Apple ist seit August informiert
HomeKit: Lange Gerätenamen machen iPad und iPhone unbrauchbar
Werden HomeKit-Geräte, die dem persönlichen iCloud-Konto zugeordnet sind, mit überdurchschnittlich langen Geräte-Namen versehen, können diese alle mit der selben iCloud-ID verknüpften Mobilgeräte unbrauchbar machen und so stark verlangsamen, dass auch ein Neuaufsetzen betroffener iPhone- und iPad-Modelle diese nicht mehr zum Leben erweckt. So lange das HomeKit-Gerät mit der überlangen Bezeichnung noch im persönlichen Konto existiert, befinden sich verbundene Mobilgeräte in einer Art Wachkoma.
„doorLock“ versetzt Mobilgeräte in ein Wachkoma
Diese Entdeckung hat der Sicherheits-Forscher Trevor Spiniolas gemacht und bereits im August an Apple gemeldet. Werden HomeKit-Geräte mit überlangen Namen versehen – im Test hat Spiniolas mit Gerätenamen von bis zu 500.000 Zeichen experimentiert – beeinträchtigt dies umgehend die Reaktionsfähigkeit aller verknüpften Mobilgeräte.
Spiniolas ist sich sicher, dass iPhone und iPad mit iOS und iPadOS 14.7 bis einschließlich iOS und iPadOS 15.2 betroffen sind und geht davon aus, dass alle iOS 14-Versionen verwundbar sind. „Verwundbar“, da durchaus die Möglichkeit besteht, dass Dritte die Schwachstelle in sogenannten Ransomware-Angriffen ausnutzen könnten.
Mögliche Basis für Ransomware-Angriffe
So könnten zwielichtige App-Anbieter mit Zugriff auf die HomeKit-Daten eines Nutzers etwa den Namen eines HomeKit-Gerätes plötzlich in eine überlange Zeichenkette ändern und erst nach Zahlung eines Lösegeldes wieder zurücksetzen. Der unbedarfte Anwender hätte in der Zwischenzeit keinen Zugang mehr zu seinen Mobilgeräten.
Spiniolas hat die Schwachstelle unter dem Titel „doorLock“ jetzt öffentlich gemacht und reagiert damit auf Apples Untätigkeit. Das Unternehmen ist seit August im Bilde, hat bislang aber noch nichts gegen die Schwachstelle unternommen. Zwar hat Apple initial zugesagt hier noch 2021 berichtigend eingreifen zu wollen, den Termin zwischenzeitlich aber verschoben und bislang keine Anstalten gemacht sich um die HomeKit-Schwachstelle kümmern zu wollen.
Das eingebettete Video zeigt die Auswirkungen der Schwachstelle in Aktion.
https://www.youtube.com/watch?v=_BmI5Otsm9I
Gibt es eigentlich eine Best Practice für die Namensgebung im HomeKit Bereich? Habe auch schon festgestellt, dass ich zB mit vielen Hue Lampen leichte Probleme habe bei der Namensvergabe.
Ich verwende möglichst kurze und einprägsame Namen ohne Zahlen oder Sonderzeichen. Ich habe hier mit Hue gar keine Probleme. Man sollte auch vermeiden zusätzliche „Raumbezeichnungen“ zu verwenden, denn die wäre dann doppelt, wenn man die Lampe einem Raum zuordnet. So heißt unsere Stehlampe im Esszimmer „Stehlampe“, genau wie die im Wohnzimmer – wenn Du sie aber in HomeKit und Hue den jeweiligen Räumen zuordnest, werden die auch von Siri unterschieden.
+1 gut zu wissen
Danke für die ausführliche Antwort. Ich benutze persönlich die Hue App gar nicht. Mache alles über die HomeKit App.
Deine Vorschläge muss ich mal testen wie gut das bei mir klappt. ;)
Die einzige Problematik bei den Namen ist, dass zB es nur ein Gerät „Wand“ heißen darf. Wenn ich in einem anderen Zimmer die Wandbeleuchtung „Wand“ nennen will, lässt es dir HomeKit App nicht zu. Und da muss ich spätestens mit Zahlen arbeiten. Wie hast du das gelöst?
Angeblich kann er in jeden Raum eine Lampe Names Wandbeleuchtung haben. Ging bei mir nie und entsprechend steht davor immer noch der Raumname, ist aber kein Problem, denn ist dieser exakt gleich geschrieben wie der Raum eben heißt blendet HomeKit diesen vorderen Teil des Names aus. So wird dann aus „Flur Wandleuchte“ im Flur automatisch die „Wandleuchte“.
Genau so muss ich es leider auch machen.
Meine Erfahrung ist, dass eine gut funktionierende Syntax [Raumname] [Gerätname] mit Leerzeichen dazwischen ist. In HomeKit wird dann nur der Gerätename innerhalb des Raums angezeigt. Im Beispiel meines Vorschreibers ginge also „Wohnzimmer Wand“ und „Küche Wand“. In beiden Räumen wird dann nur Wand angezeigt und Verwechslungen kann es so auch nicht geben. Ich habe das zum Beispiel gerade mit ein paar schaltbaren Steckdosen gemacht, die alle „XMAS Lights“ mit dem zugehörigen Raumnamen heissen. Geht dann auch gut mit Siri (und Alexa).
Da HomeKit bei Apple keine Priorität genießt, wird es wohl auch noch etwas dauern:(
da stimme ich dir zu. Da sollte dringend mal was geschehen. Oder warten die alle auf Matter da?
Schachbrett mit HomeKit, Dinge die einfach fehlen! ;-)
Warum warten eigentlich sie Hersteller mit der Behebung solcher Probleme so lange? Ist es so kompliziert, oder was treibt sie an? Verstehe es einfach nicht.
Kostet Geld und bringt keins ein. Reines minusgeschäft halt. Kein Unternehmen der Welt wartet gerne seine Infrastruktur.
Wie meinst du das?
Bei mir heißt es zB Deckenlicht, Sofalicht, Fernsehlicht, etc.
Und die Zuordnung des Raumes erfolgt ja eh automatisch.
Hab manchmal das Gefühl in den USA kommt keiner drauf die Sachen mal vernünftig zu betreiben. Oder wo ist der Impulse die Dinge richtig zu testen.
Du hast den Text a) nicht ganz gelesen oder b) nicht verstanden.
„im Test hat Spiniolas mit Gerätenamen von bis zu 500.000 Zeichen experimentiert“
Ob der normale, vernünftige Benutzer so viele Zeichen verwendet?
Damit könnte man jedes Gerät bis auf den Bauplan hinunter beschreiben.
Womit du dann bei Abschnitt „Mögliche Basis für Ransomware-Angriffe“ weiterlesen musst, um die Komplexität der Sache zu verstehen.
;)
Zu einem professionellen Softwaretest gehören aber nicht nur typische Eingaben, sondern gerade auch untypische. Überlaufende Variablen sind DER Klassiker überhaupt, eben weil sie so oft Probleme machen. Wenn solche Fehler nicht entdeckt werden, wurde die Software schlampig getestet.
Was es nicht alles gibt. Sehr geil ;D
8 hue lampen, 4 home pods mini, 2 home pods (maxi) und probleme ohne ende: mal geht das nicht, mal jenes, mal bricht die musik hier ab, mal da, dann verlieren die home pods mini wieder die Einstellung als stereo paar und spielen separat. Apple hat seit iOS 15.2 nur Probleme geschaffen
28 Hue-Lampen, 6 alte Osram, 3 Echo Show und 2 Echo Dot. Das komplette letzte Jahr nicht einmal ein Problem gehabt. Siri öffnet bei mir nur noch über CarPlay das Garagentor. Das hat öfters mal nicht funktioniert.
Mit kurzbefehlen auf dem HomePod kommt Siri bei mir sein mittlerweile sechs Wochen nicht mehr klar.
Seitdem wir auf Alexa umgestiegen sind haben wir auch null Probleme. Die Geräte reagieren in einer Geschwindigkeit dass es schon fast nicht von dieser Welt ist. Ich dachte all die Jahre ich würde einen Ferrari besitzen, dabei war es vielleicht grad mal ein Trabi. Siri und Homekit sind gnadenloser Schrott und das sage ich als langjähriger Apple-Fan. Auch ich musste es schmerzlich zugeben nachdem mich mein Schwager von Alexa überzeugte. Seit ios15 versagen bei uns die iPhones (11, 12) leider auch regelmässig. Schwarzer Screen mit Ladekreis sind schon fast täglich präsent. Bin am verzweifeln und hoffe wirklich Apple fokussiert sich wieder.
Blöd. Aber zum Glück einfach recht simpel zu umgehen: gib einfach niemandem Zugriff auf dein HomeKit. Und schon gar nicht wenn da noch iOS 14 läuft. Jajaja, schon gut, gibt ausreichend Menschen welche keinen Schimmer davon haben und auch kein Interesse daran.
Ob es reicht mit einem Mac den überlangen Namen (500.000 Zeichen ist ja schon ne Hausnummer) wieder zu ändern oder das Gerät einfach zu entfernen wird leider nicht beschrieben.
1. Absatz nach dem Titel: Mögliche Basis für Ransomware-Angriffe
„Der unbedarfte Anwender hätte in der Zwischenzeit keinen Zugang mehr zu seinen Mobilgeräten.“
Bist du bedarft, bekommst du Zugang, um den Namen zu ändern.
Gewusst wie, Trick 77 oder diy :)
Hört sich für mich aber nicht nach einem Problem mit Priorität an. Ich glaube kaum, dass jemand „überlange Namen“ in HomeKit verwendet, wozu auch – und der Ransomware-Angriff erscheint doch mehr als Konstruiert. Eine App, die durch den App-Store geschleust wird, soll so ein überlange Zeichenkette in HomeKit verwenden und so ein Lösegeld erpressen? Das ist doch lächerlich, denn erstens ist Apple der App-Anbieter bekannt und zweitens könnte man einfach HomeKit zurücksetzen und das Problem ohne Lösegeld erledigen. Da scheint eher der Wunsch nach einem möglichst hoher Bug-Bounty Prämie dazu geführt haben ein Schreckenszenario aufzubauen.
Gewisse Apps greifen auf eigene Server zu. Werden diese gekapert, worauf Apple keine Schuld trifft, können von dort aus auf die Geräte der Benutzer zugegriffen werden. Und wie im Artikel beschrieben, braucht es nur 1 Gerät im Netz, um alle lahm zu legen.
Auch wenn Apple den App-Anbieter kennt, bis das durch ist, ist der Schaden da.
Von daher wäre schon Apple in der Pflicht die Lücke zu schliessen, die sie offen haben.
Zudem betrifft das ja nicht einfach nur dich und mich, als Otto Normalanwender. Oft stehen solche Geräte auch in Einrichtungen, die Systemrelevant sind, auch wenn es nicht besonders schlau ist, sie dort einzusetzen. Aber es ist halt so. Und dann steht mehr auf dem Spiel und kostet mehr, als was du dir vorstellen kannst.
Wenn das Problem unter iOS 15 nicht mehr besteht, inwiefern hat Apple dann nicht reagiert?
Vlt. dass es noch jede Menge Geräte da draussen gibt, welche nicht auf ios15 geupdatet werden können und deshalb trotzdem nicht zum Schrott gehören?
Also laut Text besteht das Problem bis 15.2. … hast du aktuelleres ?
Hab den Text missverstanden.
Ab wann ist denn ein Name überlang?
20-30 Zeichen sollten doch kein Problem darstellen?!
Namen bestehend aus bis zu 0,5 Millionen Zeichen, werden in dem Artikel als lang angesehen.
Mit 20 bis 30 bist du auf der sicheren Seite ;)
Mit 20 bis 30 Millionen?
;)
Homekit wird leider kaum weiterentwickelt. Was mir so spontan einfällt:
– Kaum Piktogramme für die Geräte verfügbar
– Geräte wie Satubsaugerroboter fehlen
– Freigabe an andere User mit Einschränkung , zB. von nur speziellen Räumen
– Übersicht relativ schlecht bei vielen Geräten. Ich würde gerne meine HUE-Fernbedienungen aus der Raumansicht ausblenden
– Übersicht bei Automatisierungen auch schnell unübersichtlich
– Zusammenfassung von weiteren Geräten (Thermostate!) wie bei Lampen
“befinden sich in einer Art Wachkoma.“ sowas ist schon fast normal bei Apple.
Geofency ist seit iOS 15 immer mal wieder ausser Gefecht. Willkürlich.
Ich stelle schon seit Jahren fest, dass Apple sehr oft Fehler über mehrere Systemversionen nicht korrigiert oder anders gesagt einfach aussitzt.
Der Eindruck täuscht nicht, dass oft nur noch Druck hilft, dass Apple sich da bewegt. Dabei würde es zum guten Ruf beitragen und Werbekosten sparen.