Wenn man den Begriff „Wireless Security“ hört, denkt man meist an die Verschlüsselung von WLANs (mit WPA3 und Wi-Fi 6 aktuell sehr relevant) oder den Einsatz von IEEE 802.1X im WLAN.
Dabei vernachlässigt man aber unzählige Funk-Technologien, die uns im Alltag begleiten und über deren Sicherheit wir oft nicht oder nur am Rande nachdenken. Bei Bluetooth hat man vielleicht noch von KNOB (https://knobattack.com/) gehört.
Aber ein Bereich, der immer wichtiger und präsenter wird, fällt uns häufig erst sehr spät ein: Moderne Gebäudeautomatisierung. Sei es bei der „Smartifizierung“ von Altbauten oder zur Minimierung der Verkabelung bei Neubauten: Moderne Gebäudesteuerung – vom Licht über die Heizung bis zu den Rollläden – ist immer häufiger vernetzt.
Die Ziele dabei sind einerseits eine zuverlässige Automatisierung über die Kombination verschiedener Sensoren und Aktoren. Darunter fällt beispielsweise die automatische Abschattung durch Rollläden, wenn die Sonne direkt auf einen Bildschirm scheint. Andererseits scheint es für viele Nutzer komfortabler zu sein, das Licht per Smartphone an- und auszuschalten als aufzustehen und den Schalter zu betätigen. Völlig neue Raumgestaltungskonzepte sind möglich.
Das Problem: Für diese Geräte kommen verschiedenste proprietäre Protokolle zum Einsatz, z.B. Zigbee, Z-Wave, EnOcean, Lemonbeat. Alle diese Protokolle haben eigene Sicherheitsmechanismen und -lücken. Für eine (zukunfts)sichere Gebäudeautomatisierung sollte man also auch hier auf die Möglichkeiten von Komponenten achten:
- Die Komponenten sollten eine ausreichend sichere Verschlüsselung unterstützen.
- Authentisierung und Integritätsschutz bei der Datenübertragung sollten dem Stand der Technik entsprechen.
- Es sollte möglich sein, die Firmware der Geräte zu updaten, um Sicherheitslücken zu schließen.
- Die Integration in das eigentliche (Ethernet-)Netzwerk sollte überprüft werden. Dies beinhaltet neben Verschlüsselungsmechanismen auch die Netzwerksegmentierung und eventuelle Cloud-Anbindungen.
Beachtet man diese Punkte nicht, so können Unbefugte leicht Zugang zu allen angebundenen Sensoren und Aktoren im Gebäude erhalten, wie es J. Molina auf der Black Hat 2014 demonstriert hat[1].
Verweise
[1] J. Molina, „Learn How To Control Every Room At A Luxury Hotel Remotely: The Dangers Of Insecure Home Automation Deployment”, Black Hat 2014, https://www.blackhat.com/docs/us-14/materials/us-14-Molina-Learn-How-To-Control-Every-Room-At-A-Luxury-Hotel-Remotely-The-Dangers-Of-Insecure-Home-Automation-Deployment.pdf
