Bluetooth- und IoT-Bedrohungen im Funkbereich

Bluetooth ist eine drahtlose Kurzstreckentechnologie (typischerweise 10–100 Meter), die im 2,4-GHz-ISM-Band arbeitet. Sie verwendet Frequency-Hopping-Spread-Spectrum (bis zu 1600 Frequenzsprünge pro Sekunde), wodurch sie einen gewissen Schutz vor Interferenzen und beiläufigem Abhören bietet. Bluetooth-Geräte werden gekoppelt, indem sie eine PIN austauschen oder Secure Simple Pairing (SSP) verwenden. Für Security+ sind Kenntnisse über Bluetooth-spezifische Angriffe, die in Bluetooth Classic und BLE (Bluetooth Low Energy) verfügbaren Sicherheitsmodi sowie Kontrollen zur Minimierung der Angriffsfläche Bluetooth-fähiger Geräte relevant.

Bluejacking ist ein vergleichsweise harmloser Angriff, bei dem unaufgeforderte Nachrichten an auffindbare Bluetooth-Geräte gesendet werden. Dafür muss Bluetooth auf dem Zielgerät im Erkennungsmodus aktiviert sein. Der Angriff nutzt die Funktion zum Teilen von Kontakten aus, um eine vCard oder Nachricht zu übertragen. Schwerwiegender ist Bluesnarfing, bei dem Schwachstellen im OBEX-Push-Protokoll ausgenutzt werden, um ohne Autorisierung durch eine Kopplung auf Kontakte, Kalenderdaten und Dateien eines Zielgeräts zuzugreifen. Bluesnarfing war bei frühen Bluetooth-Implementierungen (vor 2004) ein erhebliches Problem, ist in modernen Geräten jedoch weitgehend behoben. Beide Angriffe erfordern die Nähe zum Opfer.

Bluebugging nutzt Schwachstellen in Bluetooth aus, um unbefugte Kontrolle über ein Zielgerät zu erlangen – etwa um Anrufe zu tätigen, Nachrichten zu lesen oder Kommunikation abzufangen –, indem AT commands über Bluetooth missbraucht werden. Die Schwachstelle BIAS (Bluetooth Impersonation Attacks) aus dem Jahr 2020 (CVE-2020-10135) betrifft die Bluetooth-Spezifikation BR/EDR selbst. Sie ermöglicht es einem Angreifer, der zuvor eine Kopplung mit einem Gerät durchgeführt hat, sich während der Authentifizierung als das entfernte Gerät auszugeben und den Kopplungsvorgang zu umgehen. BIAS betraf nahezu alle Bluetooth-Implementierungen, bis die Hersteller Firmware-Patches veröffentlichten. Die Firmware aktuell zu halten, ist die wichtigste Schutzmaßnahme.

Bluetooth Low Energy (BLE) wird in Fitness-Trackern, medizinischen Geräten, Smart-Home-Geräten und Beacons eingesetzt. BLE verwendet Werbepakete, die Geräte kontinuierlich aussenden, damit andere Geräte sie erkennen können. Diese Werbepakete können Gerätekennungen enthalten, die zum Tracking verwendet werden können – zur Verfolgung des Aufenthaltsorts einer Person anhand ihrer BLE-Geräte. BLE-Verbindungen mit schwacher oder fehlender Kopplung (Just Works mode) können abgehört und manipuliert werden. Medizinische IoT-Geräte, die BLE mit schwacher Authentifizierung verwenden, stellen ein besonderes Risiko dar, da unbefugte Befehle die Sicherheit von Patienten beeinträchtigen können.

IoT (Internet of Things)-Geräte – Kameras, intelligente Thermostate, Industriesensoren und medizinische Überwachungsgeräte – bringen besondere Sicherheitsherausforderungen mit sich. Ihre Ressourcen sind oft begrenzt, und sie verwenden einfache Firmware, für die nur selten Sicherheitsupdates bereitgestellt werden. Viele werden mit Standardzugangsdaten ausgeliefert, die Benutzer nie ändern. IoT-Geräte vergrößern die Angriffsfläche erheblich: 2016 kompromittierte das Mirai-Botnetz Hunderttausende IP-Kameras und DVRs mithilfe von Standardzugangsdaten (admin/admin, root/root) und nutzte sie für groß angelegte DDoS-Angriffe. Jedes ungesicherte IoT-Gerät kann als Einstiegspunkt dienen.

Die wirksamste Kontrolle auf Netzwerkebene für IoT-Geräte ist die Segmentierung. IoT-Geräte sollten in einem dedizierten VLAN platziert werden, für das äußerst restriktive Firewall-Regeln gelten und nur die für ihre Funktion erforderlichen ausgehenden Verbindungen zulassen. Eingehende Verbindungen aus anderen internen Netzwerksegmenten sollten vollständig blockiert werden. Ein intelligenter Thermostat benötigt beispielsweise möglicherweise ausgehendes HTTPS zu seinem Cloud-Dienst, sollte aber niemals Verbindungen zu internen Dateiservern oder Datenbanken initiieren können. Dadurch wird der Schadensumfang begrenzt, falls ein Gerät kompromittiert wird.

Zigbee (IEEE 802.15.4) und Z-Wave sind Mesh-Netzwerkprotokolle, die häufig in der Smart-Home- und Gebäudeautomatisierung eingesetzt werden. Zigbee verwendet AES-128 zur Verschlüsselung, aber die Sicherheit hängt von der Schlüsselverwaltung ab: Der Trust-Center-Link-Key und der Netzwerkschlüssel müssen geschützt werden. Frühe Zigbee-Implementierungen übertrugen den Netzwerkschlüssel beim Beitritt eines Geräts im Klartext, sodass passive Lauscher ihn abfangen konnten. Z-Wave S2 (Security 2) hat dies deutlich verbessert. Forschende haben unter anderem Replay-Angriffe auf Z-Wave-Türschlösser demonstriert, bei denen Entsperrbefehle aufgezeichnet und erneut übertragen wurden.

NFC arbeitet mit 13,56 MHz und hat eine Reichweite von etwa 4 cm. Die Technologie wird für kontaktlose Zahlungen, Zugangsausweise und die Kopplung von Geräten eingesetzt. Trotz der sehr kurzen Reichweite ist NFC nicht gegen Angriffe geschützt. Das Abhören aktiver NFC-Kommunikation wurde mit empfindlichen Antennen in Entfernungen von bis zu 1 Meter nachgewiesen. Bei Relay-Angriffen verwenden Angreifer zwei zusammenarbeitende Geräte, um die Reichweite von NFC zu vergrößern. Dadurch kann ein Angreifer in der Nähe eines Opfers, etwa in einer Menschenmenge, das NFC-Signal an einen Komplizen an einem Zahlungsterminal weiterleiten. Dies ist eine bekannte Bedrohung für kontaktlose Zahlungssysteme.

RFID (Radio Frequency Identification) wird bei Zugangsausweisen, zur Anlagenverfolgung und in Lieferketten eingesetzt. Passive RFID-Tags antworten, wenn sie durch das HF-Feld eines Lesegeräts mit Energie versorgt werden, und verfügen über keine eigene Energiequelle. Zu den Sicherheitsproblemen gehören Cloning (das Kopieren eines legitimen Ausweises auf einen leeren Tag mithilfe eines Proxmark oder eines ähnlichen Lesegeräts), Abhören (das Abfangen der Übertragungen zwischen Tag und Lesegerät aus der Nähe) und Replay-Angriffe. Ältere HID-Karten mit 125 kHz (EM4100, HID Prox) verwenden keine Verschlüsselung und lassen sich problemlos klonen. Moderne Smartcard-Systeme (13,56 MHz MIFARE DESFire, SEOS) verwenden AES-Verschlüsselung und gegenseitige Authentifizierung.

Zu den praktischen Maßnahmen für Bluetooth-Sicherheit gehören: Geräte in den nicht erkennbaren Modus versetzen, wenn sie nicht gerade gekoppelt werden; Secure Connections (Bluetooth 4.1+ mit P-256-ECDH-Schlüsselaustausch) statt des älteren Simple Pairing verwenden; Numeric Comparison or Passkey Entry statt Just Works pairing verlangen; eine Mindestlänge für die Kopplungs-PIN durchsetzen; und Firmwareupdates des Herstellers zeitnah installieren, da viele Bluetooth-Schwachstellen durch Firmware behoben werden. Bei Unternehmensgeräten kann MDM Bluetooth vollständig deaktivieren oder auf bestimmte Anwendungsfälle beschränken.

IoT-Geräte werden häufig 5–15 Jahre lang eingesetzt, erhalten aber nur 2–3 Jahre lang Firmwareupdates – dadurch entsteht ein großes Zeitfenster für Angriffe. Unternehmen sollten IoT-Geräte in ihr Anlageninventar aufnehmen und dort Modell, Firmwareversion und Ende des Supports erfassen. Wenn der Herstellersupport endet, sollten Geräte ersetzt oder isoliert und durch strenge Netzwerkkontrollen geschützt werden. Für kritische Systeme sollten IoT-spezifische Sicherheitsplattformen (Azure Defender for IoT, Armis, Claroty) eingesetzt werden, die das Geräteverhalten passiv profilieren und bei Anomalien warnen, ohne Agents auf den Geräten zu benötigen.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie Folgendes gelernt: Bluetooth-Angriffe wie Bluejacking, Bluesnarfing und BIAS nutzen Schwachstellen drahtloser Verbindungen mit kurzer Reichweite aus und lassen sich durch das Deaktivieren der Erkennbarkeit sowie durch Firmware-Patches eindämmen; IoT-Geräte stellen aufgrund von Standardzugangsdaten, seltenen Updates und ihrer großen Verbreitung ein erhebliches Risiko dar – Gegenmaßnahmen sind Netzwerksegmentierung und dedizierte IoT-VLANs; und RFID- und NFC-Technologien, die bei Zugangsausweisen und Zahlungen eingesetzt werden, sind durch Cloning- und Relay-Angriffe bedroht und erfordern starke Verschlüsselung sowie gegenseitige Authentifizierung. Als Nächstes befassen wir uns mit Phishing-, Spear-Phishing- und Whaling-Angriffen.