Jeffrey Cross
Jeffrey Cross

Estimate behebt Sicherheitsprobleme mit der Beacon-Firmware

Der Estimote Beacon jetzt mit Eddystone-Unterstützung

Am Ende der letzten Woche, einige Wochen nachdem unser Beitrag die Sicherheitslücken der neuesten Estimote-Beacon-Firmware dargelegt hatte, kontaktierte uns das Unternehmen, um uns über die neuesten Firmware-Updates zu informieren.

Wie wir zusammengefasst haben, verwendet Estimote einen völlig anderen Beacon-Authentifizierungsmechanismus und eine andere Firmware für umfangreiche Bereitstellungen, und diese alternative Firmware wurde nun an alle Entwicklerkits verteilt.

Die neue 3.2-Firmwareversion entfernt den zuvor verwendeten - und anfälligen - Authentifizierungsdienst und seine Merkmale und ersetzt ihn durch einen neuen Dienst für die Authentifizierung unter Verwendung einer ausschließlich Cloud-basierten API.

Der GATT-Dienst und die charakteristischen UUIDs der neuen Estimote Firmware v3.2

Beim neuen Authentifizierungsschema liest das SDK die CLOUD_AUTH_CHALLENGE_CHAR Merkmal des Beacons, der diesen Wert an einen REST-Endpunkt in der Estimote-Cloud weitergibt. Der Server antwortet mit einem "Beacon Challenge Antwort" die vom SDK auf dieses Merkmal zurückgeschrieben wird. Wenn Sie dann das Merkmal CLOUD_AUTH_LEVEL_CHAR lesen, wird ein Erfolgswert -1 (0xFF) zurückgegeben, und Sie werden beim Beacon authentifiziert.

In der Tat hat Estimote das Schema mit festen Schlüsseln aus dem SDK, wo es jedem, der die Möglichkeit hatte, das Reverse Engineering durchzuführen, ausgesetzt war, in die Cloud verschoben, wo es nicht so leicht gefährdet ist.

Durch das Dekompilieren der vorherigen Version des Estimote-SDK konnten Sie den festen Schlüssel abrufen.

Dieser Ansatz ist unendlich viel besser, aber immer noch nicht unbedingt sicher. Wie das Debakel um den Android-Hauptschlüssel beweist, sind Systeme mit festem Schlüssel anfällig für indirekte Angriffe.

Die Frage, wie Beacons wiederhergestellt werden können, wenn der Cloud-Dienst ausgefallen ist, ist eine offene Frage. Sie müssen sich fragen, ob sich im Firmware-Code eine Hintertür befindet, um dieser Situation Rechnung zu tragen. Wenn nicht, ist der Cloud-Dienst heruntergefahren, und Sie haben eine schreibgeschützte Hardware. Wenn doch, dann haben Sie eine andere Schwachstelle.

Es besteht auch die Möglichkeit, die neue Beacon-Firmware zu dekompilieren. Das Authentifizierungsschema ist zwar zeitaufwendiger, kann jedoch auf diese Weise gefunden werden, da es den gleichen Algorithmus wie der Cloud-Dienst zum Überprüfen der Challenge-Antwort verwenden muss. Wenn das neue Schema auf diese Weise jemals rückgängig gemacht wird, kann der Angreifer jeden Beacon übernehmen, auf dem die neue Firmware-Version ausgeführt wird. Was wirft die Frage auf, warum hat Estimote sich nicht für ein vom Benutzer konfigurierbares Passwort entschieden, wie es von vielen anderen Beacon-Anbietern implementiert wurde.

Wenn Sie Estimote-Beacon-Hardware besitzen, insbesondere wenn Sie Beacons in der Wildnis installiert haben, auf der die Entwicklerfirmware ausgeführt wird, sollten Sie die iOS-App (Version 2.15.1), die Android-App (Version 1.0.5) oder die Estimote herunterladen SDK 3.4.0 und aktualisieren Sie Ihre Beacon-Firmware auf die neueste 3.2-Firmware-Version. Dadurch wird die Möglichkeit von Beacon-Hijacking erheblich reduziert.

Update: Jakub Krzych, CEO und Mitgründer von Estimote, kam zu uns zurück und sagte:

Zur Klarstellung verwenden wir kein festes Schlüsselsystem mehr: Jeder Beacon hat jetzt seinen eigenen eindeutigen Schlüssel, und der Schlüssel selbst wird gelegentlich ersetzt (vor allem: direkt nach dem Firmware-Upgrade). Dieser Schlüssel ist in einem flüchtigen Speicher gespeichert, sodass eine Dekompilierung der Firmware nicht helfen würde. Das einzige, was dort gefunden werden könnte, wäre unser Verschlüsselungssystem, das auf Industriestandard-Algorithmen wie AES basiert, die nicht leicht zu brechen sind. Selbst wenn es jemandem gelungen ist, eines der Beacons zu hacken, wäre es nicht einfacher, eine Verbindung zu einem anderen Beacon herzustellen, da seine Schlüssel im Wesentlichen zufällig sind.

Aktie

Leave A Comment