Unsichere Funktionen in Firmwares von IoT-Geräten

Angreifern gelingt es immer wieder Geräte des Internet of Things für ihre Zwecke zu verwenden, allen voran für die Vergrößerung der Botnetze. Sie müssen hierfür lediglich triviale Passwörter wie “1234“ oder “admin“ erraten, beziehungsweise solche aus den Geräteanleitungen entnehmen. Das Sicherheitsbewusstsein der IoT-Gerätehersteller ist demnach vermutlich gering. In den letzten Jahren hat sich zwar eine positive Entwicklung hinsichtlich des Sicherheitsbewusstseins der IoT-Gerätehersteller gezeigt, jedoch muss in diesem Bereich noch viel getan werden. Seit Jahrzehnten existieren als unsicher deklarierte Funktionen der Programmiersprache C. Lediglich Sicherheitsmechanismen der Compiler oder Betriebssysteme versuchen symptomatisch zu verhindern, dass falsch verwendete, unsichere Funktionen von Angreifern ausgenutzt werden. Security by Design scheint im Bereich des Internet of Things in weiter Ferne, dabei gibt es Funktionen einer Fremdbibliothek, die unter anderem im Bereich der eingebetteten Systeme empfohlen werden. Dies führt zu den Forschungsfragen, auf die sich diese Arbeit konzentriert: Welche Hersteller verwenden in den Firmwares der vernetzten, intelligenten Geräte des Internet of Things noch unsichere Funktionen? Welche verwenden die “Sicheren“ beziehungsweise, gibt es überhaupt Firmwares, die sichere Funktionen verwenden? Das Auslesen der Funktionen aus statischen Binaries ist bis heute ein ungelöstes Problem, ein weiterer Ansatz führt zu einer ergänzenden Forschungsfrage: Können, mit Hilfe eines Plagiatsprüfers, Funktionsaufrufe in statischen Binaries determiniert werden? Entsprechend der Ergebnisse soll ein IDA Pro Plugin erstellt werden, welches die Funktionsaufrufe statischer Binaries wiederherstellt. Um die Forschungsfragen zu beantworten ist ein Analyseframework entwickelt worden, welchem Firmwares übergeben werden. Dieses hat unsichere und sichere Funktionen erkannt, in einer Datenbank gespeichert und einen Report erstellt, welcher die Daten grafisch darstellt. Die Darstellung zeigt übersichtlich, welche und wie viele unsichere/sichere Funktionen gefunden werden, sowie eine Liste der Binaries, welche die Funktionsaufrufe enthalten. Die Analyse kommt zu dem Ergebnis, dass alle betrachteten Gerätehersteller unsichere Funktionen verwenden. Ein Hersteller sticht dadurch hervor, dass er eine unsichere Funktion in eine sichere umbenannt, was der Sicherheit keinen Mehrwert gibt. Um die ergänzende Forschungsfrage, ob mit Plagiatsprüfern Funktionsaufrufe in statischen Binaries determiniert werden können, beantworten zu können, sind sämtliche Funktionen mit dem Plagiatsprüfer JPlag untereinander auf Ähnlichkeit überprüft worden. Der Vergleich zeigte, dass keine hinreichende Ähnlichkeit festgestellt werden kann und es nicht möglich ist mit einer Software-Plagiatsprüfung eindeutig Funktionen aus statischen Binaries zu bestimmen. Basierend auf den Resultaten, der in dieser Arbeit getätigten Untersuchungen, sind IoTGeräte, im Hinblick auf die Sicherheit, mit Vorsicht zu genießen. Hersteller haben, vor allem hinsichtlich der Security-by-Design, einen großen Nachholbedarf. Des Weiteren bleibt die Forschungsfrage, wie Funktionsaufrufe in statischen Binaries eindeutig erkannt werden können.Attackers repeatedly manage to use Internet of Things devices for their own purposes, first and foremost to increase the size of botnets. All they have to do is guess trivial passwords such as “1234“ or “admin“, or take them from the device instructions. The security awareness of IoT device manufacturers is therefore probably low. In recent years there has been a positive development in the security awareness of IoT device manufacturers, but a lot still needs to be done in this area. For decades, the programming language C has been used functions declared as insecure. Only security mechanisms of compilers or operating systems try symptomatically to prevent wrongly used, insecure functions from being exploited by attackers. Security by Design seems to be far away in the area of the Internet of Things, where there are functions of an external library that are recommended, among other things, in the area of embedded systems. This leads to the research questions on which this work concentrates: Which vendors use in the firmwares of the networked, intelligent devices of the Internet of Things still insecure functions? Which use the “secure“ones or, are there any firmwares at all that use secure functions? Reading out the functions from static binaries is still an unsolved problem today, another approach leads to a supplementary research question: Can, with the help of a plagiarism checker, function calls are determined in static binaries? According to the results an IDA Pro plugin is to be created, which will call the functions of static binaries. and restored the world to its former glory. In order to answer the research questions, an analysis framework has been developed to which firmwares are transferred. This framework has recognized insecure and secure functions, stored them in a database and created a report that graphically displays the data. The representation shows clearly which and how many insecure/secure functions are found, as well as a list of the binaries which contain the function calls. The analysis comes to the conclusion that all considered device manufacturers use insecure functions. A manufacturer stands out by naming an insecure function into a secure one which gives no added value to security. In order to be able to answer the supplementary research question as to whether function calls in static binaries can be determined with plagiarism checkers, all functions have been checked for similarity with each other. This was done by using the plagiarism checker JPlag. The comparison showed that no sufficient similarity can be determined and that it is not possible to clearly determine functions from static binaries with a software plagiarism check. Based on the results of the investigations carried out in this thesis, IoT devices are, in terms of safety, to enjoy with caution. Manufacturers have, above all with regard to securityby- design, there is a lot of catching up to do. Furthermore, the research question remains, how function calls in static binaries can be uniquely recognized.Wien, FH Campus Wien, Masterarb., 2020(VLID)480024