Smart Home: Sicherheitslücke in Osram Lightify [Update]

Eine angebliche Sicherheitslücke in Osrams Lightify-Beleuchtungslösung sorgt für Aufregung. Nach einem Bericht von ZDNet.com haben Sicherheitsforscher von Rapid7 eine Lücke in der Smart-Home-Lösung entdeckt, die es Angreifern möglich macht, auf das Heimnetzwerk zuzugreifen. Rapid 7 wurde von Osram unterstützt.

In das Management-Interface könne mit einem Browser Javascript oder HTML-Code injiziert werden, um die Kontrolle zu übernehmen. Außerdem könnte das WLAN-Kennwort erbeutet werden. Hier scheint ein zu einfaches Kennwort der Schlüssel zum Hackerfolg zu sein.

Licht im Smart Home

Osram bietet ähnlich wie Philips mit der Hue eine Lösung an, bei der ein Funk-Hub LED-Glühbirnen ansteuert, um ihre Farbe und Helligkeit zu ändern. Die Lösung lässt sich auch per App vom iPhone oder Android-Gerät aus ansteuern. Osram und Philips setzen beide auf das ZigBee-Protokoll, um mit der Bridge zu kommunizieren, die ihrerseits ans Heimnetzwerk angeschlossen wird. Wer will, kann auch aus der Ferne über das Internet sein Licht steuern.

Lesetipp

Beleuchtung mit Pfiff: Hue, Lightify und Avea im Vergleich

Hue, Lightify und Avea im Vergleich: Smarte-Home-Lampen für iPhone und Co. Am häufigsten wird die einfache Fernsteuerung vom Rechner oder... mehr

Nach Angaben von Rapid7 will Osram ein Sicherheitsupdate für die Lampen anbieten.

Lesetipp

LG Smart Lightning System: Konkurrenz für Philips Hue?

LG hat einen Philips-Hue-Konkurrenten präsentiert: Das Lichtsystem LG Smart Lightning LED (Pressemeldung, Google Übersetzung) besteht aus einer... mehr

Erst im April 2016 hatte Osram eine offene Programmierschnittstelle (REST API) für Lightify vorgestellt. Damit können  Entwickler eigene Apps für das Beleuchtungssystem erstellen. Mit Öffnung der Schnittstelle lässt sich Lightify zudem in  Home-Automatisierungs-Applikationen integrieren.

Update vom 27.7.2016

Osram hat nach eigenen Angaben den Mitarbeiter des Security-Spezialisten Rapid7 unterstützt. Die wichtigsten Lücken sollen bereits mit dem nächsten Versionsupdate behoben werden. Es soll im August 2016 erscheinen. Der Artikel wurde in diesen Passagen entsprechend angepasst.

Allerdings haben auch einige der Lücken nach Auskunft von Osram ihren Ursprung im ZigBee-Protokoll, das natürlich nicht von Osram selbst entwickelt wurde. Das Unternehmen stimmt sich aber mit der ZigBee-Allianz hinsichtlich der Sicherheitslücken des Protokolls ab und nutzt die Ergebnisse entsprechend.