Im November 2016 veröffentlichte der Sicherheitsforscher Samy Kamkar PoisonTap: kostenlose Software auf einem 5-Dollar-Raspberry Pi Zero, die, etwa 30 Sekunden lang an einen gesperrten Mac oder PC angeschlossen, den Webverkehr und die Authentifizierungs-Cookies der Maschine abfängt und dann eine Hintertür installiert, die den Browser und das lokale Netzwerk auch nach dem Entfernen des Geräts fernsteuerbar hält. „Die Hauptmotivation ist zu zeigen, dass selbst auf einem passwortgeschützten Computer, der über ein WPA2-Wi-Fi läuft, dein System und dein Netzwerk noch schnell und einfach angegriffen werden können“, sagte er gegenüber Ars.
Die Kette nutzt ausschließlich Standard-Komfortfunktionen. Der Pi gibt sich als Ethernet-Karte aus und wird, indem er Adressen per DHCP verteilt, zum Gateway; indem er das lokale Netzwerk als den gesamten IPv4-Adressraum definiert, wird er auch zum Gateway für den gesamten Internetverkehr. Er findet einen Hintergrund-Browser und injiziert versteckte iframes, die auf die Top-eine-Million-Websites von Alexa zeigen, und – indem er sich als HTTP-Server jeder Website ausgibt – sammelt er die zurückkommenden Cookies ein. Im Cache platziierter Code hält einen persistenten WebSocket am Leben, nachdem der Stick abgezogen wurde; ein DNS-Rebinding-Angriff verschafft administrativen Zugriff auf den verbundenen Router.
Die im Beitrag aufgeführten Abwehrmaßnahmen sind struktureller, nicht verhaltensbezogener Natur. HSTS und ordnungsgemäß abgesicherte Cookies vereiteln die Cookie-Ernte – weshalb Google- und Facebook-Seiten nicht ausgelöst werden konnten –, während Multi-Faktor-Authentifizierung kaum hilft, weil sie durch Cookie-basierte Anmeldungen nicht erneut ausgelöst wird. Endnutzer können Browser vor dem Sperren schließen, FileVault2 aktivieren und einen Mac in den Ruhezustand versetzen oder Caches leeren; die sicherste Gewohnheit ist schlicht, die Maschine mit sich zu führen.
PoisonTap setzte Kamkars Reihe billiger, veröffentlichter Hacks fort: ein 10-Dollar-USB-Ladegerät, das Tastatureingaben abgreift, ein 30-Dollar-Gerät, das elektronisch gesicherte Autos und Garagen öffnet, eine DIY-Stalker-App auf Basis von Google Street View. Er veröffentlichte den Quellcode und ein Demonstrationsvideo, und Ars Technica rahmte das Muster als stehende Warnung vor den Sicherheitskompromissen einer zunehmend computerisierten Welt.
Ein Sperrbildschirm schützt die Anmeldeaufforderung, nicht den Netzwerk-Stack: Gib dich als USB-Ethernet-Gateway aus, erkläre das gesamte IPv4-Internet für „lokal“, und die Cookies kommen zu dir.
Es benötigt keine Zero-Days: USB-Netzwerk, DHCP, permissive „lokale“ Bereiche und Cache-Persistenz sind alles gewöhnliche Komfortfunktionen, nur in der richtigen Reihenfolge verkettet.
Es verlagerte die Vertrauensgrenze: Die Anmeldeaufforderung war nie die eigentliche Angriffsfläche – der Netzwerk-Stack und der Hintergrund-Browser waren es.
Für 5 Dollar demokratisierte es einen Angriff, der wie eine Staatsakteur-Fantasie geklungen hatte, und verschob die Verteidigungsdebatte von Nutzergewohnheiten zu Garantien auf Protokollebene.
Sobald Hardware berührt wird, ist Passwortstärke irrelevant. Verlege die Garantie auf die Protokollebene – HSTS, Secure-Cookies –, denn Verhaltensregeln wie „sperre deinen Bildschirm“ scheitern an einem 5-Dollar-Gerät.
Kamkar veröffentlichte den vollständigen Quellcode und ein Demo-Video und machte die Kette für jeden mit einer 5-Dollar-Platine reproduzierbar. Der Artikel merkte an, dass der Exploit bereits gegen Websites scheiterte, die HSTS und Secure-Cookies ordnungsgemäß einsetzten – darunter Google und Facebook –, eine Momentaufnahme der Branche mitten im Übergang zu HTTPS-Everywhere-Standardeinstellungen. Seine praktischen Ratschläge endeten mit der wahrhaft paranoiden Option: Nimm den Laptop mit, oder schalte die Maschine ganz aus.
DEN BELEGEN FOLGEN
Die Quellen
- Meet PoisonTap, the $5 tool that ransacks password-protected computers Ars Technica · arstechnica.com ·