Schwachstellen in Fernsteuerungs-App für Industrieanlagen von Siemens geschlossen
Kraftwerke und Co. kann man inzwischen bequem per App fernsteuern. Ganz ungefährlich ist das offenbar jedoch nicht: Forscher fanden in den WinCC-Apps von Siemens haarsträubende Sicherheitslücken.
(Bild: Siemens)
Die iOS-Apps SIMATIC WinCC Sm@rtClient und Sm@rtClient Lite [1] von Siemens sind bisher nachlässig mit den ihnen anvertrauten Zugangsdaten umgegangen (PDF) [2], wie die Sicherheitsexperten von FortConsult [3] herausgefunden haben.
So war es möglich, sowohl das Passwort, das beim Start der App abgefragt wird, als auch die Zugangsdaten zum Sm@rtServer zu extrahieren, wenn man Zugriff auf das iOS-Gerät hat. Zudem wurde das App-Passwort nicht abgefragt, wenn die App im Hintergrund war und wieder aktiviert wurde.
Es handelt sich dabei keineswegs um eine Lappalie: Die Apps dienen der Fernsteuerung von Industrieanlagen, die mit dem SCADA-System WinCC betrieben werden. WinCC kommt unter anderem in deutschen Atomkraftwerken zum Einsatz.
Gelingt es einem Angreifer, die Kontrolle zu übernehmen, kann dies verheerende Folgen haben – selbst, wenn es sich dabei um kleinere Anlagen handelt. Abhhilfe schafft die Version 1.0.2 von Sm@rtClient [4] und Sm@rtClient Lite [5], die im App Store zum Download bereitsteht. (rei [6])
URL dieses Artikels:
https://www.heise.de/-2517783
Links in diesem Artikel:
[1] http://w3.siemens.com/topics/global/de/industrie/zukunft-der-industrie/industrie-apps/wincc-smartclient/seiten/simatic-wincc-smartclient.aspx
[2] http://www.siemens.com/innovation/pool/de/forschungsfelder/siemens_security_advisory_ssa-311299.pdf
[3] http://fortconsult.net/
[4] https://itunes.apple.com/de/app/simatic-wincc-sm-rtclient/id874209707
[5] https://itunes.apple.com/gb/app/simatic-wincc-sm-rtclient/id871870286
[6] mailto:rei@heise.de
Copyright © 2015 Heise Medien