[datensicherheit.de, 08.11.2018] Sicherheitsforscher von Check Point® Software Technologies Ltd. und DJI geben Details über eine potenzielle Schwachstelle bekannt, die sich auf die Infrastruktur von DJI hätte auswirken können.

In einem Bericht, der in Übereinstimmung mit dem Bug Bounty-Programm des DJI vorgelegt wird, skizziert der Blog Check Point Research einen Prozess, bei dem ein Angreifer möglicherweise Zugang zum Konto eines Benutzers durch eine Schwachstelle erhalten hätte. Diese Sicherheitslücke wurde im Rahmen des Benutzeridentifikationsprozesses innerhalb des DJI Forums gefunden. Dabei handelt es sich um ein von DJI gesponsertes Online-Forum. Die Sicherheitsforscher von Check Point haben entdeckt, dass die Plattformen von DJI einen bestimmten Token verwendeten, um registrierte Benutzer über verschiedene Aspekte des Gebrauchs des Forums hinweg zu identifizieren. Diese Maßnahme macht den Identifikationsprozess zu einem bevorzugten Ziel für Hacker, die nach Möglichkeiten suchen, auf die Konten der Nutzer zuzugreifen.

Private Nutzer, die ihre Flugaufzeichnungen, einschließlich Fotos, Videos und Flugprotokolle, mit den Cloud-Servern von DJI synchronisiert, und Unternehmen, die die DJI FlightHub-Software verwendet haben, die eine Live-Kamera, Audio- und Kartenansicht enthält, hätten gehackt und die Informationen kopiert werden können. Diese Schwachstelle wurde inzwischen gepatcht, und es gibt keine Hinweise darauf, dass sie jemals ausgenutzt wurde.

„Wir begrüßen die Expertise, die Check Points Sicherheitsforscher durch die verantwortungsbewusste Offenlegung einer potenziell kritischen Schwachstelle bewiesen haben“, sagt Mario Rebello, Vice President und Country Manager Nordamerika bei DJI. „Das ist genau der Grund, warum DJI das interne Bug Bounty-Programm ins Leben gerufen hat. Alle Technologieunternehmen verstehen, dass die Verbesserung der Cybersicherheit ein kontinuierlicher Prozess ist, der nie endet. Der Schutz der Informationen unserer Benutzer hat für DJI höchste Priorität – und wir verpflichten uns zu einer kontinuierlichen Zusammenarbeit mit verantwortlichen Sicherheitsforschern wie Check Point.“

„Angesichts der Popularität von DJI-Drohnen ist es wichtig, dass potenziell kritische Schwachstellen wie diese schnell und effektiv behoben werden, und wir begrüßen es, dass DJI genau das getan hat“, sagt Oded Vanunu, Head of Products Vulnerability Research bei Check Point. „Nach dieser Entdeckung ist es für Unternehmen wichtig zu verstehen, dass sensible Informationen über alle Geräte und Plattformen hinweg verwendet werden können, vor allem wenn sie dann auch noch auf einer Cloud-Plattform bereitgestellt werden und jedem schutzlos ausgesetzt sind, der sich darauf Zugriff verschafft. Darüber hinaus kann es für Unternehmen zu einer Beeinträchtigung der eigenen globalen Infrastruktur führen, wenn sich Angreifer aufgrund der Informationen aus der dortigen Infrastruktur Zugriff darauf verschaffen.“

Die DJI-Ingenieure haben den von Check Point vorgelegten Bericht überprüft und ihn in Übereinstimmung mit der Bug Bounty Policy als hohes Risiko mit geringer Erkennungswahrscheinlichkeit eingestuft. Dies ist auf eine Reihe von Voraussetzungen zurückzuführen, die erfüllt sein müssen, bevor ein potenzieller Angreifer sie nutzen kann. DJI-Kunden sollten immer die aktuellste Version der DJI GO oder GO 4 Pilot-Apps verwenden.

Check Point und DJI empfehlen allen Nutzern, beim digitalen Informationsaustausch wachsam zu bleiben. Nutzer sollten stets vorsichtig sein, wenn sie mit anderen Parteien online zusammenarbeiten und Informationen auf Cloud-Plattformen hochladen. Sie sollten die Rechtmäßigkeit von Links in E-Mails und Nachrichten in Frage stellen, die sie in Benutzerforen und Websites erhalten.

Weitere Informationen zum Thema:

Check Point Research Blog
DJI Drone Vulnerability

datensicherheit.de, 22.08.2018
Cybersicherheit: Erfolgsfaktoren für Bug Bounty-Programme

datensicherheit.de, 18.07.2018
GlanceLove: Check Point veröffentlicht Details zu Android-Malware

datensicherheit.de, 12.06.2018
IT-Sicherheitsbranche: Grund für Personalmangel ist häufig die falsche Technologie

datensicherheit.de, 20.04.2018
97 Prozent der Organisationen nicht auf Cyber-Angriffe der Gen V vorbereite

[datensicherheit.de, 19.02.2017] Thorsten Krüger, „Director Sales IDP DACH“ und CEE bei Gemalto führt in seinem aktuellen Kommentar aus, dass nach dem dritten Angriff im Dezember 2016 auch Nutzerkonten ohne entwendete Passwörter bedroht seien. Bei vorherigen Angriffen im Jahr 2013 und 2014 seien insgesamt bereits über eine Milliarde Konten betroffen gewesen. Aktuell gebe es noch keine Daten zu der Anzahl der Betroffenen.

Angriff mit „gefälschten Cookies“

Bei dem Angriff seien „gefälschte Cookies“ zum Einsatz gekommen. Dabei handele es sich um digitale Schlüssel, die Zugangsdaten speicherten, um eigentlich die Nutzerfreundlichkeit zu erhöhen – Passwörter müssten bei einem erneuten Einloggen nicht mehr erneut eingegeben werden.
Bei den geleakten Informationen handele es sich um E-Mail-Adressen, Geburtsdaten und Sicherheitsfragen. In einem schriftlichen Statement habe Yahoo geäußert, dass Forensiker momentan die betroffenen Accounts untersuchten. Man werde die Nutzer verständigen, falls diese Opfer des Angriffs werden könnten.

Über 1.5 Milliarden E-Mail-Konten betroffen

Insgesamt könnten über 1,5 Milliarden E-Mail-Konten betroffen sein und erneut gebe es Zweifel an der Sicherheit von Yahoo. Das US-amerikanische Kommunikationsunternehmen Verizion äußere weiterhin Interesse am Kauf von Yahoo, werde aber wahrscheinlich erneut um den Kaufpreis verhandeln. Laut Bloomberg sei der Preis nach den ersten Datenabflüssen von 4,8 Milliarden um 250 Millionen reduziert worden.

Richtige Schutzmechanismen als Basis jeder Unternehmensaktivität

Organisationen sollten IT-Sicherheit nicht länger als ein Randthema verstehen, betont Krüger, sondern der Thematik oberste Priorität zuweisen.
Es geht nicht nur um die Abwehr von Cyber-Attacken, sondern um Vertrauen und „Business Enablement“. Infolge der zunehmenden Digitalisierung und Vernetzung von Geschäftsprozessen und deutlich sensibler gewordenen Konsumenten seien die richtigen Schutzmechanismen zur Basis jeder Unternehmensaktivität geworden. Das mangelnde Vertrauen in die Sicherheit sei daher der entscheidende Faktor beim Wertverfall von Yahoo.

Foto: Gemalto

Thorsten Krüger: Sicherheit und Performance keine Gegensätze!

Mangelnde Absicherung von Zugangsdaten unverantwortlich

Krüger: „Unternehmen stehen unglaubliche Vorteile durch Digitale Integration offen, diese müssen aber von entsprechenden Schutzmechanismen begleitet werden.“
Die passende Sicherheitstechnologie sei verfügbar, werde aber häufig nicht nachhaltig implementiert. Die mangelnde Absicherung von Zugangsdaten wie bei Yahoo sei unverantwortlich, da genau hierbei besonders sensible Informationen verarbeitet würden.
Deshalb reagierten Kunden und Geschäftspartner bei Sicherheitsverletzungen in solchen Bereichen empfindlich. Dabei seien Sicherheit und Performance keine Gegensätze, im Gegenteil, so Krüger: „Richtige IT-Sicherheit bildet die Grundlage für Erfolg und Fortschritt.“

Weitere Informationen zum Thema:

datensicherheit.de, 21.10.2016
Umfrage auf der it-sa 2016: IT-Sicherheitsexperten nutzen vernetzte Geräte trotz Sicherheitsbedenken