HP Deutschland GmbH

HP-Studie: Smartwatches sind vor Cyber-Attacken nicht sicher

Böblingen (ots) - Als Teil der laufenden HP-Studie zur Sicherheit des Internets der Dinge (Internet of Things, IoT) hat HP jetzt die Ergebnisse seiner Smartwatch-Untersuchung veröffentlicht. Diese bestätigen, dass Smartwatches mit Netzwerk- und Kommunikationsfunktionen eine neue Angriffsfläche für Cyberattacken darstellen. Die HP-Fortify-Studie zeigt, dass 100 Prozent der getesteten Smartwatches signifikante Schwachstellen aufweisen, darunter unzureichende Authentifizierung sowie fehlende Verschlüsselung und Datenschutzprobleme. (1) In seinem Bericht formuliert HP Empfehlungen zur sicheren Entwicklung und Verwendung von Smartwatches, zu Hause und am Arbeitsplatz.

Mit dem Wachstum des IoT-Marktes werden auch Smartwatches immer beliebter. Je häufiger sie eingesetzt werden, desto mehr sensible Informationen werden auf diesen Uhren gespeichert. Durch den Zugriff auf mobile Apps könnten zudem schon bald auch physische Zugriffsfunktionen möglich sein, wie das Öffnen einer Haus- oder Autotür.

In seiner Studie untersuchte HP, ob sich Smartwatches für die sichere Speicherung von sensiblen Daten eignen. Mit der Software HP Fortify on Demand wurden 10 Smartwatches getestet, zusammen mit den mobilen sowie Cloud-Anwendungskomponenten von Android und iOS. Dabei wurden zahlreiche Sicherheitslücken entdeckt.

Die häufigsten und am einfachsten zu behebenden Sicherheitslücken sind:

   - Unzureichende Nutzer-Authentifizierung/-Autorisierung: Jede 
     getestete Smartwatch war mit einer mobilen Schnittstelle 
     verbunden, die nicht über eine Zwei-Faktor-Authentifizierung 
     verfügte. Zudem wurden Nutzerkonten nach drei bis fünf 
     Log-in-Fehlversuchen nicht gesperrt. Drei von zehn Smartwatches 
     waren nicht sicher vor so genanntem "Account Harvesting". Dabei 
     kann ein Angreifer durch die Kombination aus schwachen 
     Kennwortanforderungen, fehlender Kontensperrung und der 
     Zugänglichkeit von Nutzernamen auf das Gerät und die Daten 
     zugreifen.
   - Fehlende Transportverschlüsselung: Transportverschlüsselung ist 
     unerlässlich, da persönliche Daten an mehrere Orte in der Cloud 
     verschoben werden. Während 100 Prozent der getesteten Produkte 
     über die Transportverschlüsselung SSL/TLS verfügen, sind 40 
     Prozent der Cloud-Verbindungen immer noch nicht sicher vor 
     POODLE-Attacken, erlauben schwache Verschlüsselung oder nutzen 
     noch SSL v2.
   - Unsichere Schnittstellen: 30 Prozent der getesteten Smartwatches
     nutzten Cloud-basierte Web-Schnittstellen. Sie alle wiesen 
     Probleme hinsichtlich der Zugänglichkeit von Nutzernamen auf. In
     einem separaten Test haben 30 Prozent auch auf ihren mobilen 
     Anwendungen solche Probleme gezeigt. Diese Schwachstelle 
     ermöglicht es Hackern, gültige Nutzerkonten zu identifizieren. 
     Dies ist auf Grundlage der Benachrichtigung möglich, die durch 
     den Kennwortzurücksetzungs-Mechanismus generiert wird.
   - Unsichere Software/Firmware: 70 Prozent der Smartwatches wiesen 
     Schwachstellen beim Schutz von Firmware-Updates auf. Dazu zählt 
     die Übertragung unverschlüsselter Firmware-Updates und 
     unverschlüsselter Update-Dateien. Jedoch wurde festgestellt, 
     dass viele Updates die Installation kontaminierter Firmware 
     verhindern. Obwohl schädliche Updates nicht installiert werden 
     können, lassen sich diese Dateien aufgrund mangelnder 
     Verschlüsselung herunterladen und analysieren.
   - Datenschutz: Alle Smartwatches enthielten persönliche Daten wie 
     Name, Adresse, Geburtsdatum, Gewicht, Geschlecht, Herzfrequenz 
     oder andere Informationen über den Gesundheitszustand des 
     Nutzers. Durch die Probleme beim Schutz von Nutzernamen und die 
     Verwendung schwacher Kennwörter auf einigen Produkten kann es zu
     Datenmissbrauch kommen. 

Während Hersteller daran arbeiten, die notwendigen Sicherheitsmaßnahmen in Smartwatches zu integrieren, sollten auch Kunden beim Kauf einer Smartwatch die Sicherheitsaspekte berücksichtigen. Es wird empfohlen, dass Nutzer keine sensiblen Zugangskontrollfunktionen wie den Auto- oder Hauszugang an ihre Smartwatch koppeln. Zudem wird die Einführung einer Passcode-Funktion, komplexe Passwörter und eine Zwei-Faktor-Authentifizierung dabei helfen, unautorisierten Datenzugang zu verhindern. Diese Sicherheitsmaßnahmen sind nicht nur wichtig, um persönliche Daten zu schützen. Sie sind auch unerlässlich, da Smartwatches am Arbeitsplatz eingesetzt werden und mit Unternehmensnetzwerken verbunden sind. Zusätzliche Richtlinien für eine sichere Verwendung von Smartwatches sind im vollständigen Report zu finden.

Weitere Informationen zu diesem Thema finden Sie in der HP Internet of Things Research Study von 2014, der ersten Studie dieser IoT-Serie, die die Sicherheit der zehn gängigsten IoT-Geräte untersucht. Zudem werden im HP Home Security Systems Report von 2015 die zehn gängigsten vernetzten Haussicherheitssysteme getestet.

Methode

HP Fortify nutzte für die Durchführung dieser Studie die Testmethodik von HP Fortify on Demand IoT, die manuelle und automatisierte Tests miteinander kombiniert. Die Geräte und ihrer Komponenten wurden auf der Grundlage der OWASP Internet of Things Top 10 geprüft und auf die üblichen Schwachstellen jeder einzelnen TOP-10-Kategorie getestet.

Die resultierenden Daten und Prozentangaben in diesem Bericht wurden aus den Tests der zehn getesteten Systeme erstellt. Auch wenn bereits eine beträchtliche Anzahl von Smartwatches auf dem Markt ist und diese Zahl weiter wächst, geht HP davon aus, dass die große Ähnlichkeit der Ergebnisse für die zehn getesteten Smartwatches verlässliche Rückschlüsse auf die momentane Sicherheitssituation im Bereich dieser Geräte zulässt.

Den vollständigen Bericht zur Smartwatch-Sicherheit finden Sie unter http://go.saas.hp.com/fod/internet-of-things

Weitere Informationen

Weitere Informationen zu HP Fortify finden Sie unter http://www8.hp.com/de/de/software-solutions/application-security/

Die HP Internet of Things Research Study von 2014 finden Sie unter http://ots.de/SwHwF

Den HP Home Security Systems Report von 2015 finden Sie unter http://ots.de/ALXze

Weitere Informationen zu HP Protect unter http://h71056.www7.hp.com/hp-protect/overview.html

Aktuelle Nachrichten finden Sie auf dem IT-Blog von HP http://ots.de/zEusu

Den globalen Newsroom von HP finden Sie unter http://www8.hp.com/us/en/hp-news/newsroom.html

Bildmaterial steht Ihnen hier zur Verfügung https://www.flickr.com/photos/hpdeutschland/sets

Fußnote

(1) "HP Internet of Things Security Report: Smartwatches," HP, Juli 2015

Über HP Security

HP ermöglicht Unternehmen einen aktiven Ansatz für die Gewährleistung ihrer IT-Sicherheit. Prävention und Echtzeit-Erkennung verhindern Angriffe frühzeitig. Mit Produkten, Dienstleistungen und laufender Forschung ermöglicht HP Enterprise Security es Unternehmen, Informationskorrelation, Anwendungsanalyse und Netzwerkebene in deren Sicherheitsstrategie zu integrieren. Weitere Informationen über HP Enterprise Security finden Sie unter www.hp.com/go/esp.

Folgen Sie HP Software auf Linkedin und @HPSoftware auf Twitter. Um mehr über HP Fortify und Produkte von HP Enterprise Security zu erfahren, folgen Sie bitte @HPsecurity auf Twitter und HP Enterprise Security auf Linkedin.

HPs jährliche Sicherheitskonferenz für Unternehmensanwender, HP Protect, findet vom 1. bis 4. September 2015 in Washington, D.C. statt.

Über HP

HP schafft neue Möglichkeiten für den sinnvollen Einsatz von Informationstechnologie (IT) für Privatpersonen, Unternehmen, Behörden und die Gesellschaft. HP bietet das breiteste IT-Portfolio im Markt - es umfasst Drucken, Personal Computing, Software, Services und IT-Infrastruktur. Damit liefert HP weltweit Lösungen, mit denen Kunden komplexe Herausforderungen bewältigen können. Weitere Informationen über HP (NYSE: HPQ) finden Sie unter http://www.hp.com.

Pressekontakt:

Janina Rogge
HP-Presseservice
F&H Public Relations GmbH
Tel.: 089 12175-151
E-Mail: hp@fundh.de
www.fundh.de

Original-Content von: HP Deutschland GmbH, übermittelt durch news aktuell

Weitere Meldungen: HP Deutschland GmbH

Das könnte Sie auch interessieren: