Alle Geräte sind vernetzt im Internet der Dinge.
TrendSicherheit im Internet der Dinge

Wenn die smarte Glühbirne zur „Beute“ wird

Lesezeit ca.: 4 Minuten
Lisa Kräher

Lisa Kräher

freie Journalistin

Der Markt für vernetzte Geräte boomt. Ob Kühlschrank, Auto oder Türschloss – alles ist miteinander verbunden. Forscher der Uni Bochum wollen mit einer neuen Methode Sicherheits-Schwachstellen in den Geräten finden und Angriffen vorbeugen.

09. August 2016

Das Lenkrad bewegt sich wie von Geisterhand. Mitten auf dem Highway geht der Motor aus. Der Fahrer tritt auf die Bremse, doch das Auto fährt weiter. Was sich wie ein Albtraum anhört, war im Juli 2015 glücklicherweise nur ein Test, der als „Mutter aller Auto-Hacks“ um die Welt ging und zeigte, wie gefährlich die smarte, neue Welt sein kann. Am Steuer saß Wired-Autor Andy Greenberg, während sich die Angreifer von der Couch aus in das Entertainment-System des Jeeps einschleusten und diesen wie ein Spielzeugauto fernsteuerten.

Egal ob Auto, Glühbirne oder Haustür – in Zukunft sind immer mehr Geräte vernetzt. Von unterwegs steuert das Smartphone die Temperatur zu Hause. Die Verpackung des Nassrasierers schickt eine Nachricht, wenn die Wechselklingen alle sind. Das Internet der Dinge soll Anwendern auf der einen Seite Komfort bieten, ist aber andererseits vor allem eins: leichte Beute für Cyberkriminelle.

Problem: Schnell statt sicher

„Im Markt für diese Geräte herrscht Goldgräberstimmung“, sagt Professor Dr. Thorsten Holz vom Lehrstuhl für Systemsicherheit am Horst-Görtz-Institut für IT-Sicherheit der Ruhr-Universität Bochum. Das ist seiner Meinung nach das Problem. Denn die Firmen, so Holz, wollen die Produkte schnellst möglich vor der Konkurrenz auf den Markt bringen. Der Aspekt Sicherheit gehe dabei unter. Das führt dazu, dass die Geräte Schwachstellen haben.

Diese Schwachstellen will Thorsten Holz aufspüren. Im Projekt BASTION (Leveraging Binary Analysis to Secure the Internet of Things), das seit 2015 läuft und vom Europäischen Forschungsrat gefördert wird, haben er und sein Team eine bisher einmalige Methode entwickelt, um automatisch Schwachstellen in den Programmen der vernetzten Geräte zu erkennen. Weil die Forscher dafür nicht den Quellcode verwenden können, da dieser Betriebsgeheimnis der Hersteller ist, lesen sie den Binärcode aus den Geräten.

„Das Besondere ist, dass unsere Methode unabhängig vom Gerät und Prozessor ist, der darin steckt“, erklärt Holz. Das heißt, sie funktioniert für einen elektronischen Autoschlüssel, der mit einem simplen Prozessor ausgestattet ist und nur wenige Befehle versteht, genauso wie für einen komplexen Rechner. Der Autoschlüssel könnte ein Programm, das auf dem komplexen Rechner läuft, nie verstehen. Je nach Prozessor ist auch der Binärcode unterschiedlich. Das bedeutet: Für ein und den gleichen Befehl sieht der Binärcode des Autoschlüssels anders aus, als der des komplexeren Rechners. Um das lösen, haben Holz und sein Team eine Zwischensprache entwickelt. Ist der jeweilige Binärcode in diese Universalsprache übersetzt, kann die Suche nach den Schwachstellen losgehen.

Ein bis zwei Bugs pro 20.000 Lines of Code

Laut Holz befinden sich in einer gut gepflegten Software durchschnittlich ein bis zwei sicherheitsrelevante Schwachstellen pro 20.000 Zeichen Quellcode. Häufig handelt es sich um sogenannte Overflow-Schwachstellen: Eine Software zum Beispiel, die normalerweise nur Eingabewerte mit einer bestimmten Länge annehmen kann, würde von einem Angreifer mit solch langen Eingabewerten attackiert werden, dass das Programm oder wichtige Datenteilweise überschrieben werden. Diese Fehler könne man vergleichsweise leicht aufspüren, sagt Holz. Schwieriger zu identifizieren sind dagegen die logischen Schwachstellen, die vorkommen, wenn der Programmierer vergessen hat, etwas zu überprüfen, oder bestimmte Zustände im Programm nicht korrekt abgearbeitet werden. „Neuralgische Stellen gibt es vor allem dort, wo Daten aus einer externen Quelle in das Programm fließen“, erklärt Holz.

Doch wer will schon eine smarte Glühbirne angreifen? Was wie ein Party-Gag klingt, kann auch ernste Folgen haben, sagt Holz. Denn gerade über diese schlecht geschützten Geräte können sich Angreifer leicht Zugang zum Beispiel zum W-LAN-Passwort verschaffen und darüber zu anderen Geräten im Haus oder dem PC. Auch schlecht geschützte automatische Türschlösser könnten es Einbrechern leicht machen.

Sicherheitslücken finden und vorbeugen

Die größte Gefahr sieht Holz für selbstfahrende Autos und die Industrie 4.0, in der immer mehr autonome Maschinen miteinander agieren. „IT-Sicherheit ist ein Wettlauf zwischen Angreifer und Verteidiger“, sagt der Experte. Deshalb wollen die Forscher nicht nur Schwachstellen aufzuspüren, sondern auch vorbeugen. Dafür identifizieren sie mit ihrem Programm neuralgische Stellen, übersetzen sie in die Zwischensprache, fügen Code hinzu und übersetzen diese verbesserte, sichere Passage wieder zurück.

Bisher funktioniert die BASTION-Methode für die Prozessortypen Intel, ARM und MIPS. Das Forschungsprojekt läuft noch bis 2020. Genug Zeit, um die Methode für weitere Systeme zu erproben und Hürden anzugehen. Holz: „Wenn man viel Code analysieren möchte, dauern die Analysen sehr lange.“ Zudem falle es momentan noch schwer, Falschmeldungen zu filtern und die wirklichen Schwachstellen präzise zu benennen.

Besser: „Security by Design“

Schwachstellen in existierenden Systemen zu suchen, sei natürlich ein reaktiver Ansatz, räumt Thorsten Holz ein: „Langfristig gesehen ist es jedoch sinnvoller, wenn sich die Hersteller schon von Anfang an bei der Entwicklung mehr Gedanken über die Sicherheit in ihren Geräten machen.“