{"id":237549,"date":"2024-08-13T11:08:24","date_gmt":"2024-08-13T09:08:24","guid":{"rendered":"https:\/\/www.ifun.de\/?p=237549"},"modified":"2024-08-13T11:08:24","modified_gmt":"2024-08-13T09:08:24","slug":"ecovacs-roboter-nicht-ausreichend-gegen-fremdzugriff-geschuetzt","status":"publish","type":"post","link":"https:\/\/www.ifun.de\/ecovacs-roboter-nicht-ausreichend-gegen-fremdzugriff-geschuetzt-237549\/","title":{"rendered":"Ecovacs-Roboter nicht ausreichend gegen Fremdzugriff gesch\u00fctzt"},"content":{"rendered":"

Der Frankfurter Entwickler Dennis Giese besch\u00e4ftigt sich schon seit einigen Jahren mit Smarthome-Robotern. Unter anderem hat er sich mit dem Projekt DustBuilder<\/a> einen Namen gemacht, mit dessen Hilfe man die Saugroboter unterschiedlicher Hersteller aus deren Cloud-Systemen \u201ebefreien\u201c und mit einer eigenen Firmware bespielen kann.<\/p>\n

Auf der Hackerkonferenz DEFCON<\/a> hat Giese nun die Sicherheit von Haushaltsrobotern, insbesondere von Ecovacs-Modellen, kritisch beleuchtet. Seine Untersuchung zeigt teils gravierende Schwachstellen, darunter die fehlende Verifizierung von TLS-Zertifikaten, defekte Werkseinstellungen und die M\u00f6glichkeit zum nicht autorisierten Zugriff auf Live-Kamerabilder.<\/p>\n

\"Giese<\/a><\/p>\n

Diese Probleme k\u00f6nnten potenziell dazu genutzt werden, die Ger\u00e4te auszuspionieren. Damit verbunden berichtetete Giese von Schwierigkeiten, diese Sicherheitsl\u00fccken an den Hersteller zu melden, und \u00e4u\u00dfert Zweifel an der Zuverl\u00e4ssigkeit von externen Zertifizierungsstellen. Das Fazit d\u00fcrfte niemand \u00fcberraschen: Wer seine Privatsph\u00e4re sch\u00fctzen will, sollte vorsichtig bei der Auswahl und Nutzung von solchen Ger\u00e4ten sein.<\/p>\n

Initiale Attacke setzt Bluetooth voraus<\/h2>\n

Die gute Nachricht ist, wenn man so will, dass sich die von Giese beschriebenen Ecovacs-Hacks ausschlie\u00dflich \u00fcber Bluetooth durchf\u00fchren lassen und ein Angreifer somit zumindest bei seiner ersten Attacke r\u00e4umlich in der N\u00e4he sein muss. Anschlie\u00dfend sei der Zugriff allerdings auch \u00fcbers Internet m\u00f6glich und die Angreifer k\u00f6nnten auf die in den Ger\u00e4ten verbauten Kameras und Mikrofone zugreifen.<\/p>\n

Der initiale Angriff ist bei den im Haus genutzten Reinigungsroboter allerdings schwieriger, als bei den Rasenm\u00e4hern von Ecovacs. Die Saug- und Wischroboter erlauben nach ihrer Aktivierung nur \u00fcber einen begrenzten Zeitraum hinweg eine Blutooth-Verbindung. Die M\u00e4hroboter von Ecovacs lassen allerdings permanent Bluetooth-Verbindungen zu, um auch au\u00dferhalb der WLAN-Verf\u00fcgbarkeit per Mobiltelefon ansprechbar zu sein. Bei diesen Ger\u00e4ten gibt es dann immerhin zumeist nicht mehr zu sehen, als auch mit einem Blick \u00fcber den Gartenzaun m\u00f6glich ist.<\/p>\n