Google Glass ließ sich per QR-Code komplett kapern

Googles Datenbrille konnte bisher gehackt werden, wenn man ihren Nutzer lediglich dazu brachte, einen bestimmten QR-Code anzusehen. Inzwischen hat der Suchmaschinenkonzern ein Update veröffentlicht. Somit sollte das Problem im Grunde behoben sein. Allerdings deutet sich hier ein neuer Angriffsvektor an, der für solche Systeme geradezu perfekt zu sein scheint. Denn den Blick eines Nutzers in eine bestimmte Richtung zu lenken dürfte deutlich einfacher sein, als diesen beispielsweise dazu zu bewegen, ein E-Mail-Attachement oder einen Link in einer Nachricht zu öffnen.

Entdeckt wurde die Sicherheitslücke bereits im Mai von der Security-Firma Lookout. Die Sicherheits-Experten machten sich dabei eine Eigenheit von Google Glass zunutze, die der Hersteller eigentlich für die Ersteinrichtung der Datenbrille vorgesehen hat. Bei dieser wurde das System für den Einsatz fertig gemacht, indem über einen eigens generierten QR-Code die Verbindung mit einem WLAN hergestellt wurde. Darüber konnten dann weitergehende Konfigurationsschritte vorgenommen werden.

Allerdings wurde die automatische Erkennung der QR-Codes danach nicht gestoppt. So waren das System ständig weiterhin damit beschäftigt, in den aufgenommenen Bildausschnitten nach entsprechenden Mustern Ausschau zu halten. Wurde das System fündig, hat es die kodierten Anweisungen ohne weitere Rückfragen befolgt.

Dadurch konnte die Datenbrille von Dritten so manipuliert werden, dass sie sich beispielsweise in ein Netzwerk einklinkt, das unter Kontrolle des Angreifers steht. Über eine weitere Schwachstelle konnte dann Code in das System eingeschleust werden, was letztlich die Kontrolle über Google Glass zur Folge hatte.

Ein solcher Angriffspunkt könnte recht interessant sein, wenn entsprechende Systeme erst einmal größere Verbreitung finden. Einerseits könnte man dafür sorgen, mit einer gezielten Attacke fortan das Sichtfeld eines Anwenders per Livestream zu erhalten. Kommerziell wäre eine solche Schwachstelle aber auch in der Breite auszunutzen, indem die Datenbrillen von Besuchern einer Touristen-Region so manipuliert werden, dass den Reisenden stets das eigene Lokal angepriesen wird.