Im letzten Monat startete Amazon sein neuartiges Lieferservice-Modell „Amazon Key“ in den USA. Dabei soll der Zusteller die Möglichkeit haben, die Wohnung eines Empfängers zu betreten, um die gelieferte Ware dort abzustellen.
Der Konzern verkaufte dafür ein Paket bestehend aus der internetfähigen Cloud Cam und kompatiblen Schlössern der Marke Kwikset und Yale. Potenzielle Kunden lockte Amazon damit, dass besagte Kamera in der Wohnung gegenüber der Tür installiert würde, um jede Lieferung mit Amazon Key aufzuzeichnen.
Amazons Cloud Cam zeigt eingefrorenes Bild
Sicherheitsforschern des Rhino Security Labs ist es nun gelungen, die Cloud Cam auszuhebeln. Mithilfe eines einfachen Programms, das von jedem Computer aus betrieben werden kann, der sich in WLAN-Nähe befindet, gelang es den Experten, die Kamera nicht nur funktionsunfähig zu machen, sondern auch das Bild einzufrieren. Auf diese Weise sieht ein Nutzer ausschließlich die Aufnahme seiner geschlossenen Tür, selbst wenn diese gerade geöffnet und die Wohnung tatsächlich betreten wird.
Das Vorgehen ist relativ simpel. Wie im Video gezeigt, verschließt der Bote nach seinem Liefergang nicht wie gewohnt die Tür mit seiner App, sondern initiiert ein Programm auf seinem Laptop oder einem mobilen Gerät. Dieses sendet eine Reihe an Deaktivierungsbefehlen an die Cloud Cam.
Kein Software-Fehler der Amazon Key-Kamera
Eine Technik wie dieses ist nicht etwa möglich, weil die Kamera einen Software-Fehler aufweist, es ist vielmehr ein Problem, dass nahezu alle WLAN-fähigen Geräte mit sich bringen. Es erlaubt jedem, einen Befehl vom WLAN-Router zu fälschen, der ein Gerät temporär aus dem Netzwerk wirft. Die Forscher der Rhino Security Labs haben diesen Befehl immer wieder an die Cloud Cam gesendet, um die Kamera solange wie möglich offline zu halten. Befremdlich ist, dass Amazons Cloud Cam dabei nicht ausgeht oder den User alarmiert, sondern das letzte aufgezeichnete Bild ausstrahlt.
Auch das Amazon Key-Schloss kann manipuliert werden
Die Sicherheitsforscher erklärten außerdem, dass bei der Attacke nicht nur die Kamera offline gesetzt wird, sondern gleichzeitig das Amazon Key-Schloss an der Tür abkoppelt. Grund dafür ist die fehlende eigene Internetverbindung. Das Türschloss kommuniziert über das drahtlose Zigbee-Protokoll mit der Cloud Cam, die als seine Verbindung zum Router und dem restlichen Internet fungiert.
Daraus ergäbe sich ein zweites Angriffsszenario, bei dem ein Hacker dem Amazon-Boten folgt und darauf wartet, dass dieser die Tür nach der Lieferung wieder schließt. In diesem Moment kann der Hacker den gefälschten Befehl auslösen und das Schloss offline stellen. Damit wäre die Tür nicht verschlossen.
Amazon will Update zur Verfügung stellen
Auf Nachfrage von Wired gab Amazon an, noch Ende dieser Woche ein Update bereit zu stellen, um dieses Sicherheitsproblem zu beheben. Der Gründer der Sicherheitsfirma Rhino Security Labs, Ben Caudill, betont, dass Amazon sehr stark auf die Kamera als sichere Lösung baut, um sein Liefermodell zu verkaufen. Ein wesentliches Sicherheitsmerkmal wie dieses manipulieren zu können, ist besonders schwerwiegend, wenn es um Umgebungen geht, bei denen der User auf absolute Sicherheit vertraut.