möglichkeit hat, den GPS-Tracker von jedem Ort aus zu überwachen und zu steuern.“
Abhilfemaßnahmen sind noch nicht in Sicht
Weltweit nutzen 420.000 Kunden die GPS-Tracker. „Es wird vermutet, dass Russland, Marokko und Chile die drei Länder sind, in denen diese Geräte am weitesten verbreitet sind“, sagt Gyurindak. „Schockierend ist die Liste der Organisationen, die diese Technologie weltweit einsetzen, darunter mehrere Fortune-50-Unternehmen, Regierungen und Militärs.
Das Unternehmen hat nicht auf die Versuche der Forscher oder der CISA reagiert, einen Abhilfeplan zu erarbeiten. Die Sicherheitsforscher empfehlen, das Gerät zu deaktivieren, bis eine Lösung gefunden ist.“
Wann es eine Lösung für das Sicherheitsproblem geben wird, ist aktuell noch nicht abzusehen. „Meiner Meinung nach wird es aufgrund dieser Architektur und der Notwendigkeit, die Bordgeräte neu zu programmieren, sehr lange dauern, bis eine Lösung gefunden wird – wenn dies überhaupt möglich ist. Eine fahrzeuginterne Systemisolierung (auch Netzwerksegmentierung genannt) von kritischen Systemen mit angemessenen Sicherheitskontrollen würde solche katastrophalen Auswirkungen verhindern“, schließt Gyurindak.
