Svakom Siime Eye – Wir haben den Vibrator aus Sicherheitsgründen aus dem Sortiment genommen
6.4.2017
Heute habe ich ein Security Advisory gelesen, das in mir die Reaktion «Warum macht man sowas?» provoziert hat. Wenige Minuten später haben wir ein Sexspielzeug aus dem Sortiment genommen. Der Grund: massive Sicherheitslücken.
Der Vibrator Svakom Siime Eye – ausgesprochen «See me» also «Sehe mich» – ist per sofort nicht mehr bei uns erhältlich. Es ist gut möglich, dass ein Nachfolger in unser Sortiment aufgenommen wird, aber erst nachdem wir uns von der Sicherheit des Geräts überzeugt haben. Denn diese ist beim Siime Eye nicht vorhanden. Daher können wir nicht mehr guten Gewissens sagen, dass wir hinter dem Gerät stehen. Und das wollen wir nicht.
Denn wie es heute aussieht, ist der Svakom Siime Eye ein gescheitertes Produkt.
Sehen wir uns das Debakel im Detail an.
Was ist der Svakom Siime Eye?
Svakom ist ein Unternehmen, das Sexspielzeug für die Frau herstellt. Das US-amerkanische Unternehmen hat sich in der Szene einen Namen gemacht, indem es Produkte hergestellt hat, die nicht nur im Bett Freude machen, sondern auch noch einigermassen ästhetisch aussehen. Der Hersteller wirbt mit kurzen Ladezeiten und starken Motoren.
Eine Kamera.
Wir haben also eine Webcam in einem Gerät, das in der Regel in der generellen und bei Benutzung entblössten Beckengegend seiner User verwendet wird. Wäre ja eine Schande, wenn die Bilder irgendwie öffentlich würden.
Du siehst schon, wo das hinführt.
Der ernüchternde Penetration Test
Die Source-Code-Analyse zeigt, dass einige Daten des Geräts hart hinterlegt werden. Dieses Hard Coding wird von Sicherheitsforschern kritisch beäugt und jeder, der etwas von seinem Fach versteht, wird in den allermeisten Fällen von Hardcoding abraten.
Diese Daten sind kritisch:
IP: 192.168.1.1
Port: 80
SSID: Siime Eye
Username: admin
Password: [blank] (also leer)
Wenn du jetzt im gleichen Heimnetzwerk bist, wie der Siime Eye, dann kannst du im Browser deiner Wahl 192.168.1.1:80 eintippen, dann «admin» als Usernamen angeben und das Passwortfeld leer lassen. Beim Setup gibt der Hersteller zwar an, dass du das Passwort ändern sollst und dass es sonst unsicher sei, aber das ist auch komplett für den Arsch wenn im Quellcode ein Username und Passwort fest hinterlegt sind. Denn keiner kann das ändern oder beeinflussen.
Jaja, Sicherheitshinweis. Ist klar...Was passiert?
Die erweiterte Code-Analyse hat gezeigt, dass der vom Siime Eye verwendete Code wohl für Drohnen geschrieben worden ist. Die benutzten Namen im Code weisen auf eine Drohne namens Skyviper hin. PenTestPartners hat beim Unternehmen nachgefragt und das weiss nichts davon, dass sein Code für Sexspielzeug verwendet wird.
Die App, die auch nicht sicher ist
Der Siime Eye wird in der Regel über eine App für Google Android oder Apple iOS gesteuert. Auch da sind die Zugangsdaten offensichtlich.
SSID: Siime Eye
Passwort: 88888888
Diese Daten müssen bei der ersten Verbindung mit dem Access Point des Siime Eye eingegeben werden. Ansonsten kann die App nicht mit dem Dildo kommunizieren. Die App selbst hat nur limitierte Funktionalität. Sie kann Fotos schiessen und Video aufzeichnen. Die Aufnahmen können abgespeichert werden.
Die Siime AppDie Kurzfassung dieser beiden Schwachstellen: Jeder, der im gleichen Netz hängt, wie der Siime Eye oder in Reichweite des Wireless Access Points des Spielzeugs kann auf die Videofootage zugreifen.
… super.
Mit etwas weiterem Geschick ist es den Researchern bei PenTestPartner gelungen, die vollständige Kontrolle, also Root-Access, über das Gerät dauerhaft zu erreichen. In die Geschichte der Informationssicherheitsszene wird der Siime Eye als das Gerät eingehen, das den Satz «Root auf Dildo» zur Wahrheit hat werden lassen..
Daher der Rat: Kübelt euren Siime Eye. Wir empfehlen euch anderes.
Für den Fall, dass ihr doch noch eine Kamera zum Zwecke der Teledildonics haben wollt, haben wir euch folgendes Bundle zusammengestellt.
Journalist. Autor. Hacker. Ich bin Geschichtenerzähler und suche Grenzen, Geheimnisse und Tabus. Ich dokumentiere die Welt, schwarz auf weiss. Nicht, weil ich kann, sondern weil ich nicht anders kann.
Produkttest
Unsere Expertinnen und Experten testen Produkte und deren Anwendungen. Unabhängig und neutral.
Alle anzeigen
