"Am I Just That Dumb?": Applicability, Action and Verification in Consumer IoT Security Advice
Diese Studie bewertet die Anwendbarkeit, Handlungsfähigkeit und Verifizierbarkeit staatlich herausgegebener Sicherheitsratschläge für Consumer-IoT in den Niederlanden und zeigt signifikante Lücken zwischen generischen Leitlinien und den tatsächlichen Fähigkeiten meistverkaufter Geräte auf, denen es oft an gemeinsam genutzten Standard-Anmeldedaten und klaren Aktualisierungsmechanismen mangelt, was dadurch die Fähigkeit der Nutzer behindert, ihre Geräte effektiv abzusichern.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
In modernen Haushalten hat eine stille Revolution stattgefunden. Alltagsgegenstände – von Smart-Speakern und Türklingeln bis hin zu Küchengeräten und Glühbirnen – sind mit dem Internet verbunden worden, wodurch ein Netzwerk von Geräten entstanden ist, die aus der Ferne gesteuert werden können. Dieser Komfort bringt jedoch einen verborgenen Preis mit sich: die Sicherheit. So wie ein physisches Haus ein Schloss an der Haustür benötigt, benötigen diese digitalen Geräte Schutz vor Eindringlingen, die versuchen könnten, die Kontrolle über sie zu erlangen. Jahrelang haben Regierungen und Sicherheitsexperten eine einfache, zweiteilige Lösung angeboten, um diese Häuser sicher zu halten: das mit dem Gerät gelieferte Standardpasswort zu ändern und die Software des Geräts auf dem neuesten Stand zu halten. Die Annahme hinter diesem Rat ist, dass jeder in der Lage ist, diesen Anweisungen zu folgen, die richtigen Einstellungen für sein spezifisches Gerät zu finden und zu überprüfen, ob er dies getan hat. Doch diese Annahme beruht auf der Vorstellung, dass der Rat perfekt zu jedem Gerät passt und der Weg zur Sicherheit für den Durchschnittsmenschen klar und sichtbar ist.
Ein Team von Forschern der Technischen Universität Delft in den Niederlanden beschloss zu testen, ob dieser einfache Rat in der realen Welt tatsächlich funktioniert. Sie fragten die Menschen nicht, was sie tun würden; sie beobachteten sie dabei, wie sie es taten. Die Forscher rekrutierten achtundzwanzig Freiwillige und gaben ihnen eine spezifische Herausforderung. Jedem Teilnehmer wurde eine gedruckte Karte mit dem Standardratschlag der Regierung ausgehändigt, das Standardpasswort zu ändern und nach Updates zu suchen. Die Teilnehmer wurden dann gebeten, diesen Ratschlag bei drei verschiedenen Smart-Home-Geräten anzuwenden, die aus den Bestseller-Listen eines großen Online-Händlers ausgewählt wurden. Zu den Geräten gehörten eine smarte Steckdose, ein Feuchtigkeitssensor, eine Türklingel, ein Smart Speaker, ein Drucker und eine Innenraum-Überwachungskamera. Den Teilnehmern wurde gesagt, sie sollten sich vorstellen, diese Geräte zu besitzen und sie absichern zu wollen, aber sie durften die Einstellungen nicht tatsächlich ändern oder Updates installieren, sondern nur zeigen, wo sie dies tun würden. Dies ermöglichte es den Forschern, genau zu sehen, wohin die Anweisungen führten und wo die Teilnehmer stecken blieben, ohne den tatsächlichen Zustand der Geräte zu verändern.
Die Ergebnisse zeigten eine erhebliche Lücke zwischen dem gegebenen Rat und der Realität der Geräte. Wenn die Teilnehmer versuchten, das Standardpasswort zu ändern, sahen sie sich mit einem verwirrenden Labyrinth konfrontiert. In dreiunddreißig von vierundachtzig Versuchen konnten sie überhaupt keine Passworteinstellung finden. In fünfzig Fällen fanden sie zwar eine Stelle, um ein Passwort zu ändern, aber dies betraf ein Online-Konto, das mit dem Gerät verknüpft war, und nicht das Gerät selbst. Nur eine Sitzung erreichte tatsächlich die spezifische Einstellung an der Gerätehardware, an der ein Standardpasswort geändert werden würde. Die Forscher entdeckten, dass keines der sechs getesteten populären Geräte die Art von gemeinsam genutztem, werkseitig voreingestelltem Passwort besaß, das in der Anleitung beschrieben wurde. Stattdessen hatten einige Geräte einzigartige Passwörter für jede Einheit, während andere gar kein Standardpasswort hatten und der Besitzer eines von Grund auf neu erstellen musste. Da die Anleitung nicht erklärte, wie man den Unterschied feststellt, hatten die Teilnehmer oft das Gefühl, erfolgreich gewesen zu sein, obwohl sie eigentlich etwas Falsches geändert hatten, wie etwa ihr Konto-Login, wodurch das Gerät selbst anfällig blieb.
Die Situation war ähnlich, als die Teilnehmer versuchten, die Software zu aktualisieren. In siebenundzwanzig Sitzungen konnten sie keine Update-Option finden. In neunzehn Sitzungen fanden sie ein Update, aber dieses war für die zugehörige App auf ihrem Telefon, nicht für die interne Software des Geräts. Nur achtunddreißig Sitzungen erreichten erfolgreich den tatsächlichen Firmware-Update-Status des Geräts. Die Forscher stellten fest, dass die Sprache der Ratschläge und die Beschriftungen auf den Geräten oft nicht übereinstimmten. Begriffe wie „Firmware“ waren vielen Nutzern unbekannt, was dazu führte, dass sie zögerten, darauf zu klicken, aus Angst, etwas kaputt zu machen. Bei einigen Geräten war die Update-Information tief in Menüs versteckt, während sie bei anderen klar angezeigt wurde. Die Verwirrung war so groß, dass die Teilnehmer in mehreren Fällen schlussfolgerten, sie hätten den Rat perfekt befolgt, obwohl sie das Gerät gar nicht abgesichert hatten. Ein Teilnehmer fragte frustriert über die Schwierigkeiten die Forscher: „Bin ich einfach nur zu dumm?“ Die Antwort der Forscher war eindeutig: Das Problem war nicht die Intelligenz des Nutzers, sondern die Diskrepanz zwischen den generischen Anweisungen und dem spezifischen, oft verborgenen Design der Geräte.
Die Studie zeigte, dass der aktuelle Ansatz der Sicherheitsberatung fehlerhaft ist, da er davon ausgeht, dass alle Geräte auf die gleiche Weise funktionieren. Wenn einem Nutzer gesagt wird, er solle „das Standardpasswort ändern“, hat er keine Möglichkeit zu wissen, ob sein Gerät überhaupt eines besitzt oder ob die Einstellung, die er findet, die richtige ist. Die Forscher fanden heraus, dass Nutzer natürlich dem offensichtlichsten Weg folgten, der sie oft dazu führte, ihr Kontopasswort anstatt das des Geräts zu ändern. Dies gab ihnen ein falsches Gefühl der Sicherheit – das Gefühl, die Aufgabe erledigt zu zu haben, während das Gerät weiterhin ungeschützt blieb. Die Beweislage legt nahe, dass es nicht ausreicht, den Menschen lediglich zu sagen, sie sollen vorsichtiger sein oder die Anleitungen lesen. Der Rat selbst muss sich ändern, um den Nutzern zu helfen zu bestimmen, ob eine Aktion für ihr spezifisches Gerät überhaupt notwendig ist, und die Geräte müssen so gestaltet werden, dass die Sicherheitseinstellungen sichtbar und leicht verständlich sind. Bis die Lücke zwischen dem Rat und der Technologie geschlossen ist, werden Nutzer weiterhin kämpfen – nicht weil sie unfähig sind, sondern weil der Weg zur Sicherheit durch ein Design verschleiert wird, das ihre Sprache nicht spricht.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.