IT-Rebellen Das Blog für IT- und Businessentscheider, die neue Wege gehen wollen.
Quelle: HP
Smartwatches mit Netzwerk- und Kommunikationsfunktionen stellen eine neue Angriffsfläche für Cyberattacken dar. Eine HP-Studie zeigt, dass 100 Prozent der getesteten Smartwatches signifikante Schwachstellen aufweisen, darunter unzureichende Authentifizierung sowie fehlende Verschlüsselung und Datenschutzprobleme.
Mit dem Wachstum des IoT-Marktes werden auch Smartwatches immer beliebter. Je häufiger sie eingesetzt werden, desto mehr sensible Informationen werden auf diesen Uhren gespeichert. Durch den Zugriff auf mobile Apps könnten zudem schon bald auch physische Zugriffsfunktionen möglich sein, wie das Öffnen einer Haus- oder Autotür.
In der Studie untersuchte HP, ob sich Smartwatches für die sichere Speicherung von sensiblen Daten eignen. In der HP-Fortify-Studie wurden 10 Smartwatches getestet, zusammen mit den mobilen sowie Cloud-Anwendungskomponenten von Android und iOS. Dabei wurden zahlreiche Sicherheitslücken entdeckt.
Die häufigsten und am einfachsten zu behebenden Sicherheitslücken sind:
Unzureichende Nutzer-Authentifizierung/-Autorisierung: Jede getestete Smartwatch war mit einer mobilen Schnittstelle verbunden, die nicht über eine Zwei-Faktor-Authentifizierung verfügte. Zudem wurden Nutzerkonten nach drei bis fünf Log-in-Fehlversuchen nicht gesperrt.
Drei von zehn Smartwatches waren nicht sicher vor so genanntem „Account Harvesting“. Dabei kann ein Angreifer durch die Kombination aus schwachen Kennwortanforderungen, fehlender Kontensperrung und der Zugänglichkeit von Nutzernamen auf das Gerät und die Daten zugreifen.
Fehlende Transportverschlüsselung: Transportverschlüsselung ist unerlässlich, da persönliche Daten an mehrere Orte in der Cloud verschoben werden. Während 100 Prozent der getesteten Produkte über die Transportverschlüsselung SSL/TLS verfügen, sind 40 Prozent der Cloud-Verbindungen immer noch nicht sicher vor POODLE-Attacken, erlauben schwache Verschlüsselung oder nutzen noch SSL v2.
Unsichere Schnittstellen: 30 Prozent der getesteten Smartwatches nutzten Cloud-basierte Web-Schnittstellen. Sie alle wiesen Probleme hinsichtlich der Zugänglichkeit von Nutzernamen auf. In einem separaten Test haben 30 Prozent auch auf ihren mobilen Anwendungen solche Probleme gezeigt. Diese Schwachstelle ermöglicht es Hackern, gültige Nutzerkonten zu identifizieren. Dies ist auf Grundlage der Benachrichtigung möglich, die durch den Kennwortzurücksetzungs-Mechanismus generiert wird.
Unsichere Software/Firmware: 70 Prozent der Smartwatches wiesen Schwachstellen beim Schutz von Firmware-Updates auf. Dazu zählt die Übertragung unverschlüsselter Firmware-Updates und unverschlüsselter Update-Dateien. Jedoch wurde festgestellt, dass viele Updates die Installation kontaminierter Firmware verhindern. Obwohl schädliche Updates nicht installiert werden können, lassen sich diese Dateien aufgrund mangelnder Verschlüsselung herunterladen und analysieren.
Datenschutz: Alle Smartwatches enthielten persönliche Daten wie Name, Adresse, Geburtsdatum, Gewicht, Geschlecht, Herzfrequenz oder andere Informationen über den Gesundheitszustand des Nutzers. Durch die Probleme beim Schutz von Nutzernamen und die Verwendung schwacher Kennwörter auf einigen Produkten kann es zu Datenmissbrauch kommen.
Während Hersteller daran arbeiten, die notwendigen Sicherheitsmaßnahmen in Smartwatches zu integrieren, sollten auch Kunden beim Kauf einer Smartwatch die Sicherheitsaspekte berücksichtigen.
Auf was Smartwatch-Träger achten sollten
1. Es wird empfohlen, dass Nutzer keine sensiblen Zugangskontrollfunktionen wie den Auto- oder Hauszugang an ihre Smartwatch koppeln.
2. Zudem wird die Einführung einer Passcode-Funktion, komplexe Passwörter und eine Zwei-Faktor-Authentifizierung dabei helfen, unautorisierten Datenzugang zu verhindern.
Diese Sicherheitsmaßnahmen sind nicht nur wichtig, um persönliche Daten zu schützen. Sie seien auch unerlässlich, da Smartwatches am Arbeitsplatz eingesetzt werden und mit Unternehmensnetzwerken verbunden sind.
