„Unterwegs und doch zuhause“, so wirbt DoorBird für sein in Deutschland hergestelltes Produkt, eine Türsprechanlage, über die Nutzer per Smartphone von überall auf der Welt mit Besuchern sprechen, sie sehen und ihnen die Tür öffnen können (in Verbindung mit einem smarten Türschloss). Dass mit einer solchen Idee eine Reihe von Sicherheitsrisiken verbunden sein können, dürfte wohl jedem klar sein, ebenso wie den Testern aus dem IoT-Labor von AV-TEST. Diese haben entsprechend das Sicherheitskonzept von DoorBird geprüft und mögliche Schwachstellen analysiert.
App
Bei Prüfung der DoorBird-App für Android (com.doorbird.doorbird, Version 4.20) konnten bei der statischen Analyse der App Hinweise zu potentiellen Problemen in Verbindung mit der SSL-Sicherheit festgestellt werden. Gemäß Analyse gibt es mögliche Schwachstellen bei der Zertifikatsprüfung und folglich können potentielle Angreifer in der Lage sein, Man-in-the-Middle-Angriffe durchzuführen. Theoretisch gesehen sind die im Code gefundenen Schwachstellen auch nachvollziehbar, in der Praxis müssen diese aber noch bei der Analyse der Online-Kommunikation verifiziert werden. Theoretische Tests können durchaus irreführend sein, insbesondere bei Fällen ungewöhnlicher Umsetzung von Zertifikatsprüfungen.
Abgesehen von den vorgenannten Aspekten gibt es keine weiteren Beanstandungen hinsichtlich der App. Der Quellcode ist zumeist verschleiert, es werden keine sensiblen Informationen ungesichert lokal auf dem Smartphone gespeichert, und über Android Logcat können keine Informationen offengelegt werden, die Angreifer in irgendeiner Weise als hilfreich erachten könnten.
Online-Kommunikation
Bei der praktischen Analyse der Online-Kommunikation konnten sich die Hinweise aus der statischen Analyse in Verbindung mit möglichen Schwachstellen im Bereich der Zertifikatsprüfung nicht bestätigen. Die überwachten Verbindungen zum Internet, die von App und Gerät erstellt wurden, waren in allen Fällen TLS1.2-verschlüsselt und somit geschützt gegen einfache Man-in-the-Middle-Angriffe. Die Übertragung eines Firmware-Updates erwies sich ebenfalls als ausreichend gesichert und zeigte keinerlei Schwachstellen.
Lokale Kommunikation
In diesem Bereich zeigte die Analyse so einige Punkte, die uns Grund zur Besorgnis gaben. Zunächst einmal gibt es Grund für Kritik bei der Einrichtung des Systems: Zur Initialisierung bietet die DoorBird Basisstation ein eigenes WLAN an, welches zwar gesichert ist, allerdings nur mit dem Standardpasswort „doorbird“. Und da die Kommunikation, die während der Einrichtungsphase über dieses WLAN stattfindet, unglücklicherweise auch noch unverschlüsselt über HTTP läuft, braucht man nicht viel Fantasie um sich vorstellen zu können, wie Angreifer den Einrichtungsprozess belauschen und auch die übertragenen User-Anmeldedaten mitlesen können.
Nach Abschluss der Ersteinrichtung kommuniziert die Türstation über das vom Nutzer angegebene WLAN-Netz, allerdings findet die Kommunikation weiterhin unverschlüsselt statt. Ebenfalls unverschlüsselt und damit für alle Teilnehmer des WLAN-Netzes sichtbar sind Authentifizierung, Passwortänderungen und Bildübertragungen. Wir sind der Auffassung, dass für eine sicherheitsrelevante Applikation wie im vorliegenden Fall eine derart unsichere Kommunikation als ungenügend anzusehen ist, weswegen wir bei unserer Bewertung in dieser Kategorie Punkte abgezogen haben.
Datenschutz
Der Datenschutz sollte bei einer Lösung, die (unbemerkt) Bild und Ton aufzeichnet und dazu Speicherung in der Cloud anbietet, von besonderer Wichtigkeit sein. Leider ist es jedoch so, dass sich die recht umfangreiche Datenschutzerklärung des Herstellers nur auf die Nutzung der Webseite von DoorBird bezieht und nicht auf den Einsatz des Produkts. Was also den Aspekt des Datenschutzes angeht, können hier in der Auswertung keine Punkte vergeben werden.
Die Berechtigungen der Android-App bewegen sich im Bereich des Erforderlichen:
Fazit
Das DoorBird-System, bestehend aus einer Türsprechanlage und mobiler App, kann unter dem Aspekt der Sicherheit tatsächlich als recht solide bezeichnet werden: Die App selbst und die Kommunikation über das Internet sind adäquat abgesichert und zeigen bei ersten Analysen keine offensichtlichen kritischen Schwachstellen. Ein deutlicher Verbesserungsbedarf besteht allerdings bei der lokalen Kommunikation, sei es zum Zweck der Einrichtung oder auch während der Verwendung. Darüber hinaus bezieht sich die Datenschutzerklärung weder auf das eigentliche Produkt noch die App. Im Gesamtergebnis haben wir daher zwei Sterne abgezogen und bewerten die Lösung von DoorBird mit nur einem von drei möglichen Sternen.
Previous article 