1080p HD Videoaufzeichnung mit Nachtsicht, 135 Grad Weitwinkelobjektiv mit Bewegungsfilter: das sind die Hardware-Fakten der Überwachungskamera „Circle“ vom Hersteller Logitech in Kurzform. Das knapp 200 Euro teure Gerät zur Online-Überwachung wurde in unserem IoT-Labor im Schnelltest überprüft und überzeugte durch hohes Schutzniveau.

Testpunkt verschlüsselte Verbindungen

Bei Überprüfung der Online-Kommunikation der Überwachungskamera Circle ließen sich im Schnelltest keine unverschlüsselten Verbindungen feststellen. Wie die Überwachung und Untersuchung des Netzwerk-Traffics mithilfe des Analyse-Tools Wireshark (https://www.wireshark.org/) zeigte, lief die komplette Kommunikation durchgängig mit TLS 1.2 abgesichert ab und bot soliden Schutz gegen potentielle Mitgucker, etwa bei Man-in-the-Middle-Angriffen. Um dieses Szenario zu testen, haben wir einen Testaufbau mit dem Tool mitmproxy umgesetzt, um uns in die verschlüsselte Kommunikation der Logitech Circle einzuschalten. Aber selbst in diesem Fall erkannten die Logitech-Server unzulässige Zertifikate und verhinderten die Übertragung von Videodaten. Ein unbemerktes Einschleichen sowie ein Abgreifen der Videodaten oder deren Manipulation ist für einen potentiellen Dritten somit so gut wie ausgeschlossen. Die folgende Abbildung zeigt ein Ergebnis unserer erfolglosen Angriffe mit Wireshark – das von uns verwendete Zertifikat ist den Logitech-Servern nicht bekannt und wird deshalb abgewiesen.

Positiv fällt im Bereich der Online-Kommunikation zudem auf, dass wir im Test bei der Überwachung mit Wireshark keine Verbindungen zu Drittdomains feststellen konnten. Bei vielen anderen Produkten gibt es dagegen häufig eine Vielzahl an Datenübertragungen zu Domains, die augenscheinlich nicht direkt zum Hersteller gehören.

Testpunkt App-Sicherheit

Bei der zugehörigen Android-App (getestete Version 1.5.495) leistete sich Logitech ebenfalls keine gravierenden Schwächen. Folglich ist die Kritik aus dem IoT-Labor von AV-TEST eher theoretischer Natur, bietet aber dennoch Optimierungspotential: Der Grad der Code Obfuscation ist zwar schon hoch, jedoch wird die Code-Verschleierung insgesamt nicht konsequent genug umgesetzt. Wie die folgende Abbildung mit einem Ausschnitt aus dem Klassendiagramm der Applikation zeigt, sind große Teile der relevanten Funktionen verschleiert (erkennbar an den ein Buchstaben langen Klassennamen), im Gegensatz dazu sind es bedeutende Teile aber auch nicht.

Theoretisch könnte ein Angreifer diese Tatsache ausnutzen, um unter Verwendung von Tools wie Apktool (https://ibotpeaches.github.io/Apktool/), mit dem sich jede beliebige Android-Applikation relativ sicher decodieren lässt, und einem der unzähligen JAVA-Decompiler ein Reverse Engineering durchzuführen und so Zugriff auf sicherheitsrelevanten Code und die Funktionsweise der App zu erhalten. Ein mögliches Reverse Engineering wird hierbei auch zusätzlich dadurch unterstützt, dass die Ausgaben der App auf der Android System-Konsole logcat relativ ausführlich sind, selbst wenn sie nicht direkt ersichtlich kritische Informationen enthalten. Die folgende Abbildung zeigt einen Ausschnitt der Protokollierung der Applikation. Ersichtlich sind Funktionsaufrufe und der daraus resultierende Programmablauf – potentiell interessante Informationen für ein Reverse Engineering.

Für Nutzer mit gerootetem Smartphone ist außerdem wichtig zu wissen, dass die Nutzer-Credentials im App-Ordner im Klartext gespeichert werden. Ohne Root-Rechte kann keine andere App die Credentials dort einsehen, weshalb wir diesen Punkt nicht als Schwachstelle werten. Mit Root-Rechten liegen Nutzername und Passwort allerdings für jede App offen, die explizit danach Ausschau hält. Die folgende Abbildung enthält einen Ausschnitt aus den lokal auf dem Smartphone gespeicherten Nutzerinformationen.

Fazit

Insgesamt stellt sich die Logitech Circle im Schnelltest als solides Produkt dar, das sich keine Schwächen leistet und die volle 3-Sterne-Wertung in der Schnelltestkategorie verdient.