Dieses Blog wird heute volljährig

Und - auch wenn's wahrscheinlich sexistische Kackscheiße ist - ich hatte es versprochen:

Seuche, Krieg, Klimawandel und jetzt noch das:

Um mal Calvin zu zitieren: AAAUGH!!!!

Verkaka

verkada | überwachungskameras | ozapft is

Ich lese hier gerade einen (schon etwas älteren) Artikel über das “Internet of Things”, der ziemlich gut aufzeigt, warum ich so Dinge wie „Smart Homes“, die gerade fett von der Telekom beworben werden, für eine schlechte Idee halte:

The Daily WTF: The Internet of Nope

Money Quote:

I bought a Nest thermostat before it was cool, and now three hardware generations on, I’m not getting software updates, and there are rumors about the backend being turned off someday. Maybe Nest needs a model more like “Hive Hub”. Hive is a startup with £500M invested, making it one of the only “smart home” companies with an actual business model. Of course, that business model is that you’ll pay $39.99 per month to turn your lights on and off.

Aus der Abteilung "Big Data macht Kohle" heute: iRobot,(der Saugroboterhersteller) will die Karten, die deren Roombas von euren Wohnungen erzeugen, jetzt meistbietend weiter verkaufen. Natürlich nur zu eurem Besten:

Der US-Hersteller iRobot will die Daten, die seine Roomba-Staubsaugerroboter über die Wohnungen der Kunden gesammelt haben, an Amazon, Apple oder Google verkaufen. [...] Die Daten könnten den Markt der Smart-Home-Geräte revolutionieren, denn für ihre Reinigungsarbeit sammeln die Roombas detaillierte Daten der Wohnungen und erstellen dabei nicht nur einen Grundriss, sondern kartieren auch, wo etwa Sofas und Schränke stehen. Mit diesen Daten könnten etwa smarte Lautsprecher oder Heizungssysteme besser auf die Gegebenheiten eingestellt werden.

Super Sache, das.

Wo sind eigentlich die Cybercops, wenn man sie mal braucht? Ich meine, ein flächendeckender Cyber-Angriff auf die Infrastruktur Europas wäre doch jetzt mal ein sinnvolles Betätigungsfeld für Full Spectrum Cyber, oder was?

In ganz England sind Krankenhäuser offenbar Opfer eines Cyberangriffs, bei dem die Angreifer Computer mit Krypto-Trojanern sperren und nur gegen ein Lösegeld wieder freigeben wollen.
[...]
auch in Spanien [...] Russland und auch Asien [...]

Aber nein, sieht eher so aus, als seien die Cyberschlapphüte mit verantwortlich für das Desaster:

Während sich der Angriff ausweitet, diskutieren Experten bereits darüber, wer dafür verantwortlich ist und welche Gegenmaßnahmen nötig sind. So wies der NSA-Whistleblower Edward Snowden auf Twitter darauf hin, dass die NSA schon lange über die Lücke Bescheid wusste, die aber nicht an Microsoft gemeldet hatte, so dass kein Patch entwickelt wurde.

Bingo. Hätte uns bloß jemand gewarnt.

PS: das ist natürlich gefundenes Fressen für Fefe, und so gibt es bei ihm dann auch diverse weiterführende Links dazu.

Update: nö, keine Cyberwehr weit und breit. Aber ein Held, der den Planeten in Eigenregie rettet. Danke.

Update: keine Sorge, die Antivirenindustrie schützt euch zuverlässig vor der einzigen Hilfe. Den Virus selber lassen sie natürlich durch.

Update: aaaha! Da kommen die Cypercops.

Das dürfte so ungefähr die dämlichste Idee des Monats April sein: ein Dildo mit integrierter Kamera und WLAN-Fähigkeit.

Offensichtlich wurde dabei nicht viel Sorge getragen, diese höchst intimen Momente nur für vertraute Personen zum Leben zu erwecken. Denn das Webinterface des Vibrators ist mit voreingestellten Zugangsdaten (Nutzer: admin, Passwort: blank) ausgestattet, die jedem im Funkbereich des Vibrators Zugriff auf die Videos der Kamera ermöglichen.

Und da die SSID des WLAN-Access-Points praktischerweise direkt nach dem Gerät benannt ist, gibt es bereits Anleitungen im Web, wie man die vernetzten Kamera-Dildos am schnell findet.

Ich denke, es wird Zeit, einen Award für die idiotischsten "Internet of Things"-Geräte zu etablieren. Himmel hilf.

PS: technisch Versierte finden hier den Original-Pentest-Artikel.

PPS: der entsprechende Motherboard-Artikel ist überschrieben mit The Internet of Shit gets up close and personal.

Oh, the horror:

Die Redaktion fand versteckte Mikrofone in Schaltsteckdosen, undokumentierte Web-Frontends mit sensiblen Informationen, Apps und Geräte, die das eigene WLAN-Passwort im Klartext in die Welt hinaus posaunen und sogar einen Sat-IP-Server mit ungeschütztem Root-Zugang, der sich leicht für DDoS-Angriffe missbrauchen lässt.

Immer schön alles ans Internet anschließen. Was kann da schon schief gehen?

Heute: Der Miele-Geschirrspüler mit integriertem Webserver und entsprechend vorhersehbaren Sicherheitslücken. Ich kann mir da echt nur noch an den Kopp langen.

“The corresponding embedded Web server 'PST10 WebServer' typically listens to port 80 and is prone to a directory traversal attack, therefore an unauthenticated attacker may be able to exploit this issue to access sensitive information to aide in subsequent attacks.”

Proving it for yourself is simple: GET /../../../../../../../../../../../../etc/shadow HTTP/1.1 to whatever IP the dishwasher has on the LAN.

Directory traversal attacks let miscreants access directories other than those needed by a web server. And once they're in those directories, it's party time because they can insert their own code and tell the web server to execute it.

Dieses "Internet of Things" wird täglich bizarrer. Habt ihr von der Spitzelpuppe "My Friend Cayla" gehört, die neulich von der Bundesnetzagentur aus dem Verkehr gezogen wurde? Nun geht das Spiel in die nächste Runde:

Über zwei Millionen Sprachaufnahmen von Kindern und Eltern, die mit Teddybären und Apps der Marke Cloudpets angefertigt wurden, waren offen im Netz abgreifbar, berichtet der Sicherheitsforscher Troy Hunt. Betroffen sind mehr als 800.000 Nutzer mitsamt ihren E-Mail-Adressen.

Damit aber nicht genug. Wo ein Trog ist, finden sich bekanntlich schnell auch Schweine ein:

Das Datenleck ist offenbar auch ausgenutzt worden, heißt es in Medienberichten. Kriminelle, die im Netz auf der Suche nach unsicheren MongoDB-Installationen sind, sollen die – hochsensiblen, weil oft sehr vertraulichen – Sprachdateien kopiert, auf den Servern gelöscht und an jene eine Lösegeldforderung hinterlassen haben, die die Sprachnachrichten zurückhaben wollten.

Wir lernen: lasst uns alles ans Internet anschließen, was sollte da schon schief gehen?

(bild: mike mozart [cc by])

Inzwischen dauert es nur noch 5 Minuten, bis ein an das Internet angeschlossenes Gerät (Kamera, Babyphon, Kühlschrank) von Viren befallen wird und zu einem Botnetzzombie mutiert.

Oh brave new world.

Hell yeah.

Im südostfinnischen Lappeenranta fielen in einer Wohnanlage die Heizungen nach einer DDoS-Attacke aus.
[...]
Fragt sich, warum die Heizungsanlage überhaupt ans Internet angeschlossen ist.

Na, das ist doch keine Frage!! Das MACHT man so! IoT! Cloud!! Überholspuren auf der Datenautobahn!!1! Industrie 4.0!! BINGO!!

Ans Internet angeschlossene Ampeln! Was kann da schon schief gehen?