Internet of Things (IoT) und Smart Home sind spätestens seit Amazon Alexa in der Allgemeinheit angekommen. In Deutschland beträgt die Anzahl der Smart-Home-Haushalte etwa 750.000 [1]. Viele davon besitzen mehr als nur ein Smart-Home Gerät [2]. Im Jahr 2020 wird mit mindestens einer Millionen Geräte gerechnet. Kein Wunder, helfen uns Smart-Home Geräte doch beim Energie sparen (Smarte Lampen/Steckdosen/Thermostate), sichern unser zu Hause (Smarte Türschlösser und Alarmanalagen, IP-Kameras, …) und verbessern unsere Lebensqualität im Allgemeinen. Durch Assistenzsysteme wie Amazon Alexa können nicht nur Informationen per Sprachbefehl abgerufen werden, nein es lassen sich auch Smart Home Geräte damit steuern. Durch Technologien wie IFTTT (If this then that) können Geräte Aktionen ausführen wenn ein zuvor definiertes Ereignis auf einem anderen Geräte eintritt wie das Smart Lock wird entsperrt und es ist nach 18 Uhr, dann mache das Licht im Gang an. Kurzum: Internet of Things und Smart Home kann sehr praktisch sein und bietet viele Funktionen.
Allerdings kann diese Funktionsvielfalt auch missbraucht werden. Erfolgreiche Angriffe können teuer für die Opfer sein (Thermostat wird von einem Angreifer aus der Ferne aufgedreht, während die Bewohner im Urlaub sind), sie können gefährlich sein (Smarter Sauna-Ofen überhitzt), sie können unangenehm sein (Besitzer wird durch eigene IP-Kamera ausspioniert) oder alles zusammen: Eine per Smart-Lock verschlossene Tür wird geöffnet, um einzubrechen ohne dabei Spuren zu hinterlassen. Der Einbrecher kann viel stehlen (teuer), auf Privates stoßen (unangenehm) und Zeugen angreifen (gefährlich).

Sicherheit sollte also oberste Priorität haben. Die Wirklichkeit sieht bekanntlich anders aus, da sich Funktionen und Features besser verkaufen als Sicherheit. Insbesondere wenn Technologien noch recht neu sind, wird versucht, möglichst schnell ein Produkt auf den Markt zu bringen. Dies hat zur Folge, dass IT-Sicherheitsmaßnahmen bei Release des Produkts noch nicht hinreichend implementiert sind.

Allerdings hat sich das Sicherheitsniveau schon im Vergleich zu den Vorjahren erhöht – wenn auch nicht immer ausreichend. Das liegt mit daran, dass sich Standards wie ZigBee, Apple Homekit oder Google Nest durchgesetzt haben und sich ein Trend zur Verlagerung in die Cloud erkennen lässt. Wobei letzteres zwar einen positiven Effekt für die sichere Umsetzung, jedoch negative Auswirkungen auf die Privatsphäre hat. Positiv ist die angestiegene Rechnerkapazität der Prozessoren zu sehen, die (stärkere) Verschlüsslung unterstützen. Dennoch sind noch längst nicht alle Geräte sicher. Oftmals kann der Nutzer zwar unsichere Funktionen der Geräte deaktivieren (Zugriff aus dem Internet o.ä.), doch da längst nicht mehr nur technisch versierte Nutzer IoT-Geräte beschaffen, ist dies nicht ausreichend. Ein Gerät muss von Haus aus sicher sein und sicher bleiben. Hierzu sollten folgende sechs Prinzipien umgesetzt werden:

1. Automatische und sichere Firmware Updates
2. Zufällig generierte Passwörter statt Standardpasswörtern
3. Sichere Standardeinstellungen
4. Einsatz von Verschlüsselung
5. Datensparsamkeit (Datenschutz)
6. Bewährte Algorithmen verwenden

1 Automatische und sichere Firmware Updates

Seit 2016 befällt Mirai hunderttausende von IoT-Geräten wie IP-Kameras und fügt diese Geräte bereits existierenden Botnetzen hinzu [3]. Die ausgenutzten Sicherheitslücken sind bekannt und könnten geschlossen werden, doch für viele dieser Geräte ist gar kein Firmware-Update vorgesehen, weswegen Mirai wohl auch in den nächsten Jahren noch existieren dürfte.

IoT-Geräte sollten daher die Möglichkeit eines Firmware-Updates implementieren. Falls die Geräte Zugriff auf das Internet haben, sollte standardmäßig automatisch upgedatet werden. Doch neben automatischen Updates ist es auch wichtig, dass diese integer sind, korrekt eingespielt werden. Hat ein Angreifer die Möglichkeit die Firmware vor der Installation zu manipulieren, so wird durch das Firmware-Update ein neuer Angriffsvektor geschaffen. Für schnelle und sichere Firmware-Updates von IoT-Geräten gibt es mehrere Ansätze [4]:

• Schnorr-Updates
• PC-basiert
• Physical unclonable function (PUFs)
• Blockchain
• Schneider-IoT Update Mechanismus
• Mongoose OS

Jeder dieser Ansätze hat Vor- und Nachteile. Als Entwickler ist es daher empfehlenswert, diese Ansätze zu vergleichen, um die passende Lösung für die eigene Anwendungsumgebung zu finden.

2 Zufällig generierte Passwörter statt Standardpasswörtern

Viele IoT-Geräte besitzen Standardlogins wie admin:admin oder root:1234. Sind diese Geräte aus dem Internet aus erreichbar und ändert der Nutzer nicht das Passwort, so hat der Angreifer leichtes Spiel. Geräte mit Standard-Passwörtern sind schnell im Internet bekannt und durch Suchmaschinen wie Shodan für jedermann (!) leicht zu finden. Auch von fest enkodierten Service-Passwörtern ist abzuraten, da diese durch Reverse Engineering gefunden und dann ebenfalls ins Internet gestellt werden können. Besser wäre es so zu verfahren, wie es seit Jahren bei Routern üblich is:. Ein zufällig generiertes Passwort, welches dem Geräte durch beispielsweise einen Aufkleber beiliegt. Vergisst der Nutzer sein Passwort, so kann er durch Zurücksetzen des Gerätes den Urzustand wiederherstellen.

3 Sichere Standardeinstellungen

Geräte sollten lieber mit zu sicheren als mit zu offenen Einstellungen ausgeliefert werden. Ein Thermostat oder eine IP-Kamera muss standardmäßig nicht aus dem Internet erreichbar sein. Ist dies dennoch erwünscht, so sollte der Nutzer dies manuell aktivieren können (Opt-In statt Opt-Out).

4 Einsatz von Verschlüsselung

Kommunikation zu Geräten und Servern sollte verschlüsselt stattfinden. Dies gilt vor allem dann, wenn die Geräte außerhalb des eigenen, verschlüsselten WLANs, per Funk miteinander kommunizieren. Ein Angreifer kann Daten-Pakete leicht abfangen, lesen oder gar verändern. Es sollte ein sicherer Algorithmus verwendet werden, der auch Modifikationen der Pakete erkennt.

5 Datensparsamkeit

Produkte sollten nur die nötigsten Daten verschicken und speichern. Dies spart zum einen Ressourcen – vor allem aber limitiert es die Informationen, die ein Angreifer über das Opfer erfahren kann. Werden viele persönliche Daten versendet und gespeichert, sollte über eine Ende-zu-Ende Verschlüsselung nachgedacht werden.

6 Bewährte Algorithmen verwenden

Wenn es um IT-Sicherheit geht, sind ältere, bewährte Techniken oftmals besser als Eigenentwicklungen. Dies rührt daher, dass ältere Standards schon von vielen Personen getestet und für sicher befunden wurden. Natürlich bedeutet dies nicht, dass diese auch Fehlerfrei sind (siehe Meltdown/Specte). Eine Eigenentwicklung hingegen kann viele Fehler enthalten.

Fazit

Das Umsetzen dieser Punkte bietet keinen Garant dafür, dass das Produkt auch sicher ist. Es verringert allerdings die Angriffsfläche enorm. Soll das Produkt noch sicherer sein, bietet sich ein sicherer Entwicklungsprozess sowie das Testen von Produkten an. So basiert z.B. der softScheck Security Testing Process auf der ISO 27034 und enthält 6 Methoden zur Identifizierung von Sicherheitslücken: Security Requirements Analysis, Threat Modeling, Conformance Testing, Static Source Code Analysis, Penetration Testing und Dynamic Analysis: Fuzzing. Jeder dieser Methoden identifiziert andere Klassen von Sicherheitslücken. So konnten mit diesen Methoden schon Sicherheitslücken in Smart Meter Gateways und in der Smarten Steckdose TP-Link HS110 identifiziert werden.

Quellen:
[1] Statista (Hrsg.): Smart Home – Deutschland, https://de.statista.com/outlook/279/137/smart-home/deutschland
[2] Connected Living (Hrsg.): Smart Home Index 2017, 2017, http://www.connected-living.org/content/4-information/1-news/20171011-smart-home-index-2017-ist-smart-home-in-deutschen-haushalten-angekommen/20171004_sh_index_connected-living.pdf
[3] D. Schirrmacher: Kriminelle bieten Mirai-Botnetz mit 400.000 IoT Geräten zur Miete an, 2016, https://www.heise.de/security/meldung/Kriminelle-bieten-Mirai-Botnetz-mit-400-000-IoT-Geraeten-zur-Miete-an-3504584.html
[4] F. Barz: Sichere Firmware Over-The-Air Updates im Internet of Things, 2018