Teil 3: Darf’s noch etwas Security sein? Warum das IoT kalt erwischt wurde.

Der technische Fortschritt schaffte es in atemberaubender Geschwindigkeit, die Miniaturisierung von technischen Geräten voranzutreiben. Durch immer kleinere Fertigungsgrößen im unteren Nanometer-Bereich in der Prozessorherstellung ist es möglich geworden, Chips mit ausreichender Leistung mit minimalem Materialeinsatz zu produzieren. Auch weitere elektrotechnische Bauteile konnten erfolgreich verkleinert werden. Hierzu zählen besonders Antennen, die klassischerweise auf gewisse Mindestlängen in Abhängigkeit der jeweiligen Zielfrequenz angewiesen waren. Die intensive Forschung in diesen Feldern hat es jedoch ermöglicht, auch hier Lösungen für winzige Baugrößen mit überschaubaren Leistungseinbußen zu finden. 

Anders sieht es im Bereich der Sicherheitsmaßnahmen aus. Während auf klassischen Desktop- oder Laptop-Computern gewöhnlich Antiviren-Software und Firewall-Lösungen eingesetzt werden, ist dies auf IoT-Geräten meist keine Option. Die Scanning-Routinen der Programme benötigen eine signifikante Menge an Systemressourcen, um das Dateisystem oder ein- und ausgehende Pakete zu untersuchen. Das ist Rechenleistung, die bei einem sparsam designten, auf einen Anwendungsfall zugeschnittenen IoT-Gerät nicht zur Verfügung steht. Außerdem steht die dauerhaft genutzte Rechenleistung direkt im Verhältnis zum verursachten Stromverbrauch. Diese Programme leben von der ständigen Synchronisation mit einer Datenbank, die beispielsweise Virendefinitionen aktualisiert und bekannte Angriffsvektoren beinhaltet. In vielen Fällen sind die IoT-Geräte jedoch nicht dauerhaft mit dem Internet verbunden, um diese aktualisierten Daten anfordern zu können.

Mit der Miniaturisierung schaffte das IoT auch den Durchbruch im Massenmarkt. Es wurde endlich möglich, energiesparsame und kleine Geräte in verschiedensten Anwendungsfällen einzusetzen, sei es von Bastlern oder großen kommerziellen Unternehmen. Eine Tatsache eint jedoch alle Anwender: Eine besondere Attraktivität strahlt das herausragende Preis-Leistungs-Verhältnis der Geräte aus, da sich nun endlich Szenarien mit zahlreichen, vernetzten IoT-Geräten kostengünstig umsetzen lassen. Diese Chance witterten zahlreiche Gerätehersteller, allen voran große chinesische Konzerne die ihre Produkte unter anderem als White-Label-Lösungen auf den internationalen Markt werfen, wo sie unter anderen Herstellernamen an Endkunden verkauft werden. Es entstand ein harter Konkurrenzkampf, der mit geringen Margen [2] und dem Absatz hoher Stückzahlen bestritten wird. 

Diese Entwicklung erklärt, warum kostentechnisch im IoT kein Platz für Sicherheit zu sein scheint. Es geht den Herstellern primär darum, Produkte schnell und kostengünstig auf den Markt bringen zu können. Gewinner ist der, der am schnellsten neue Anwendungsfälle erschließt und mit zahlreichen Funktionen punkten kann. An dieser Stelle ist aber auch der Verbraucher mitverantwortlich, der den Hersteller durch seine Kaufentscheidung dazu zwingen könnte, in die Sicherheit der Geräte zu investieren. Solange das nicht geschieht, lohnt es sich für die Hersteller schlicht nicht, zusätzliche Kosten durch eine sichere Softwareentwicklung oder zusätzliche Sicherheitsfunktionen zu verursachen. Das gilt auch für Hardware-Bausteine wie Trusted Platform Modules (TPMs), die durch speziell geschützte Hardware zusätzliche Sicherheitsfunktionen bereitstellen können. Während diese Bausteine in klassischen Computern seit Jahrzehnten auf den Mainboards verbaut werden, erhalten derartige Funktionen, etwa durch Trusted Execution Environments (TEEs) wie ARM TrustZone, [3] erst langsam Einzug und werden aktuell von Entwicklern nur sporadisch genutzt. TEEs sind bislang häufig nur potenteren und teureren IoT-Geräten vorbehalten, die beispielsweise ARM-Prozessoren nutzen. Solange zusätzliche Maßnahmen wie diese nicht von Entwicklern und Nutzern durch ihr Verhalten aktiv eingefordert werden, wählen Hersteller weiterhin stets die günstige und unkomplizierte Variante.

Allgemein steht das IoT für eine nie dagewesene Flexibilität und Dynamik in der Benutzung. Erinnert man sich zurück an den ersten Teil der Artikelreihe, war eine der wichtigsten Botschaften zur Vision des IoT, dass die Geräte sich unscheinbar und unmerklich in den Hintergrund des täglichen Lebens integrieren. Dieser Anspruch birgt jedoch einige technische Herausforderungen, die wir im Folgenden beleuchten.

Zunächst einmal soll die Einrichtung von neuen Geräten möglichst ohne eine lästige Konfiguration durch den Benutzer erfolgen. Man möchte es gerade Privatnutzern ersparen, sich beispielsweise auf der Benutzeroberfläche des eigenen Routers anzumelden, um einzelne Ports für Anwendungen des IoT-Gerätes freizugeben. Solche Prozesse sind mühsam und fehleranfällig. Es ist zudem nicht unwahrscheinlich, dass das Gerät nach den Einstellungen durch den Nutzer nicht einwandfrei funktioniert und Frustration verursacht. Aus diesem Grund haben sich Protokolle wieUniversal Plug and Play (UPnP) [4] etabliert, die es ermöglichen, herstellerübergreifend Geräte in einem IP-Netzwerk anzusteuern und zu konfigurieren. So kann ein neues IoT-Gerät selbstständig Portfreigaben und Weiterleitungen beim Heimrouter anfordern. Dieses Verhalten ist nicht nur deshalb kritisch, weil somit die Router-Konfiguration ohne das Wissen des Nutzers gefährlich abgeändert werden kann. Es existieren weitere Probleme im Umgang mit UPnP: Zusätzlich zu Schwachstellen in UPnP selbst wurden auch bei der Implementierung des Protokolls durch Hersteller zahlreiche Fehler gemacht, die Angreifern vielfältige Einfallstore bieten [5]. Es kann daher an dieser Stelle nur empfohlen werden, die UPnP-Funktion des eigenen Routers gänzlich zu deaktivieren.

Im Rahmen dieses Artikels haben wir uns mit den grundlegenden Sicherheitsproblemen von IoT-Geräten befasst und analysiert, woher diese kommen. Im nächsten Teil widmen wir uns erneut dem groß angelegten IoT-Deployment im Regenwald und wagen einen Blick hinter die Kulissen, wie selbst für ein solches, riesiges Sensornetzwerk mit schwachen, energieeffizienten Geräten und ohne externe Infrastruktur ein sicherer Betrieb erreicht werden kann.