Designschwächen und Implementierungslücken bei Machine-to-Machine (M2M)-Technologie

Originalbeitrag von Federico Maggi, Senior Threat Researcher

Die Bedrohungsforscher von Trend Micro untersuchten Designschwächen und Implementierungslücken in den Machine-to-Machine (M2M)-Protokollen MQTT und CoAP, infolge derer Angreifer Geräte unterwandern können. Während der Erforschung fanden sie Hunderttausende fehlkonfigurierter Hosts, die Anmeldedaten, sensible Informationen und prozessbezogene Daten in Gefahr bringen. Die Ergebnisse des Projekts fassten sie im Whitepaper „The Fragility of Industrial IoT’s Data Backbone: Security and Privacy Issues in MQTT and CoAP Protocols“ zusammen. Der Eintrag zeigt die Sicherheitsprobleme im aktuellen Stand von MQTT und CoApp auf, aufgrund dessen Angreifer ihre Ziele über Erkundung und laterale Bewegungen bis zur Remote-Kontrolle verfolgen können.

Message Queuing Telemetry Transport (MQTT) ist ein ausgereifter Standard und ein Publish-Subscribe-Protokoll, das die von Brokern vermittelte One-to-Many-Kommunikation abwickelt. Die Forscher fanden Sicherheitsprobleme im Protokoll selbst und seinen Softwareimplementierungen. Dies stellt auch deswegen ein Problem dar, weil MQTT kommerziell in der Automatisierung und in industriellen Anwendungen weit verbreitet ist, was sich als entscheidend für geschäftskritisches M2M erweisen könnte.

Das Constrained Application Protocol (CoAP) hingegen folgt einem Client-Server-Modell, das die Erstellung des Äquivalents von HTTP für eingeschränkte Knoten ermöglicht. Obwohl CoAP relativ neu ist, findet man es bereits häufig in Implementierungen des Internet-of-Things (IoT) und Industrial-Internet-of-Things (IIoT). Zu den Sicherheitsproblemen gehören in erster Linie solche, die auf den „verbindungslosen“ Charakter des User Datagram Protocol (UDP) zurückzuführen sind, auf dem es beruht. Einzelheiten zu dem Forschungsprojekt und den Ergebnissen liefert der Originalbeitrag und das Whitepaper „The Fragility of Industrial IoT’s Data Backbone: Security and Privacy Issues in MQTT and CoAP Protocols“.

 

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

*

Diese Website verwendet Akismet, um Spam zu reduzieren. Erfahre mehr darüber, wie deine Kommentardaten verarbeitet werden.