XT2 - Firmwareupdates

[bastelheini]

(20-01-2020 23:07)mucki schrieb:  Hast du schon mal eine Händlerkarte beantragt, ohne die du niemals „unbemerkt“ Geld „abzwacken“ kannst? Kennst du zudem grundsätzlich diesbezüglich die Erstattungsrichtlinien der Banken?
Klar könnte man die Karten noch sicherer machen. Wenn man aber auch nur ein Funken wirtschaftliches Gespür hat, dann sollte man sich das gut überlegen :-)

Diese Geräte kannst du frei kaufen, z.B. für 19,99 bei Saturn im Laden gesehen (ich kann dir gerne das Foto der Auslage schicken).

Da brauchst du als Ziel nur ein Bankkonto. Einrichtung binnen Minuten abgeschlossen. Gibt genügend Möglichkeiten im zwielichtigen Bereich, da dran zukommen. Kann ich aus eigener Erfahrung im nahen Familienkreis draus erzählen, bei dem das Konto leer geräumt wurde (nicht per Funkkarte). Die Zielbank ist mehrfach in den Medien gewesen und obwohl das schon 1-2 Jahre her ist, hat sich da nix geändert. Und die Erstattung der Kohle hat sich trotz klarer Sachlage 2-3 Wochen hingezogen! Und ohne Druck sicher noch länger. Soviel zum Thema.

(20-01-2020 23:07)mucki schrieb:  Auch für dich nochmal: ich steuere die Lupusec NICHT mit Alexa. Frage mich aber warum man soviel darüber schreibt, wenn man nicht mal sicher ist, ob Lupusec die API Steuerung zwischen Alarm und Smarthome getrennt hat? Natürlich KANN das angegriffen werden. Hoffe doch, dass jeder Kunde die 2FA aktiviert hat. Und nein, auch das ergibt keine 100% Sicherheit. Ich hatte mich nur gewundert, dass die Ausnutzung derartiger Sicherheitslücken bereits jetzt eine TATSACHE ist.

Dass du es nicht benutzt, las ich, ich erkläre es eben nur, da ein Forum auch immer Wissen für Nachleser ist. Die Trennung ist ja u.U. irrelevant. Je nachdem, was ich bezwecken will bzw. rausgeht per Unfall. Ohne Analyse sind alles Annahmen. Ich male gerne bei der Absicherung von Produkten Worst-Case an die Wand und das hat in vielen Fällen geholfen bislang.

Derartig beschriebene Sicherheitslücken oder Lücken generell sind oftmals nicht Dinge die persistent da sind. Sie können passieren, auch temporär. Überall arbeiten Menschen. Die machen Fehler. Oder haben Einblick. Manchmal sind es einfach Zwischenfälle, Unbedachtheiten oder Verkettung von bestimmten Dingen / Race Conditions. Es gilt das Risiko abzuwägen. Kosten vs. Nutzen. Cloud Kameras würde ich z.B. nie in der Wohnung einsetzen. Außerhalb auf dem Grundstück, wo man eh nie abhängt schon eher. Da bringt das schnelle ins Netz laden der Videos mehr als die Gefahr, jemand könnte sich meine Bäume und Hecken angucken.

(20-01-2020 23:07)mucki schrieb:  3) Kameras an der Haustür?

Ahja, nein. Beim Quelle suchen, habe ich gesehen, dass es ein bekannter chin. Hersteller mit X..... war, aber wie geschrieben in Verbindung mit dem Display Assistenten eines bekannten amerik. Herstellers. War erst Anfang Januar jetzt erst. Habe die Stellen oben mal korrigiert. Der Fall ist genauso ein Ding von eigenartigen Verkettungen. Passiert und die Folgen sind nicht gut.

Das was du beschriebst, ist bekannt, ja - wie die Leute da reinkamen, ist vermutlich, wie alle denken, per social engineering. Der Mensch ist faul, ein Passwort für alles.

Aber mir war der Name noch im Kopf, weil die was anderes hatten, Ende November rum und betrifft viele IoT Geräte. Die Erst-Einrichtung ist das Problem. Da gibts mehrere Möglichkeiten, eine davon ist es, dass das neue Gerät ein eigenes WLAN aufspannt, mit dem sich dann dein Handy für die Einrichtung verbindet. Problem ist, dass das WLAN ungesichert war. Über diesen Weg wird aber dein WLAN-Passwort für dein gesichertes WLAN übertragen - jeder kann es über die Luft abgreifen (in der "Nähe"). Per Deauth-Paket konnte man den Prozess als Angreifer neu veranlassen, was das Abgreifen auf Kommando ermöglicht. Das macht man dann aus dem Auto vorne an der Straße, unbemerkt. Biste im Wlan, kannste eben alles machen, was nicht anderweitig (stark) abgesichert ist.

Ich habe hier noch ein Gerät der gleichen Gattung eines anderen Herstellers liegen, bzw 2. Auf den stehen Passwörter für das Setup-Wlan aufgedruckt. Unterschiedliche. Sieht also gut aus. Stehen umsonst drauf, die Setup-Wlans sind ungesichert. Also gleicher Case. Auch ein weit verbreitetes Gerät, aber da hats noch keiner breit getreten. Wird sicher noch kommen, hatten schon andere nette Eier drin, die aber nicht so leicht zu finden waren (an Hand der CVEs lesbar).

Wenn man solche Geräte fahren will, eigenes Wlan dafür (z.B. das Gast-Wlan) oder einen kleinen Minirouter der Multi-SSID fahren kann.

(20-01-2020 23:07)mucki schrieb:  Ich halte mich jetzt aus der Diskussion raus. Führt eh zu nix :-)

Man kann immer was dazu lernen.