Thought Leadership
Vor kurzem wurde in der IoT U-Tec UltraLoq-Serie digtaler Schlösser eine schwerwiegende Sicherheitslücke aufgedeckt. Die Schwachstelle erlaubt es einem Hacker private und geografische Daten und Informationen von jedem beliebigen Nutzer eines solchen Produktes abzuziehen.
Craig Young, Senior Security Researcher beim Tripwire Vulnerability and Exposure Research Team (VERT), hat die kritische Schwachstelle identifiziert und in einer Analyse ausführlich unter die Lupe genommen. So kann laut Young ein anonymer Hacker zusätzlich Daten zur Benutzeridentifikation von jedem gerade aktiven U-Tec Kunden einsammeln. Dazu zählen E-Mail-Daten, IP-Adressen und drahtlose MAC-Adressen. Diese Daten reichen bereits aus, um eine bestimmte Person zweifelsfrei zu identifizieren einschließlich ihrer privaten Adresse.
Dank der Fehlkonfiguration eines Dienstes innerhalb der betreffenden Systeme gelang es dem Sicherheitsforscher auf sensible Daten wie E-Mail- und MAC-Adressen zuzugreifen. Damit aber nicht genug. Es gelang Young mit diesen Informationen auch auf Zeitstempel zuzugreifen. Sie enthalten Informationen, wann die Schlösser geöffnet oder geschlossen werden.
Weitere Tests haben ergeben, dass es für potenzielle Angreifer ein leichtes ist riesige Mengen von Token zu stehlen und freizuschalten, allein auf Basis der MAC-Adresse.
Seit Aufdeckung der Schwachstelle arbeiten Craig Young und Tripwire mit dem Hersteller zusammmen, um das Problem zu beheben und neue Sicherheitskontrollen einzuziehen.
Die komplette Analyse sollte hier verfügbar sein.
www.tripwire.com
