M2M-Sicherheit Wenn IoT-Geräte zu viel plaudern

Anbieter zum Thema

Specops Software GmbH

Die Unterwelt der digitalisierten Kriminalität hat die M2M-Kommunikation als einen neuen Angriffsvektor entdeckt. Die Attacken spitzen sich zu. Für viele digitaltransformierte Unternehmen ist die Abwehr der Edge noch völliges Neuland.

Cyberanalysten von Kaspersky Lab, einem der führenden Anbieter von Cybersicherheitstools für Unternehmen und Privatanwender, berichten von einem dramatischen Anstieg der Anzahl von Cyberangriffen gegen IoT-Geräte in der Pandemie. Die „Ansteckungsgefahr“ würde demnach explodieren.

In den ersten sechs Monaten des laufenden Jahres (2021) haben Kasperskys Honeypots über 1,5 Milliarden Angriffe registriert, mehr als doppelt so viel wie in den sechs Monaten zuvor als (639.155.942 Infektionsversuche). Die Zahlen basieren auf Telemetriedaten sogenannter Honeypots von Kaspersky. Diese IoT-Fallen simulieren anfällige Geräte an der Netzwerkkante. Die Angreifer können diese IoT-Fallen von echten IoT-Endpunkten nicht unterscheiden. Die aufkeimende API-Wirtschaft lässt grüßen.

Der IoT-Goldrausch und der Missbrauch von APIs

Das Analystenhaus McKinsey & Company schätzt, dass weltweit jede Sekunde mindestens 127 brandneue Geräte ihre erste Verbindung mit dem Netz wagen. Laut einer Prognose von IDC sollen bis 2025 satte 41,6 Milliarden Geräte vernetzt sein.

Doch vernetzte Maschinen fristen ein eher unauffälliges Dasein. IoT-Endpunkte an Häfen, in Fahrzeugen, Flugzeugen oder Gebäudemanagementsystemen schaffen es selten als Ziel von Hackern in die Öffentlichkeit. Die friedlichen Zeiten sind dennoch längst vorbei.

Angriffe auf vernetzte Maschinen spitzen sich zu und bleiben dennoch von der Öffentlichkeit weitgehend unbemerkt. Nur Ausnahmefälle wie Stuxnet werden öffentlich bekannt.

Die API-Wirtschaft erleichtert automatisierte Attacken gegen die Edge. Bösartige API-Zugriffe wachsen noch schneller als API-getriebene M2M-Kommunikation im Allgemeinen, beobachten die Analysten von Salt in dem Bericht „State of API Security Trends Q3 2021. API-Attacken haben in nur sechs Monaten um 348 Prozent zugelegt. Diese Angriffe lassen sich von WAFs und API-Gateways nicht abhalten, warnt Salt.

Das Ausloten von Verwundbarkeiten in IoT-Endpunkten bedarf leider heutzutage keiner großen Expertise. IoT sei ein leicht zugängliches Ziel für Angreifer, bestätigt unter anderem ein Bericht von Unit 42, dem Cybersicherheitsarm von Palo Alto Networks. Viele Schwachstellen ließen sich „sehr leicht“ ausnutzen und könnten in einigen Fällen „katastrophale Folgen haben“.

Von gehackten Sicherheitskameras über deaktivierte Bremsen in vernetzten Fahrzeugen bis hin zu entführten Drohnen, die Atomkraftwerke überfliegen: Im Zeitalter drahtloser M2M-Konnektivität ist ein breites Spektrum an haarsträubenden Szenarien nur ein paar Befehlszeilen entfernt.

„Seit IoT-Geräte (..) ein wesentlicher Bestandteil unseres Alltags geworden sind, haben Cyberkriminelle ihre Aufmerksamkeit gekonnt auf diesen Bereich gelenkt“, kommentiert Dan Demeter, Sicherheitsexperte bei Kaspersky. Mit dem steigenden Interesse der Nutzer an intelligenten Geräten würden diese Angriffe zunehmen, so Demeter.

Viel zu viele Nutzer nehmen die Risiken auf die leichte Schulter. Als die heute gängigen Protokolle für M2M-Kommunikation entworfen wurden, hatte die IT-Industrie das heutige Ausmaß der Cyber-Bedrohungen noch nicht auf dem Radar. Viele Geräte sind Bananenware: Sie reifen erst beim Endbenutzer. Zahllose Bugs in IoT-Betriebssystemen fristen in IoT-Geräten ein Schattendasein und bedrohen die M2M-Kommunikation.

Schwachstellen 5G-basierter M2M-Konnektivität

5G, das neueste Mobilfunkprotokoll für M2M-Kommunikation (und Internet-Konnektivität), hat in seinem technologischen Unterbau Altlasten aus den 1979er Jahren übernommen. (Den Mobilfunknetzen der ersten, zweiten und dritten Generation lag ein Protokoll namens SS7 zu Grunde; 4G-LTE-Netze verwenden es als ein Fallback und obwohl das 4G-Protokoll Diameter höhere Sicherheitsansprüche erfüllen sollte, hat es viele Schwachstellen von SS7 geerbt und weist in vielerlei Hinsicht sogar noch mehr Verwundbarkeiten auf als SS7). 5G lässt viele relevante Cybersicherheitsfragen offen.

Bereits jetzt zeichnen sich in 5G gravierende Schwachstellen ab, darunter auch solche, die sich auf konzeptionelle Fehler seiner angestaubten Vorgänger zurückführen lassen. Hierzu kommt ja noch die vergrößerte Angriffsfläche aufgrund des schieren Volumens der M2M-Konnektivität, die 5G ermöglicht, der „Abstumpfung“ der Netzbetreiber im Hinblick auf bösartige Aktivitäten und der erhöhten Zugänglichkeit. Die meisten 5G-Implementierungen setzen zudem auf einer 4G-Kerninfrastruktur auf und integrieren das 4G-Diameter-Protokoll mit all seinen Mängeln.

Neben SS7 und Diameter kommen im Netzwerkstack unter anderem auch IP-basierte Signalisierungsprotokolle wie GTP, SIP und HTTP/2 für M2M-Kommunikation zum Einsatz.

GTP überträgt Daten durch das Mobilfunknetz, lange bevor sie einen VPN-Tunnel erreichen. In der Mobilfunkbranche ist GTP-Fachwissen Mangelware, was sich in schlechten Implementierungen äußert.

SIP kommt für den Sprachverkehr und für SMS über das Internetprotokoll (IP) in 4G- und 5G-Netzwerken zum Einsatz. Es ist viel leichter zugänglich und manipulierbar als andere Protokolle und stellt einen Angriffsvektor im IoT-Umfeld dar, da es die Übertragung bösartiger SMS-Nachrichten ermöglicht.

Das HTTP/2-Protokoll bildet die Grundlage für eigenständige 5G-Netze (5G SA für Standalone).

Obwohl es die Möglichkeit gab, aus Fehlern der Vergangenheit zu lernen, ist es in 5G gerade einmal möglich, betrügerisches Spoofing von Anrufen und SMS-Absendern zu verhindern. Gesamtnote: ungenügend. Die ganze Problematik fernsteuerbarer 5G-Chips sprengt beinahe die Vorstellungskraft.

Bugs in IoT-Betriebssystemen und Entwicklungsplattformen für OEMs

IoT-Betriebssysteme bilden mit ihren unzähligen Bugs und Unzulänglichkeiten ein weit aufgeschlagenes Einfallstor oder mehrere.

Die kürzlich aufgedeckten Verwundbarkeiten in Axis OS, einem IoT-Betriebssystem auf Linux-Basis, vom Oktober 2021, liefern reichlich Anregung zum Nachdenken. Sie beinhalten einen Heap-basierten Pufferüberlauf mit CVSSv3-Bewertung von 6,7; unsachgemäße Empfängervalidierung in Netzwerktestfunktionen mit CVSSv3-Bewertung von 4,1 und SMTP-Header-Injektion in E-Mail-Testfunktionen mit CVSSv3-Bewertung von 5.5. „Gestümpert“ wäre geschmeichelt. Doch der Anbieter hat zumindest eine Lektion gelernt: OpenSSL ist mit der Version 1.1.1j (fast schon) auf dem neuesten Stand.

Selbst Entwicklungsplattformen für OEMs können durch eigene Bugs die resultierenden Endgeräte kompromittieren. Sicherheitsforscher von Mandiant, eine Cybersicherheitssparte von FireEye, haben im Herbst 2021 eine solche Schwachstelle in IoT-Geräten entdeckt, die es Angreifern erlauben soll, „Live-Audio abzuhören, Echtzeit-Videodaten anzusehen und Geräteanmeldedaten für weitere Angriffe auf der Grundlage der offengelegten Gerätefunktionen zu kompromittieren“ (CVE-2021-28372). Diese eine einzige Problemquelle macht weltweit mindestens 83 Millionen von IoT-Endgeräten verwundbar. Betroffen sind Geräte, die sich auf die OEM-Plattform Kalay des taiwanesischen Anbieters ThroughTek Co stützen. Ein Firmware-Update kann die Sicherheitslücke schließen, doch jemand muss es erst einmal einspielen.

Eine Sicherheitslücke verhindert nicht andere. Vor rund zwei Monaten haben Sicherheitsforscher von Nozomi Networks eine Verwundbarkeit in einem verwandten Produkt desselben Anbieters entdeckt; das hat ihn nicht davon abgehalten, mit neuen Verwundbarkeiten auf sich aufmerksam zu machen. Die „smarte“ Edge ist offenbar gar nicht so unverwüstlich, wie es den Betroffenen lieb sein mag.

Eine chronische Ansteckungsgefahr

Der Verwundbarkeiten der Netzwerkkante stellen in vielen Organisationen eine chronische Ansteckungsgefahr für die übrige Unternehmens-IT und -OT dar (also für die Informations- und Betriebstechnik). Auch industrielle M2M-Kommunikation steht verstärkt unter Beschuss. Gravierende Risiken für cyberphysische Systeme erstrecken sich von dem Home-Office im „smarten“ Zuhause auf ganze Logistikketten, Robotik der Industrie 4.0, den medizinischen Sektor und andere Felder.

„Eine wachsende Zahl von Ransomware-Gruppen arbeitet daran, OT-Systeme zu infizieren, die Industrie- und Fertigungsanlagen steuern, mit dem Ziel, den Betrieb ihrer Opfer vollständig zu verunmöglichen", erklärt Mohie Ahmed, Solutions Architect beim Authentifizierungsanbieter Ironsphere. „Unternehmen verbinden diese sensiblen Netzwerke aus Gründen der Effizienz und Fernautomatisierung immer öfter mit dem Internet“, so Ahmed weiter; eine Flut von Schwachstellen in den VPNs, die Unternehmen für die Fernverbindung zu diesen Netzwerken nutzen, hat sie noch angreifbarer gemacht“ als sie ohnehin schon wären.

Eine sichere Kommunikation stütze sich laut den Sicherheitsexperten von Gemalto auf vier Grundprinzipien:

• Authentifizierung: Jeder Teilnehmer der Kommunikation – also auch Maschinen – muss sich der Identität seines Gegenübers versichern können;

• Vertraulichkeit: Niemand außer den berechtigten Parteien darf an einer Kommunikation teilhaben;

• Integrität: Die Benachrichtigungen dürfen nicht manipuliert werden können, selbst dann, wenn die Vertraulichkeit nicht gewährleistet werden konnte.

• Verfügbarkeit: Im Notfall, das Versagen sicherer Konnektivität sei gleichbedeutend mit unzureichender Kommunikationssicherheit.

Diese vier Grundprinzipien müssen auch in M2M-Anwendungen gewährleistet sein, doch im Kontext von M2M-Kommunikation seien sie keinesfalls gleichwertig.

Eine sichere Authentifizierung sei für viele M2M-Anwendungen wichtiger als die Wahrung der Vertraulichkeit, so die Analysten von Gemalto. Die Information, dass eine Tür aufgeschlossen worden sei, mag gar nicht vertraulich sein; entscheidend sei vielmehr die Gewährleistung, dass ein Aufschließungsbefehl nur von autorisierten Sendern akzeptiert werde.

Wie viel Zeit und Ressourcen ein Angreifer aufwenden würde, um M2M-Kommunikation zu knacken oder zu manipulieren, hänge von seiner Motivation ab, argumentiert Gemalto. Der Aufwand zum Brechen der Authentifizierung, der Vertraulichkeit oder sogar der Integrität müsse für den Angreifer „gerade noch hoch genug“ sein, um ihn zu zwingen, sein Vorhaben aufzugeben, bevor der Schutz versagt. Für den Kommunikationstechniker liefe es darauf hinaus, dass ein System lediglich "sicher genug" sein müsse, um ausreichenden Schutz zu gewährleisten. Hierzu sei es lediglich erforderlich, das richtige Gleichgewicht zwischen Aufwand und Nutzen der Schutzmaßnahmen zu finden.

Doch diese Sichtweise geht von einer unveränderlichen Bedrohungslage aus und vernachlässigt die dynamische Natur technologischer Entwicklungen. Die erfordert außerdem eine korrekte Einschätzung der Bedrohungslage voraus. Diese drei Annahmen dürften in der Realität wohl eher selten zutreffen.

Das Potenzial für den Missbrauch von KI und tieflernenden Algorithmen auf Edge-Geräten nimmt im Gleichschritt mit steigender Rechenleistung zu, angetrieben durch das verstärkte Aufkommen neuartiger Hardwarebeschleuniger für die Netzwerkkante, darunter neuromorphischer Chips, die die Leistung um ein Vielfaches steigern. Gehackte Edge-Clouds können die Schlagkraft von Angriffen durch Parallelisierung vervielfachen.

Zudem müssen sich die wahren Motivationen der Angreifer dem anvisierten Opfer nicht automatisch erschließen; sie reichen ja von rein profanen finanziellen Anreizen bis hin zu Beweggründen geopolitischer Natur, wo souveräne Akteure die Fäden ziehen. Selbst der rasante technische Fortschritt kann den Betroffenen einen dicken Strich durch die Rechnung ziehen.

Manche Menschen glaubten, dass sie „nicht wichtig genug“ seien, um gehackt zu werden, beobachtet Demeter, und er lehnt diese Ansicht als fehlgeleitet ab. Dem Interesse der Hacker kann sich ja niemand mehr entziehen. Die meisten Angriffe seien aber zumindest vermeidbar, glaubt der Experte. Da sich nur allzu viele Hersteller gerne um die Verantwortung für ihre Geräte drückten, sei der Ball leider de facto beim Betroffenen.

Aus Sicht der Experten von Kaspersky Lab können jene kurzfristig immerhin vier Maßnahmen ergreifen:

• Firmware-Updates bei Verfügbarkeit sofort installieren,

• Standard-Passwörter der Gerätehersteller auf möglichst komplizierte Zeichenketten abändern,

• Geräte, die sich „seltsam verhalten“, sofort rebooten (und danach mit zusätzlichen Schutzvorkehrungen versehen),

• Software zum Schutz von IoT-Ökosystemen einrichten.

Eine Lösung für das Unternehmensumfeld ist wesentlich komplizierter einer umfassenderen Herangehensweise. Der Markt für Bedrohungserkennung an IoT-Endpunkten soll laut einer Prognose von Transparency Market Research bis zum Jahre 2030 eine durchschnittliche jährliche Wachstumsrate von satten 21 Prozent durchhalten, eine bemerkenswerte Leistung.

Fazit

Die friedlichen Zeiten der Digitalen Transformation sind anscheinend vorbei. Beim Absichern der M2M-Kommunikation besteht das Ziel darin, den erforderlichen Aufwand für Angriffe so weit anzuheben, dass er die Angriffsbereitschaft der Hacker übersteigt. Dies bedarf einer treffsicheren Analyse der Bedrohungslage, die sich kontinuierlich verändert, und setzt die Fähigkeit voraus, im Bedarfsfalle korrigierende Maßnahmen zu ergreifen. Keine leichte Aufgabe.

Über die Autoren: Anna Kobylinska und Filipe Pereira Martins arbeiten für McKinley Denali Inc. (USA).

(ID:47888170)