News Philips Hue und Zigbee: Sicherheitslücke gab Zugriff auf Leuch­ten und Netzwerk

Frank

Chefredakteur
Teammitglied
Dabei seit
März 2001
Beiträge
6.255
Sicherheitsforscher von Check Point haben eine Sicherheitslücke in Zigbee und somit auch Philips Hue entdeckt, die es Angreifern erlaubt, Kontrolle über die mit dem System verbundenen Leuchten zu ergattern und den Angriff auf das Netzwerk auszuweiten. Betroffen ist aber nicht nur der Marktführer Philips Hue.

Zur News: Philips Hue und Zigbee: Sicherheitslücke gab Zugriff auf Leuch­ten und Netzwerk
 

Chillaholic

Fleet Admiral
Dabei seit
Jan. 2008
Beiträge
13.050
Na hauptsache meine Glühbirnen haben Internetzugang. 💩
 

DenMCX

Lt. Commander
Dabei seit
Apr. 2017
Beiträge
1.308
"Löscht er sie nun aus dem Philips-Hue-System, um den Fehler durch ein erneutes Anlernen zu beseitigen, kann der Angreifer mittels in die Leuchte eingespielter Malware auch auf die Bridge zugreifen, worüber sich wiederum Zugriff auf das Netzwerk erlangen ließ."

Wie darf man das verstehen? Klingt so, als wäre der Angreifer dann als "Admin" im Netzwerk unterwegs, was ich ja so nicht glauben kann.
 

eyedexe

Lt. Junior Grade
Dabei seit
Dez. 2007
Beiträge
413
Generell sollte man Netzsegmentierung mehr Beachtung schenken.
 

cor1

Lt. Commander
Dabei seit
März 2014
Beiträge
1.641
Danke an CB für die News. Werde gleich schauen, ob es schon ein Update gibt. hab es aber eh segmentiert.
 

Chillaholic

Fleet Admiral
Dabei seit
Jan. 2008
Beiträge
13.050

Cat Toaster

Commander
Dabei seit
Juli 2013
Beiträge
2.642

Hatsune_Miku

Commander
Dabei seit
Juli 2012
Beiträge
2.699
Mein Mitleid bei sowas hält sich echt in Grenzen, es gibt Geräte die haben mMn nichts im Internet zu suchen und dazu gehört auch der ganze smarthomequatsch.
 

PS828

Commander
Dabei seit
Juni 2019
Beiträge
2.296
Diese ganze All The Things Smart Home Internet+WLAN Feature Konnektivität fliegt uns TOTAL überraschend immer wieder um die Ohren.
Allein diese Woche drei mal :D mal sehen wie oft das noch passieren muss bis diesem Unfug einhalt geboten wird. Warscheinlich muss wirklich erst ein haus seine Besitzer selbst einschließen..
"smart Home", "Cloud" eine Erfolgsgeschichte^^

:daumen:
 

Krautmaster

Fleet Admiral
Dabei seit
Feb. 2007
Beiträge
22.281
naja es is schon cool dem Roborock beim Durchsaugen auf der Karte zuschauen zu können / ihn anstarten wen man unterwegs ist. Da er übers Gästewlan im Internet is greift die App einfach im so drüber drauf zu. Das mir lieber als irgendwie im gleichen LAN nen Gerät zu haben dass wunder weis was für Daten nach Fernost schaufelt. Daten aus meinem eigenen LAN.

Genauso ist das Hue / die Zigbee Basis ja über den Account online steuerbar. Ob da nun jemand über Hacks mein Licht ausmachen kann oder nicht ist mir jetzt erstmal egal - schlimmer finde ich da eher nen Gerät im LAN zu haben das gehacked wird und dann zb Zugriff auf offene SMB Shares usw hat oder gar Traffic mitsniffen kann.

Heißt: Internetzugriff ja. Aber bitte komplett getrennt vom restlichen LAN. Dürfte für so ziemlich alles im SmartHome gelten außer es hat wirklich keinen Bedarf auf Internet Zugriff. Dann kann man das Gerät aber auch für eben diesen sperren.
 
Zuletzt bearbeitet:

Ishtmi

Cadet 3rd Year
Dabei seit
Jan. 2013
Beiträge
37
Wie jetzt?
Hat Samsung den Lampen jetzt schon die infrarot Fernbedienung wegrationalisiert?
Darf der hippe shit nicht mehr ohne Netzwerk funktionieren?
Jailbreakimg verboten?
Ironie
 

DerHotze

Ensign
Dabei seit
Okt. 2014
Beiträge
179
Also eigentlich:

  1. Installiert der Angreifer eine neue Software auf eine Birne die er von der Straße aus erreichen kann.
  2. Mach das Licht an aus und spielt den Farben bis es dem Besitzer zu doof wird
  3. Der Besitzer schmeißt die nicht mehr funktionierende Birne aus dem hue Netz und wählt sie neu ein. Hier kommt nun die zigbee-Schwäche:
  4. Durch diesen Neustart ist die neue Firmware auf der Hue Bridge einnisten
  5. Die nun kompromittierte Hue Bridge verbindet sich mit dem Angreifer und verschafft den Zugang in das eigene LAN
Betroffen war aber nur die Bridge 1...
Ein Update dazu kam schon am 13 bzw 14.1.2020.
Also ging die Nachricht erst raus als das Problem bereits behoben war...

https://blog.checkpoint.com/2020/02/05/the-dark-side-of-smart-lighting-check-point-research-shows-how-business-and-home-networks-can-be-hacked-from-a-lightbulb/

Auf dem Blog ist auch ein YouTube Video verlinkt...
 
Zuletzt bearbeitet:

deo

Admiral
Dabei seit
Okt. 2005
Beiträge
7.426
Dann gehört es auch ins Gäste Klo SCNR

Also ging die Nachricht erst raus als das Problem bereits behoben war...
Eine angemessene Zeit für den Hersteller sollte man ihm gewähren, um eine Lücke schließen zu können.
Solange sollte man mit der Bekanntgabe der Lücke warten, um keine Trittbrettfahrer auf den Plan zu rufen.
Das ist nicht mehr als fair.
 
Top