Passend zur kalten Jahreszeit hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) die IT-Sicherheit von smarten Heizkörperthermostaten unter die Lupe genommen. Im Rahmen dieser Untersuchung wurden insbesondere die Aspekte rund um die IT-Sicherheit solcher Systeme beleuchtet.
In ihrer Analyse erläutert das BSI, dass Smart-Home-Geräte wie Heizkörperthermostate oft kurze Entwicklungszyklen haben. Dabei wird der IT-Sicherheit häufig weniger Bedeutung beigemessen als anderen Produkteigenschaften. Diese Praxis führt dazu, dass viele Produkte keinen ausreichenden Schutz gegen Hackerangriffe bieten. Bei Angriffen könnten Cyberkriminelle kompromittierte Geräte missbrauchen, um personenbezogene Daten abzugreifen oder um DoS-Angriffe durchzuführen. Selbst ohne böswillige Angriffe können fehlerhafte Konfigurationen zum ungewollten Informationsabfluss führen. Um Hersteller zu ermutigen, Sicherheitsstandards wie Security-by-Design und Security-by-Default zu berücksichtigen, führte das BSI Gespräche mit Herstellern und Händlern.
Das BSI führte eine technische Untersuchung von zehn zufällig ausgewählten smarten Heizkörperthermostaten durch. Diese Untersuchung umfasste die Analyse der Geräte selbst und der zugehörigen Apps, also des gesamten Ökosystems. Die Behörde entwickelte hierfür ein spezielles Prüfkonzept. In Fällen entdeckter Schwachstellen strebt das BSI eine kooperative Zusammenarbeit mit den Herstellern an und verfolgt eine Responsible-Disclosure-Strategie.
Bei der Analyse des Netzwerkverkehrs und der statischen und dynamischen Inspektion der Apps zeigten sich erhebliche Schwächen. Keine der Apps war für den Einsatz in Hochsicherheitsszenarien konzipiert. Zwei Hersteller versäumten es, die Datenübertragung ihrer iOS-App zu verschlüsseln. Eine weitere App wies eine Cross-Site-Scripting-Lücke auf. Maßnahmen wie Zertifikatspinning, um Man-in-the-Middle-Angriffe zu erschweren, wurden kaum umgesetzt. Außerdem verwendete keine der untersuchten Apps biometrische Authentifizierungsoptionen. Einige Apps speicherten Zugangsdaten nicht sicher, drei der getesteten Apps stammten von einem OEM-Design aus China und hatten nahezu identische Sicherheitsmängel.
Die Hardwareprüfung zeigte, dass bei sechs der untersuchten Geräte die Debug-Schnittstellen frei zugänglich waren. Dies ermöglichte es, die Firmware leicht auszulesen und zu verändern. Während das BSI hier weniger Risiko für Endkunden, aber ein potenzielles Risiko für das geistige Eigentum der Hersteller sah, stellte die Behörde fest, dass einige Hersteller Daten nahezu unverschlüsselt über das Netzwerk übertragen.
Am Ende der Analyse fasst das BSI zusammen, dass Nutzer smarter Geräte Risiken ausgesetzt sind. Obwohl die meisten Schwachstellen nicht unmittelbar bedrohlich erscheinen, können sie bei Ausnutzung durch Angreifer erhebliche Konsequenzen für die Privatsphäre und Sicherheit mit sich bringen. Hersteller sind aufgerufen, ihre Sicherheitsmaßnahmen zu verbessern und anerkannte Standards umzusetzen, um einen besseren Schutz zu gewährleisten.
Ein umfassendes 93-seitiges PDF bietet Herstellern, Händlern und Interessierten zahlreiche Empfehlungen zur Verbesserung der IT-Sicherheit bereits im Entwicklungsprozess. Dabei sind die Ergebnisse anonymisiert, sodass spezifische Schwachstellen nicht einzelnen Herstellern oder Produkten zugeordnet werden können.
Microsoft hat im Windows Admin Center ein neues Tool vorgestellt, das die Migration von VMs von VMware vCenter zu Hyper-V erleichtert. Es bietet Funktionen wie gleichzeitige Migration von bis zu zehn VMs, Unterstützung für Windows- und Linux-VMs und Integration von Secure-Boot. Obwohl vielversprechend, bleibt es in der Vorschauphase und erfordert spezielle Voraussetzungen.
Sicherheitsexperten haben innovative Techniken identifiziert, bei denen Cyberangreifer QR-Codes in Phishing-Angriffen nutzen. Dazu gehören das Aufteilen von QR-Codes und das Einbetten in andere QR-Codes, um Sicherheitsmaßnahmen zu umgehen. Zum Schutz sollten Unternehmen mehrschichtige Sicherheitsmaßnahmen und KI-Technologien einsetzen.
Das Projekt “QCMobility | Schienenverkehr” der DLR-Quantencomputing-Initiative untersucht, wie Quantencomputer helfen können, Planungsprobleme im Bahnverkehr effizienter zu lösen. Ziel ist es, Störungen besser zu managen, Verspätungen zu reduzieren und stabilere Fahrpläne zu entwickeln. Erstmals werden quantenbasierte Algorithmen systematisch in realen Situationen angewandt, um kurzfristige Umplanungen bei Streckensperrungen oder langfristige Trassen- und Fahrplanoptimierungen zu unterstützen.
Über ein Jahr nach der Entdeckung der Hintertür in XZ-Utils gibt es immer noch Sicherheitsbedenken. Kompromittierte Versionen sind weiterhin über öffentliche Docker-Images zugänglich. Neue Untersuchungen zeigen, dass die Schwachstelle in über 35 Docker-Images fortbesteht, darunter viele Debian-Varianten. Sicherheitsexperten betonen die Bedeutung der kontinuierlichen Kontrolle älterer Basis-Images, um die Lieferkette zu schützen. Es wird empfohlen, kompromittierte Images rigoroser zu entfernen und Sicherheitsmaßnahmen wie automatisierte Erkennungsmethoden und Signaturprüfungen zu implementieren.
Eine jüngste Untersuchung von Malwarebytes hat aufschlussreiche Unterschiede im Sicherheitsverhalten von iPhone- und Android-Nutzern offenbart. Während viele Android-Nutzer auf Schutzmaßnahmen wie Sicherheitssoftware und individuelle Passwörter setzen, verlassen sich zahlreiche iPhone-Besitzer hauptsächlich auf die in ihre Geräte integrierten Sicherheitsfunktionen, was nicht immer ohne Folgen bleibt. In der Studie gaben 53 Prozent der iPhone-Nutzer an, bereits Opfer von Onlinebetrug geworden zu sein, während dies bei Android-Nutzern 48 Prozent waren. Von den 1300 weltweit von Malwarebytes befragten Personen nutzen lediglich 21 Prozent der iPhone-Nutzer eine Sicherheits-App, bei Android-Nutzern sind es immerhin 29 Prozent. Auch bei der Verwendung individueller Passwörter liegen Android-Nutzer mit 41 Prozent vor den iPhone-Nutzern, von denen nur 35 Prozent individuelle Passwörter verwenden.
Perplexity hat mit “Comet” einen einzigartigen Webbrowser entwickelt, der auf KI-gestützte Suchprozesse spezialisiert ist. Comet agiert als automatisierter Rechercheassistent für große Sprachmodelle und ermöglicht es KI-Modellen, effizient im Internet zu suchen und fundierte Antworten zu generieren. Der Browser navigiert selbstständig auf relevanten Internetseiten und extrahiert notwendige Informationen. Aktuell ist Comet nur für Abonnenten der Perplexity Max-Stufe verfügbar, soll jedoch im Sommer auch für die Warteliste zugänglich sein.
powered by Borlabs Cookie