Wie sicher ist das Schwaiger Home Automation Gateway?

Das Schwaiger Home Automation System hatten wir euch Anfang des Jahres hier in Text, Bild und Video vorgestellt. Jetzt hat das Sicherheitsinstitut "AV-TEST" mal einen Blick drauf geworden. Sicherheitstest bestanden?

Das Schwaiger Home Automation Gateway[icons icon="icon-link" color="#1e73be" size="13"] dient als zentrale Steuerungseinheit im Smart Home. Zudem verfügt das Gerät selbst über eine steuerbare Lichteinheit. Während des im April 2016 durchgeführten Tests kamen neben dem Schwaiger Hub auch zwei Z-Wave-Produkte anderer Hersteller zum Einsatz. Hier sind die wichtigsten Ergebnisse des Sicherheitsstests:

Lokaler Zugriff

Der Gateway wie auch die App verwenden UPnP bzw. andere, unverschlüsselte Protokolle, um sich im Netzwerk ausfindig zu machen. Hierzu füllen sie es regelmäßig mit Multicast-Paketen. Haben sich beide gefunden, erfolgt der Datenaustausch via SSL - Konfiguration und Steuerung sind also verschlüsselt! Laut AV-TEST ist für die Konfiguration vermutlich eine lokale Verbindung notwendig - bei erzwungenem Fernzugriff war es nämlich nicht möglich, Geräte anderen Räumen zuzuordnen.

Fernzugriff und Internetkommunikation

Wie schon der lokale Zugriff, ist auch der Fernzugriff durch eine verschlüsselte SSL Verbindung abgesichert. Die Verwaltung der Gateways erfolgt über den Browser und ist darüber hinaus mit den Standard-Mechanismen des Browsers bzw. Betriebssystems abgesichert. Ein unbemerktes Aufbrechen der Verbindungen ist in beiden Fällen nicht möglich.

Als potentiell problematisch könnte sich jedoch die "Gesprächigkeit" der Android-App herausstellen:

Nach dem Server-Login wird der App ein Access-Token zugewiesen, welches immer wieder zur Legitimation angegeben werden mss. Dieses Access-Token schreibt die App unregelmäßig in die Android-Logs. Bei anfänglichen Tests mittels einfachen Replays konnte dies aber nicht ausgenutzt werden.

Der Schwaiger Home Automation Gateway baut per SSL geschützte Verbindungen zum externen Server auf. Das heißt auch diese Kommunikation zu externen Servern ist gegen Manipulation abgesichert und kann nicht einfach mit einem sogenannten Man-in-the-Middle Angriff mitgelesen werden.

Sicherheit während der initialen Einrichtung

Für die initiale Einrichtung wird das Gateway fest einem Account zugeordnet. Die Identifikation erfolgt hierbei unter Zuhilfenahme eines Passworts, das gleichzeitig auch die MAC-Adresse des Geräts ist. Diese ist deutlich auch auf der Verpackung angebracht. - Chris hatte dies damals als recht umständlich in seinem Testbericht bemängelt, das mag zutreffen, wenn man wie Chris keine Handbücher liest - aber es dient nunmal der Sicherheit!

Potentielle Angreifer könnten diese Information zwar bereits im Laden ermitteln. Ob aber auch die Identifikation selbst ermittelt werden kann und der Angreifer damit in der Lage wäre das Problem auszunutzen, ist nicht bekannt.

Aber: Das Gateway kann eindeutig nur einem Account zugeordnet werden. Sollte es einem Angreifer gelingen, das System auf einem eigenen Account zu registrieren, hat dies zur Folge, dass der Kunde es nicht mehr registrieren kann. Das Produkt wird unbrauchbar und wird dazu führen, dass es entweder zurückgegeben oder in den Support gebracht wird. Damit wird es für einen potentiellen Angreifer nutzlos.

IFA 2015 - Schwaiger TV Stick

Tipp: Für alle unter euch die sich das Gateway gebraucht auf Plattformen wie ebay schießen, fragt am besten vor dem Kauf den Händler ob das Gateway aus seinem Accoutn gelöscht wurde, sonst ist es wie eben beschrieben unbrauchbar!

Firmware-Update und Datenschutz

Während des Testzeitraums konnte weder ein Firmware-Update, noch die Ermittlung der aktuellen Firmware-Version beobachtet werden. Es steht zu vermuten, dass dies über eine gesicherte Verbindung ablief - sofern es denn überhaupt stattfand. Es konnte folglich auch kein Problem beim Firmware-Update ermittelt werden.

Die initialen Einrichtung eines Accounts verlangt nach vielen unterschiedlichen Informationen des Nutzers: vollständiger Name, Wohnort, Kreditkartendaten sowie Geschlecht. Im Test wurde allerdings außer Email-Adresse und Passwort nichts weiter angegeben. Das System akzeptierte dies, so dass alle weitergehenden Informationen als optional betrachten werden können.

Sicherheitsfazit:

Insgesamt bleibt festzuhalten, dass sowohl im lokalen sowie auch im Fernzugriff für Sicherheit gesorgt ist. Verbindungen zwischen Hub und App sowie zwischen den Geräten sind verschlüsselt abgesichert. Die Kommunikation ist zudem gut gegen sogenannte Man-in-the-middle Angriffe geschützt.

Die sonst so sensiblen Phasen während der initialen Einrichtung sowie während eines Firmware-Updates bieten ebenso keinerlei Angriffsmöglichkeiten für Externe. Die abgefragten Nutzerdaten sind umfassend, aber lediglich optional.