[Funksteckdose:] Hersteller bedrängt Hacker nach ehrlicher Amazon-Bewertung

https://www.szenebox.org/images/_imp...2016/07/23.jpg ► Was tut man, wenn ein Hacker Sicherheitslücken in einer Funksteckdose findet, und diese in einer Amazon-Bewertung offenlegt? Bloß nicht reparieren, lieber den Botschafter drangsalieren. So macht es derzeit eine chinesische Internet-of-Things-Firma.

Der Sicherheitsforscher Matthew Garrett hat eine ehrliche Amazon-Bewertung für die Funksteckdose mit dem Namen Auyou Wi-Fi-Switch veröffentlicht und dabei zahlreiche Kritikpunkte geäußert und letztlich nur einen Stern vergeben. Das Gerät wurde ihm vom Hersteller unaufgefordert kostenfrei zugeschickt, offenbar mit der Hoffnung auf eine gute Bewertung.

Wenige Tage nachdem Garrett die Bewertung veröffentlicht hatte, meldete sich eine Sprecherin bei ihm und forderte ihn auf, die schlechte Bewertung zu entfernen, weil ihr Chef sie und andere Mitarbeiter sonst feuern würde, wie Techcrunch schreibt. "Mein Boss gibt mir die Schuld, und sagt, wenn ich die schlechte Bewertung nicht entferne wird er mich feuern", schrieb die Frau nach Angaben von Techcrunch. "Kannst du die Bewertung von schlecht in gut ändern?", soll es in der Mail weiter heißen.

► Steckdose hat ungeschützten Internetverkehr
Die Funksteckdose kommuniziert im heimischen WLAN direkt mit dem Smartphone, kann aber auch über das Internet ferngesteuert werden. Die Daten werden dabei über einen Server in China geleitet, wie Garrett schreibt. Das ist an sich noch kein tragisches Problem, doch es gibt offenbar keine Verschlüsselung. "Die Kommando-Pakete sehen aus, als ob Sie verschlüsselt sind, aber es kommt nicht wirklich Kryptographie zum Einsatz" schreibt Garrett in seinem Test.

Das führt dazu, dass die Netzwerk-ID jeder Funksteckdose unverschlüsselt über das Netz übertragen wird. Der einzige Weg um den unsicheren Datenverkehr abzustellen war es nach Aussage von Garrett, jeglichen Traffic mit dem Unternehmensserver durch eine Firewall-Regel zu unterbinden. Damit kann dann aber auch die Fernsteuerungsfunktion nicht mehr genutzt werden.

"Jeder der die MAC-Adresse von einem der Geräte kennt, kann diese von überall auf der Welt kontrollieren. Du kannst kein Passwort setzen und eine normale Routerkonfiguration zuhause wird die Zugriffe nicht abwehren", schreib Garrett. Für einen normalen Nutzer wäre es kaum möglich, die entsprechenden Konfigurationen einzustellen, um das Gerät sicher zu nutzen.

Hersteller legen großen Wert auf gute Amazon-Bewertungen, weil diese die Kaufentscheidungen maßgeblich beeinflussen. Daher kommt es offenbar häufiger vor, dass Hersteller Kunden die negative Bewertungen abgeben Preisnachlässe anbieten, wenn diese entfernt werden.

Garrett sagt, dass er einer Änderung der schlechten Bewertung durchaus positiv gegenübersteht, unter einer Bedingung: Wenn der Hersteller aufhört, den Boten verantwortlich zu machen und die Sicherheitslücken behebt.

Quelle: Golem.de