Pwn2Own: Hack des Amazon Echo Show zeigt Problem seiner Klasse

Die jüngste Auflage des Hacker-Wettbewerbs Pwn2Own nahm sich unter anderem der Echo-Systeme aus dem Hause Amazon an. Und es wurde ziemlich deutlich, worin das grundlegende Problem der gesamten Geräte-Klasse liegt. Beispielhaft wurde auf der Veranstaltung der Echo Show 5 geknackt. Dabei handelt es sich um ein Gerät aus dem so genannten "Smart Home"-Bereich, das noch von einem größeren Anbieter bereitgestellt wird, von dem man am ehesten noch etwas mehr Engagement rund um die Systemsicherheit erwarten könnte. Der erfolgreiche Hack durch ein Team von Sicherheitsforschern, das unter dem Namen Fluoroacetate antrat, warf allerdings ein Licht auf das Kernproblem der fraglichen Geräte.

Im Kern handelt es sich bei diesen nämlich eigentlich um ganz normale Computer, auf denen verschiedene Anwendungen laufen. Der Unterschied liegt lediglich darin, dass sie vom Design her eher wie andere Gegenstände wirken und mit anderen Eingabekonzepten arbeiten. Im Prinzip müssten die Hersteller hier allerdings dafür sorgen, dass die Software ebenso auf einem stets aktuellen Stand ist, wie es ein ordentlicher Anwender bei seinem Rechner tut.

Nötig wäre stetige Pflege

Denn der Nutzer selbst ist sich bei diesen Geräten oft überhaupt nicht dessen bewusst, dass er Software verschiedener Entwickler verwendet. Auf der Pwn2Own gelang es beispielsweise, den Echo Show über die Chromium-Engine zu knacken. Die Browser-Software ist auf dem Gerät nämlich nicht auf dem allerneuesten Stand und die Angreifer konnten ganz bequem eine Sicherheitslücke ausnutzen, die durch Patches und die zugehörigen Veröffentlichungen bereits gut dokumentiert ist.

Das ist nicht allein ein Problem der Amazon-Geräte, sondern betrifft auch diverse andere Produkte aus der fraglichen Kategorie. So machten die Hacker von Fluoroacetate auch einen Sony X800G-Fernseher über eine Schwachstelle im eingebauten Browser auf. In ersten Reaktionen kündigte unter anderem Amazon zwar an, sich zügig um das Problem zu kümmern, was aber letztlich eben nur ein Herumdoktern an Symptomen ist. Die eigentliche Lösung würde darin bestehen, dass der Anbieter dafür sorgt, dass alle Software-Komponenten stets kurzfristig auf dem neuesten Stand gehalten werden. Das allerdings lässt sich mit den Erträgen, die die relativ preiswerten Systeme einspielen, kaum wirtschaftlich durchführen.

Siehe auch: Tesla wagt sich in die Höhle des Löwen: Model 3 kommt zur Pwn2Own