Intelligente Geräte sind fester Bestandteil unseres täglichen Lebens geworden. Im Gegensatz zu herkömmlichen Handys und Laptops, werden Geräte im Internet der Dinge (IdD) in der Regel vom Hersteller gesteuert. Nutzer haben meist keinerlei Möglichkeit, an solchen Geräten Anpassungen vorzunehmen. Stattdessen müssen Nutzer IdD-Geräten vertrauen und diese so nutzen, wie sie sind; inklusive allen hiermit verbundenen Ökosystemen zur Datenverarbeitung. Es muss deshalb in jedem Fall sichergestellt werden, dass ein IdD-Gerät ausspähsicher ist.

Diese Dissertation analysiert Sicherheitspraktiken in weit verbreiteten IdD-Ökosystemen über verschiedene Preissegmente hinweg. Unsere Ergebnisse zeigen eine Lücke zwischen tatsächlichen Implementierungen und dem aktuellen Stand der Technik auf. Bei der Kommunikation von Sicherheitslücken an Hersteller sind uns grundlegende praxisnahe Problemstellungen aufgefallen. Möchten Hersteller Rückwärtskompatibilität innerhalb einer Handy-Anwendung mit mehreren Gerätegenerationen ermöglichen? Können sie ihrer Lieferkette die Installation von Schlüsselmaterial anvertrauen? Hersteller, die schon länger am Markt sind, sind sich über diesen Problembereich bewusst, und haben deshalb ein Budget für Produktsicherheit. Trotz dieses Bewusstseins scheitern Entwickler manchmal daran, Sicherheit in komplexen Ökosystemen korrekt anzuwenden. Unsere Analyse diverser Produkte am Markt zeigt auf, wie Hersteller Sicherheit praktisch umsetzen. Unsere offene Kommunikation über Sicherheitsproblematiken und unsere Empfehlungen helfen sowohl, die Sicherheit der direkt betroffenen Produkte zu erhöhen, als auch den Herstellern vernetzter Ökosysteme sichere Produkte zu entwickeln.

Darüber hinaus ermöglichen wir Anwendern mit Hilfe von Binärcodeänderungen, die Firmware ihrer vernetzten Geräte zu modifizieren. Sobald ein Hersteller seine Cloud-Dienste einstellt, können hierdurch unbrauchbar gewordene Geräte nun wiederverwendet werden, indem ein alternatives herstellerunabhängiges Ökosystem aufgezogen wird. Binärcodeänderungen sind nicht nur im IdD-Kontext nützlich -- sie können auch dazu genutzt werden, herkömmliche Geräte für Forschungszwecke umzufunktionieren. Wir sind die ersten, die Werkzeuge für Bluetooth-Firmware zur Untersuchung der unteren Netzwerkschichten zur Verfügung stellen. Bei der Firmwareanalyse ist uns eine Schwachstelle aufgefallen, welche mehrere Hunderte Millionen von Broadcom-Chips betraf, die unter anderem von Apple, Samsung und Google verbaut wurden. Wir haben Broadcom und ihre betroffenen Kunden informiert, damit diese Lücken geschlossen werden können. Allerdings erhalten einige der betroffenen Geräte keine Updates mehr. Auch bei diesen können Binärcodeänderungen eingesetzt werden, um herstellerunabhängig Sicherheitsupdates für alte Geräte herauszubringen.

Hersteller vernetzter Geräte sind von Standards abhängig. Nur selten implementieren sie neue Kommunikationsschemata für die unteren Netzwerkschichten selbst, denn Standards ermöglichen die Kommunikation zwischen Geräten unterschiedlicher Hersteller, was in IdD-Installationen häufig benötigt wird. Sichere Standards helfen dabei, Produkte von Grund auf sicher zu machen, und sollten deshalb frühestmöglich analysiert werden. Eine Methode, Sicherheit in Standards für die unteren Netzwerkschichten zu implementieren, ist Sicherheit für die physikalische Schicht. Hierbei werden physikalische Eigenschaften drahtloser Übertragungen dazu genutzt, diese abzusichern. Mit neuen drahtlosen Technologien ändern sich solche physikalischen Eigenschaften. Wir analysieren, wie gut sich Sicherheit auf der physikalischen Schicht für Millimeterwellen- und Lichtkommunikation anwenden lässt. Trotz der allgemeinen Annahme, dass Lichtkommunikation aufgrund der begrenzten Reichweite sehr sicher ist, zeigen wir auf, dass sich Lichtkommunikation wegen ihrer anderen Eigenschaften insgesamt schlechter für Sicherheit auf der physikalischen Schicht eignet als herkömmliche Radiowellenkommunikation.

Diese Dissertation beschäftigt sich sowohl mit weit verbreiteten Produkten als auch mit bekannten Standards. Wir betrachten Sicherheit im gesamten Produktlebenszyklus um Sicherheit in vernetzten Geräten und IdD-Ökosystemen langfristig sicherer zu machen.