Wer ein Google Cast-fähiges Gerät wie ein Chromecast oder auch ein Google Home besitzt, wird das kennen: Mit einem einzigen Klick können hier in Windeseile Musik oder Videos weitergereicht werden. Doch dieser Komfort hat auch eine Schattenseite, wie nun ein Sicherheitsforscher warnt.

Über Schwächen in Google Cast ist es möglich, den Standort der jeweiligen Nutzer exakt zu bestimmen, warnt Craig Young von Tripwire in einem Blog-Post. Ein solcher Angriff könnte etwa über eine manipulierte Webseite erfolgen, die sich ergebende Ortung ist typischerweise bis auf 10 Meter genau.

Ablauf

Das dies möglich ist, liegt vor allem an zwei Faktoren: Die Cast-Devices verwenden keinerlei Autorisierung, sie sind also für alle Geräte im lokalen Netzwerk uneingeschränkt erreichbar. Zudem werden ungeschützte HTTP-Verbindungen genutzt, um diese Geräte zu konfigurieren und administrieren. Beides für Geräte, die ausschließlich für das lokale Netzwerk gedacht sind, durchaus gebräuchliche Herangehensweisen, auch viele andere Hersteller gehen hier entsprechend vor. Das Problem dabei: Das zugrundeliegende Vertrauen in das lokale Netzwerk sei verfehlt, wie Young betont.

Über Tricks wie Cross Site Forgery oder DNS Rebinding kann nämlich auch eine Webseite über den Weg des Browsers gewisse Informationen über das lokale Netzwerk sammeln. Wie der Sicherheitsforscher demonstriert, kann er damit nach entsprechenden Devices mit Google Cast scannen und in Folge gewisse Einstellungen abfragen. Darunter auch jene über die aktive WLAN-Verbindung. Eine Information, über die wiederum dank umfangreicher und offen zugänglicher Datenbanken zu WLAN-Standorten eine äußerst genaue Positionierung möglich ist.

Betont sei dabei, dass es einer Webseite natürlich schon mithilfe der IP-Adresse, die sie von einem Besucher erhält, möglich ist, einen Standort zu bestimmen. Dies ergibt allerdings eine nur sehr grobe Zuordnung, bei Providern, die regelmäßig ihren Nutzern neue IPs zukommen lassen, stimmt dies zudem oft gar nicht.

Reaktion

In einer ersten Reaktion wollte Google das Problem zunächst nicht erkennen, und schloß den zugehörigen Bug-Eintrag von Young umgehend wieder. Erst nachdem sich ein weiterer Sicherheitsforscher einschaltete, unternahm man eine genauere Untersuchung, und will nun mit einem Update nachbessern. Dieses soll MItte Juli an alle Geräte mit Google-Cast-Support ausgeliefert werden.

Umdenken erforderlich

Young sieht in dem Vorfall aber eine über dieses Beispiel hinausgehende Lehre: Es sei nämlich Zeit sich vom Vertrauen in das lokale Netzwerk zu verabschieden. Im Endeffekt müsse man davon ausgehen, dass dieses auch nicht sicherer sei als das Internet – und es entsprechend behandeln. Das bedeutet einerseits für alle lokalen Geräte Authentifizierung und verschlüsselte Kommunikation umzusetzen, andererseits aber auch die Netzwerkstruktur zu hinterfragen. So könnte es etwa Sinn ergeben, sämtliche Geräte des Internet der Dinge in ein separates WLAN mit zusätzlichen Beschränkungen zu hängen. An sich ein durchaus guter Vorschlag, im vorliegenden Fall aber auch einer, der nur begrenzt hilfreich ist, würde doch damit die Cast-Funktionalität verloren gehen. (Andreas Proschofsky, 19.6.2018)