Logitech macht Funktastaturen sicherer, Lücken bleiben

Mit den gestern erschienenen Firmware-Updates lassen sich #Logitech Tastaturen, Mäuse und Presenter zwar sicherer machen, es bleiben aber zwei bekannte Lücken offen.
Für eine der #Sicherheitslücken (CVE-2019-13052) benötigt ein Angreifer Zugriff auf den Unifying Receiver, um ein sog. Pairing auszulösen. Danach kann er den Funkverkehr mitschneiden.

Die zweite Lücke (CVE-2019-13053) ermöglicht es dem Angreifer, eigene Tasteneingaben in die Funkverbindung einschleusen. Das könnte ein Powershell-Script sein, das eine Schadsoftware auf dem angegriffenen Rechner herunterlädt und ausführt. Logitech wird damit zum "Locky-Tech".

Fazit und Sicherheits-Hinweise

Logitech-Funktastaturen und -Mäuse, die über den abgebildeten Empfänger verfügen, sollten nicht in öffentlichen Bereichen mit Publikumsverkehr eingesetzt werden. An einer POS-Kasse im Markt oder einem Beraterplatz in der Küchenausstellung sind aus meiner Sicht generell Funk-Tastaturen ungeeignet - weil unsicher. Selbst Bluetooth-Geräte haben vielleicht noch unentdeckte Sicherheit-Lücken und können andere Geräte im Umfeld stören.

Verwenden Sie kabelgebundene Geräte, schont das auch zusätzlich die Umwelt, und Sie müssen keine Batterien tauschen.

Wenn Sie kabellose Mäuse einsetzen möchten, empfiehlt sich derzeit ein Modell, dass über Bluetooth ab Version 4.1 verbindet.

Alternative für den mobilen Einsatz

Die #Lenovo Dual Mode Wireless Touch Mouse N700 (Artikel Nr. 888015450) mit eingebautem Laser-Pointer beispielsweise hat sowohl Bluetooth 4.1 Kompatibilität, als auch einen 2.4GHz Empfänger, der laut lenovo nicht von Logitech ist. Ich benutze die Bluetooth-Schnittstelle, RF-Empfänger und Sender bleiben ausgeschaltet.

(Post ID:1412)

Kritische Lücke in Logitech Funkmäusen, Tastaturen und Presentern

Sicherheitslücken und Risiko

Zahlreiche Wireless Geräte von Logitech (Funkmäuse, Tastaturen, Presenter) haben ein kritische und bereits ausgenutzte Sicherheitslücken in ihrer Firmware.

Ein potenzieller Angreifer kann damit in Funkreichweite des Empfängers (10-20 m) Tastatureingaben belauschen und damit E-Mails, Kennwörter aufzeichnen. Kritischer ist die Möglichkeit, dass er eigene Eingaben an den angegriffenen Rechner schickt. Damit kann er Schadprogramme auf dem Zielsystem installieren und Programme ausführen.

Einen Rechner mit einem Trojaner oder Downloader zu infizieren ist dadurch möglich.

Betroffen sind alle Geräte, die über den Logitech Unifying Funkempfänger mit dem Rechner verbunden sind (siehe Abbildung):

Maßnahmen zweistufig

Bekannt sind sechs #Sicherheitslücken, von denen #Logitech bereits vier geschlossen hat. Wer also jetzt über die Logitech Software nach #Firmware sucht, kann vier von den sechs Sicherheitslücken schließen, indem er die Unifying Firmware aktualisiert. Gut unterrichtete Quellen berichten, dass die Logitech Setpoint-Software in vielen Fällen nicht die vier Lücken schließt das Logitech Firmware-Tool: "SecureDFU" schon.

Da Logitech die anderen zwei Lücken frühestens im August 2019 schließen wird, bleiben die genannten Geräte so lange unsicher und angreifbar und man muss im August oder September nochmal Firmware-Updates machen.

Will man sich effektiv schützen, bleibt aktuell nur, entweder die Geräte durch kabelgebundene Lösungen zu ersetzen oder aber dafür zu sorgen, dass ein potentieller Angreifer nicht näher als 20m an den Unifying Empfänger heran kommt.

Fazit

Grundsätzlich besteht auch bei anderen Herstellern das Risiko, dass Funktastaturen, -Mäuse und -Presenter Sicherheitslücken haben. Das Risiko, abgehört oder angegriffen zu werden ist damit deutlich höher.

Das gilt grundsätzlich nicht nur für Gerätschaften, die im 2.4 GHz Funkbereich funken, sondern auch für Bluetooth-Geräte. Da der Bluetooth-Standard ab Version 4 Daten verschlüsselt überträgt und hierzu derzeit keine Sicherheitslücken bekannt sind, können beispielsweise mobile Bluetooth-Notebookmäuse und -Presenter zunächst weiter eingesetzt werden.

Wer sicherer sein möchte, setzt kabelgebundene USB-Lösungen an seinen Rechnern ein.