Meldung

Ungebetene Zuschauer

ESET-Forscher haben schwerwiegende Sicherheitslücken in einer beliebten Cloud-Kamera der Firma D-Link entdeckt. Das Modell "DCS-2132L" sendet die Videodaten im "mydlink"-Tunnel unverschlüsselt an das Smartphone des Besitzers. Angreifer können sich so per Man-in-the-middle Attacke in den Videostream einklinken oder diesen manipulieren.
ESET-Forscher haben in der Webcam DCS-2132L von D-Link Lücken gefunden.
Die ESET-Forscher haben D-Link im August 2018 bereits umfangreiches Material über die Schwachstellen zur Verfügung gestellt. Bisher wurden bei dem Modell "DCS-2132L" aber nicht alle von ESET [1] gemeldeten, möglichen Angriffspunkte geschlossen.

Besitzer der Kamera haben die Möglichkeit, durch eine spezielle App, zum Beispiel auf ihrem Smartphone, die Kamera aus der Ferne zu nutzen. Leider sind nur Teile des Datenverkehrs verschlüsselt und sensible Bereiche, wie Anfragen zur Kamera IP- und MAC-Adresse, Versionsinformationen, der Video- und Audio-Stream sowie weitere Informationen sind unverschlüsselt einsehbar. Sogar die Firmware der Kamera lässt sich durch die Sicherheitslücken austauschen. Ob das Update der Gerätesoftware legitim ist, wird nicht abgefragt. Daher ist es ohne weites möglich, eine manipulierte Firmware mit Spionagesoftware, Krypto-Miner, Botnetze oder anderen Trojaner zu installieren.

Bereits im August des letzten Jahres hätten die ESET-Forscher die Sicherheitslücken an D-Link gemeldet. Hierauf habe das Unternehmen umgehend reagiert und die Behebung der Fehler angestoßen. Seitdem seien zwar einige Probleme behoben worden, andere aber noch immer vorhanden. Noch immer könnten Angreifer die Audio- und Video-Streams abfangen und die Firmware ersetzen.

ESET rät Besitzern der Kamera unter anderem, umgehend zu prüfen, ob der Port 80 über das Internet erreichbar ist. Für diesen Test könne zum Beispiel ein Portscanner genutzt werden. Überwache die Kamera sensible Bereiche eines Unternehmens, sollten Nutzer umgehend den Fernzugriff deaktivieren. Universal Plug and Play (UPnP) ist derweil für die reibungslose Kommunikation zwischen den Geräten im Netzwerk zuständig. Wenn diese Funktion nicht erforderlich ist, sollte sie besser ausgestellt werden.
4.06.2019/dr/jm

Tipps & Tools

E-Mails einfach verschlüsseln [26.06.2019]

Trotz vieler neuer Datenschutzvorgaben wie zum Beispiel DSGVO sind verschlüsselte E-Mails meist nicht Standard in Unternehmen. Mit Hilfe der Webseite "reddcrypt.com" lassen sich E-Mails auf einfache Art und Weise verschlüsseln. Als Technologie hinter dem Online-Dienst, der sich als Webanwendung von jedem Endgerät aus nutzen lässt, kommt PGP zum Einsatz. [mehr]

Download der Woche: Whonix [25.06.2019]

Wenn Sie Ihren Rechner vor Gefahren schützen wollen, kann das Linux-basierte Betriebssystem "Whonix" weiterhelfen. Dabei sorgt eine rekonfigurierte Debian-Base, die auf zwei virtuellen Maschinen auf dem Host-OS läuft, für besonders hohe Sicherheit. Diese Open-Source-Architektur agiert als wirksame Schutzschicht gegen Malware und IP-Leaks. [mehr]

Fachartikel

Häufige Hindernisse bei Mikrosegmentierungsprojekten [26.06.2019]

Die Übertragung von kritischen Workloads in virtuellen, hybriden Cloudlandschaften erfordert neue Sicherheitskonzepte, die über klassische Firewall- oder Endpoint-Kontrollen hinausgehen. Immer mehr Unternehmen schaffen deshalb mehrere Teile im Firmennetz, die nicht oder nur noch bedingt miteinander kommunizieren. Für Gartner zählt eine solche Mikrosegmentierung zu den zehn wichtigsten Sicherheitsprojekten für Security-Verantwortliche. Welche Hindernisse es dabei gibt und wie sie sich strategisch umschiffen lassen, erklärt dieser Artikel. [mehr]

Buchbesprechung

Anzeigen