HP-Studie: Smartwatches sind vor Cyber-Attacken nicht sicher
Böblingen (ots)
Als Teil der laufenden HP-Studie zur Sicherheit des Internets der Dinge (Internet of Things, IoT) hat HP jetzt die Ergebnisse seiner Smartwatch-Untersuchung veröffentlicht. Diese bestätigen, dass Smartwatches mit Netzwerk- und Kommunikationsfunktionen eine neue Angriffsfläche für Cyberattacken darstellen. Die HP-Fortify-Studie zeigt, dass 100 Prozent der getesteten Smartwatches signifikante Schwachstellen aufweisen, darunter unzureichende Authentifizierung sowie fehlende Verschlüsselung und Datenschutzprobleme. (1) In seinem Bericht formuliert HP Empfehlungen zur sicheren Entwicklung und Verwendung von Smartwatches, zu Hause und am Arbeitsplatz.
Mit dem Wachstum des IoT-Marktes werden auch Smartwatches immer beliebter. Je häufiger sie eingesetzt werden, desto mehr sensible Informationen werden auf diesen Uhren gespeichert. Durch den Zugriff auf mobile Apps könnten zudem schon bald auch physische Zugriffsfunktionen möglich sein, wie das Öffnen einer Haus- oder Autotür.
In seiner Studie untersuchte HP, ob sich Smartwatches für die sichere Speicherung von sensiblen Daten eignen. Mit der Software HP Fortify on Demand wurden 10 Smartwatches getestet, zusammen mit den mobilen sowie Cloud-Anwendungskomponenten von Android und iOS. Dabei wurden zahlreiche Sicherheitslücken entdeckt.
Die häufigsten und am einfachsten zu behebenden Sicherheitslücken sind:
- Unzureichende Nutzer-Authentifizierung/-Autorisierung: Jede
getestete Smartwatch war mit einer mobilen Schnittstelle
verbunden, die nicht über eine Zwei-Faktor-Authentifizierung
verfügte. Zudem wurden Nutzerkonten nach drei bis fünf
Log-in-Fehlversuchen nicht gesperrt. Drei von zehn Smartwatches
waren nicht sicher vor so genanntem "Account Harvesting". Dabei
kann ein Angreifer durch die Kombination aus schwachen
Kennwortanforderungen, fehlender Kontensperrung und der
Zugänglichkeit von Nutzernamen auf das Gerät und die Daten
zugreifen.
- Fehlende Transportverschlüsselung: Transportverschlüsselung ist
unerlässlich, da persönliche Daten an mehrere Orte in der Cloud
verschoben werden. Während 100 Prozent der getesteten Produkte
über die Transportverschlüsselung SSL/TLS verfügen, sind 40
Prozent der Cloud-Verbindungen immer noch nicht sicher vor
POODLE-Attacken, erlauben schwache Verschlüsselung oder nutzen
noch SSL v2.
- Unsichere Schnittstellen: 30 Prozent der getesteten Smartwatches
nutzten Cloud-basierte Web-Schnittstellen. Sie alle wiesen
Probleme hinsichtlich der Zugänglichkeit von Nutzernamen auf. In
einem separaten Test haben 30 Prozent auch auf ihren mobilen
Anwendungen solche Probleme gezeigt. Diese Schwachstelle
ermöglicht es Hackern, gültige Nutzerkonten zu identifizieren.
Dies ist auf Grundlage der Benachrichtigung möglich, die durch
den Kennwortzurücksetzungs-Mechanismus generiert wird.
- Unsichere Software/Firmware: 70 Prozent der Smartwatches wiesen
Schwachstellen beim Schutz von Firmware-Updates auf. Dazu zählt
die Übertragung unverschlüsselter Firmware-Updates und
unverschlüsselter Update-Dateien. Jedoch wurde festgestellt,
dass viele Updates die Installation kontaminierter Firmware
verhindern. Obwohl schädliche Updates nicht installiert werden
können, lassen sich diese Dateien aufgrund mangelnder
Verschlüsselung herunterladen und analysieren.
- Datenschutz: Alle Smartwatches enthielten persönliche Daten wie
Name, Adresse, Geburtsdatum, Gewicht, Geschlecht, Herzfrequenz
oder andere Informationen über den Gesundheitszustand des
Nutzers. Durch die Probleme beim Schutz von Nutzernamen und die
Verwendung schwacher Kennwörter auf einigen Produkten kann es zu
Datenmissbrauch kommen.Während Hersteller daran arbeiten, die notwendigen Sicherheitsmaßnahmen in Smartwatches zu integrieren, sollten auch Kunden beim Kauf einer Smartwatch die Sicherheitsaspekte berücksichtigen. Es wird empfohlen, dass Nutzer keine sensiblen Zugangskontrollfunktionen wie den Auto- oder Hauszugang an ihre Smartwatch koppeln. Zudem wird die Einführung einer Passcode-Funktion, komplexe Passwörter und eine Zwei-Faktor-Authentifizierung dabei helfen, unautorisierten Datenzugang zu verhindern. Diese Sicherheitsmaßnahmen sind nicht nur wichtig, um persönliche Daten zu schützen. Sie sind auch unerlässlich, da Smartwatches am Arbeitsplatz eingesetzt werden und mit Unternehmensnetzwerken verbunden sind. Zusätzliche Richtlinien für eine sichere Verwendung von Smartwatches sind im vollständigen Report zu finden.
Weitere Informationen zu diesem Thema finden Sie in der HP Internet of Things Research Study von 2014, der ersten Studie dieser IoT-Serie, die die Sicherheit der zehn gängigsten IoT-Geräte untersucht. Zudem werden im HP Home Security Systems Report von 2015 die zehn gängigsten vernetzten Haussicherheitssysteme getestet.
Methode
HP Fortify nutzte für die Durchführung dieser Studie die Testmethodik von HP Fortify on Demand IoT, die manuelle und automatisierte Tests miteinander kombiniert. Die Geräte und ihrer Komponenten wurden auf der Grundlage der OWASP Internet of Things Top 10 geprüft und auf die üblichen Schwachstellen jeder einzelnen TOP-10-Kategorie getestet.
Die resultierenden Daten und Prozentangaben in diesem Bericht wurden aus den Tests der zehn getesteten Systeme erstellt. Auch wenn bereits eine beträchtliche Anzahl von Smartwatches auf dem Markt ist und diese Zahl weiter wächst, geht HP davon aus, dass die große Ähnlichkeit der Ergebnisse für die zehn getesteten Smartwatches verlässliche Rückschlüsse auf die momentane Sicherheitssituation im Bereich dieser Geräte zulässt.
Den vollständigen Bericht zur Smartwatch-Sicherheit finden Sie unter http://go.saas.hp.com/fod/internet-of-things
Weitere Informationen
Weitere Informationen zu HP Fortify finden Sie unter http://www8.hp.com/de/de/software-solutions/application-security/
Die HP Internet of Things Research Study von 2014 finden Sie unter http://ots.de/SwHwF
Den HP Home Security Systems Report von 2015 finden Sie unter http://ots.de/ALXze
Weitere Informationen zu HP Protect unter http://h71056.www7.hp.com/hp-protect/overview.html
Aktuelle Nachrichten finden Sie auf dem IT-Blog von HP http://ots.de/zEusu
Den globalen Newsroom von HP finden Sie unter http://www8.hp.com/us/en/hp-news/newsroom.html
Bildmaterial steht Ihnen hier zur Verfügung https://www.flickr.com/photos/hpdeutschland/sets
Fußnote
(1) "HP Internet of Things Security Report: Smartwatches," HP, Juli 2015
Über HP Security
HP ermöglicht Unternehmen einen aktiven Ansatz für die Gewährleistung ihrer IT-Sicherheit. Prävention und Echtzeit-Erkennung verhindern Angriffe frühzeitig. Mit Produkten, Dienstleistungen und laufender Forschung ermöglicht HP Enterprise Security es Unternehmen, Informationskorrelation, Anwendungsanalyse und Netzwerkebene in deren Sicherheitsstrategie zu integrieren. Weitere Informationen über HP Enterprise Security finden Sie unter www.hp.com/go/esp.
Folgen Sie HP Software auf Linkedin und @HPSoftware auf Twitter. Um mehr über HP Fortify und Produkte von HP Enterprise Security zu erfahren, folgen Sie bitte @HPsecurity auf Twitter und HP Enterprise Security auf Linkedin.
HPs jährliche Sicherheitskonferenz für Unternehmensanwender, HP Protect, findet vom 1. bis 4. September 2015 in Washington, D.C. statt.
Über HP
HP schafft neue Möglichkeiten für den sinnvollen Einsatz von Informationstechnologie (IT) für Privatpersonen, Unternehmen, Behörden und die Gesellschaft. HP bietet das breiteste IT-Portfolio im Markt - es umfasst Drucken, Personal Computing, Software, Services und IT-Infrastruktur. Damit liefert HP weltweit Lösungen, mit denen Kunden komplexe Herausforderungen bewältigen können. Weitere Informationen über HP (NYSE: HPQ) finden Sie unter http://www.hp.com.
Pressekontakt:
Janina Rogge
HP-Presseservice
F&H Public Relations GmbH
Tel.: 089 12175-151
E-Mail: hp@fundh.de
www.fundh.de
Original content of: HP Deutschland GmbH, transmitted by news aktuell