Root für alle: Heim-Roboter Pepper ist in Sachen Sicherheit ein Albtraum

Jetzt verderben Sicherheitsforscher auch noch die Laune bei den Entwicklern von putzigen Robotern. Bei diesen lag der Schwerpunkt bisher offensichtlich bei den Features und einer geschmeidigen Nutzungserfahrung. Auf grundlegende Aspekte der IT-Security wurde dabei dann einfach mal nicht geachtet.
Pepper-Roboter
Informatiker schwedischer Universitäten haben sich mit dem japanischen Heim-Roboter "Pepper" ein Vorzeigeprodukt der Branche vorgenommen. Dieser wird unter dem Dach des IT-Investors Softbank produziert. Dieser ist humanoid gestaltet und wird in Japan in erster Linie zu Entertainment-Zwecken verkauft. Das System kann seine Besitzer erkennen, auf Spracheingaben reagieren, Musik abspielen und Witze erzählen. In Japan findet Pepper durchaus diverse Abnehmer.

Und diese schaffen sich so verschiedene potenzielle Angriffs-Optionen auf ihren privaten Alltag. "Erstaunlich unsicher", lautet das Urteil - und das von Leuten, die hinsichtlich der IT-Sicherheit bestimmt schon so einiges zu sehen bekommen haben. Den Angaben zufolge genügt etwas Arbeit mit bekannten Tools wie Ettercap und Wireshark, um umfassenden Zugriff auf das System zu bekommen.

Das root-Passwort lautet...

So fanden die Sicherheitsexperten beispielsweise heraus, dass die Admin-Oberfläche, die einfach aufgerufen werden kann, sich ohne weitere Sicherung mit fest hinterlegten Login-Daten bei darunterliegenden Diensten anmeldet. Nur über diesen Account kann man sich außerdem per SSH einloggen. Dann aber steht der Weg zum root-Zugang völlig offen, da das Passwort für den fraglichen Account - Überraschung! - einfach root lautet. Das lässt sich auch nicht ändern - und ist so sogar im Handbuch festgehalten. Verschiedene andere Schwachstellen sind entsprechend kaum mehr der Rede wert.

"Wir sind fest davon überzeugt, dass es schlicht nicht akzeptabel ist, im Jahr 2018 noch solch ein unsicheres Produkt auszuliefern", heißt es im Untersuchungsbericht. Denn das Problem besteht hier nicht einfach nur darin dass Peppers vollständig zugängliche Sensoren-Ausstattung missbraucht werden kann, um die Privatsphäre des Besitzers auszuspionieren. Da es sich bei Pepper um einen Roboter mit Bewegungsfreiheit und funktionsfähigen Armen handelt, könnte dieser auch in eine ziemlich physische Waffe umfunktioniert werden.