Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/03421.jsonl.gz/1018

Password Leak Analyse
Marc Ruef
Bei iBeacon handelt es sich um ein Protokoll, das durch Apple standardisiert und 2013 vorgestellt wurde. Mehrere Hersteller unterstützen diese Technologie. Hierbei werden Hardware-Transmitter bereitgestellt, die durch Bluetooth Low Energy ihre eindeutige ID aussenden. Durch Annäherung an ein iBeacon wird es einem Gerät (z.B. einem Smartphone) möglich, bestimmte Aktionen auszulösen.
In Bezug auf die angestrebte Grundfunktionalität unterscheidet sich iBeacon nicht von NFC/RFID. Auch hier wird durch die Annäherung an einen Chip ein entsprechender Event ausgelöst. Der funktionale Unterschied ist, dass ein iBeacon die Distanz erkennen kann. Hierbei wird zwischen drei Abstufungen unterschieden:
Ein iBeacon kann also zum Beispiel erkennen, wenn jemand mit seinem Smartphone den Raum betritt. Automatisch könnte nun das Licht heruntergeregelt und beim Hinsetzen auf das Sofa der Fernseher eingeschaltet werden. Verlässt die Person das Zimmer wieder, werden Licht und Fernseher automatisch ausgeschaltet. Wichtig ist dabei zu verstehen, dass die Aktionen nicht durch den Transmitter (iBeacon), sondern durch den Empfänger (Smartphone) ausgelöst werden müssen. Ein iBeacon ist ein dummes Gerät, das lediglich seine ID verschicken kann und zur Identifikation und Lokalisierung auf engstem Raum dient.
Die durch ein iBeacon verschickte UUID weist einen standardisierten Präfix, eine eindeutige ID sowie Major- und Minor-Informationen auf. Letztgenannte werden zur logischen Gruppierung genutzt, wenn man beispielsweise pro Stockwerk mehrere iBeacon einsetzen möchte.
fb0b57a2-8228-44 cd-913a-94a122ba1206 Major 1 Minor 2
Diese Zeichenkette wird ständig im Klartext übermittelt und kann entsprechend in der Nähe abgefangen werden. Dadurch liesse sich ein eigener Transmitter erstellen, der die gleiche UUID verschickt, wodurch sich eine andere Position vortäuschen lässt. Apple versucht durch Restriktionen in ihrer eigenen iOS API ein Scanning von Beacons zu verhindern. Es gibt jedoch Lösungen, mit denen sich eine solche Analyse durchsetzen lässt.
Zu einem Sicherheitsrisiko wird ein iBeacon dann, wenn aufgrund dessen Distanz zu einem kritischen Objekt sicherheitskritische Aktionen ausgelöst werden. Zum Beispiel, wenn bei der Annäherung an die Haustür das Mobiltelefon über das Internet automatisch die Alarmanlage ausschaltet. Befindet sich die Zielperson gar nicht vor der Haustür, sondern im Büro, und dort wird der vorgetäuschte iBeacon aktiviert, kann über Umwege die Alarmanlage im Haus deaktiviert werden.
Die grundlegende Problematik von iBeacon ist also die schwache Authentisierung und die fehlende Verschlüsselung bei Annäherung. Gepaart mit sicherheitskritischen Aktionen, die dadurch ausgelöst werden können, könnten konkrete Schwachstellen aufgetan werden. Die entsprechenden Angriffsszenarien sind also hochgradig individuell und vom geografischen sowie logischen Kontext abhängig.
Bei Beacons ist man nicht zwingend an das durch Apple definierte Protokoll gebunden. Stattdessen kann man ein eigenes Protokoll mit zusätzlichen kryptografischen Anforderungen implementieren. Es gibt diverse Anbieter, wie zum Beispiel Paypal, die sich darum bemüht haben. Diese anzugreifen ist nicht mehr ohne zusätzliche Aufwände möglich.
Unsere Spezialisten kontaktieren Sie gern!
Marc Ruef
Marc Ruef
Marc Ruef
Unsere Spezialisten kontaktieren Sie gern!
Weitere Artikel im Archiv