Kritische Schwachstellen in Garagentüröffner Hörmann BiSecur

Die Experten des SEC Consult Vulnerability Lab haben im BiSecur Gateway von Hörmann, Europas führendem Anbieter von Garagentoren und Antrieben, mehrere Schwachstellen entdeckt. Diese ermöglichen verschiedene Angriffsszenarien, unter anderem das beliebige Öffnen von Türen.

Das BiSecure-System von Hörmann

Bei BiSecure-Gateway handelt es sich um ein SmartHome-System des Torherstellers Hörmann.  bei dem der ein BiSecure SmartHome-Portal die Verwaltung übernimmt. Zentraler Zugangspunkt ist ein Bisecure-Gateway. Es gibt Handsender zur Bedienung der Torsteuerungen, aber auch die Möglichkeit, sich per WLAN und Bluetooth mit einem Smartphone mit dem BiSecur Gateway zu verbinden.

Dann lässt sich per Smartphone über das Internet auf das Gateway und die angeschlossenen Komponenten zugreifen. Einen Überblick liefert dieses Video. Der Hersteller wirbt auf seiner englischsprachigen Webseite mit:

Melden Sie sich im Hörmann Portal an, um Ihr Smartphone für die weltweite Steuerung zugelassener Gateways über das Internet zu registrieren. Die zertifizierte (und verschlüsselte) Hörmann Website gewährleistet maximale Sicherheit.

Das Ganze ist aber nur die halbe Wahrheit, wie Sicherheitsforscher herausgefunden haben. Denn die Hörmann Website und das BiSecure-Gateway sind zwei verschiedene Paar Schuhe.

Die Angriffsszenarien

Tamas Jos, Senior Security Consultant bei SEC Consult und Spezialist für Hardware-Reverse Engineering, beschreibt in seinem ausführlichen Blog-Beitrag die verschiedenen Angriffsmöglichkeiten, die sowohl Datenschutzverletzungen als auch physische Kompromittierungen begünstigen.

• So ist es Angreifern durch einen Logikfehler in einem Protokoll der zugrundeliegenden Architektur möglich, aus der Ferne Zugangsdaten von registrierten Kunden auszulesen.
• Und auch lokale Angriffe können schwerwiegende Folgen nach sich ziehen: Denn mangels Zeitablaufs einer Verbindung kann ein Hacker mithilfe einer kurzen Sitzungskennung die Session eines mit dem gerätverbundenen Benutzers übernehmen.  
• Darüber hinaus können sich Unbefugte auch physischen Zutritt etwa zu fremden Garagen verschaffen, da das BiSecur Gateway-System Angreifern potenziell alle Türen öffnet. Im lokalen Netzwerk funktioniert dies direkt, außerhalb des lokalen Netzwerkes können über das Internet alle Benutzeranmeldeinformationen abgerufen und damit Kundentüren geöffnet werden.

Bei der Analyse der Schwachstellen kam unter anderem die Firmware Analyse-Plattform IoT Inspector zum Einsatz.

Das Gerät

Das BiSecur Gateway-Gerät ist ein Microchip-Mikrocontroller, der mit einem offiziellen Hörmann-Schlüsselanhänger ausgestattet ist. Er verfügt über eine WiFi- und Ethernet-Schnittstelle, damit Endbenutzer ihre Garagentore nach entsprechender Kopplung mit der Motorsteuerung auch aus der Ferne öffnen und schließen können. Die mobile Anwendung erlaubt es Benutzern, über ein lokales Netzwerk und remote über das Internet direkt mit dem Gateway-Gerät zu kommunizieren.

Reaktion des Herstellers

Hörmann wurde von SEC Consult über die potenziellen Sicherheitsrisiken des BiSecur-Gateways informiert und reagierte umgehend. Die Registrierungsoption auf dem offiziellen BiSecur-Portal wurde unverzüglich deaktiviert und die Produktion von BiSecur-Gateways vorübergehend eingestellt. Die Produktentwickler haben dem Test der genannten Sicherheitslücken höchste Priorität eingeräumt und sich laut Hörmann sofort um die Beseitigung aller relevanten Sicherheitsrisiken gekümmert.

Das getestete Gerät (genau wie viele andere IoT-Geräte) würde eine vollständige Neugestaltung auf allen Ebenen benötigen, einschließlich Hardware, Protokoll und Back-End-Infrastruktur.