Shodan ist eine neue Art von Suchmaschine, die aber nicht wie Google auf Content bezogen ist, sondern darauf spezialisiert ist Geräte (Drucker, Switche, Webcams, Router, …), die frei zugänglich mit dem Internet verbunden sind, zu indexieren. Monatlich kommen so rund 500 Millionen neue Geräte hinzu.

Vor einiger Zeit gab es schon mal bei Google eine Welle wo beschrieben wurde, wie man mit den richtigen Suchbegriffen Webcams etc. im Netz finden kann.
Shodan geht aber noch einen Schritt weiter und ist eben nur auf diese Suche spezialisiert. Da heutzutage sehr viele Geräte im Haushalt und auch in Firmennetzen (unbewusst) mit dem Internet verbunden sind und da sich viele Leute nicht sehr viel Gedanken um die Sicherheit dieser Gerät machen und Standard-Passwörter die seitens des Herstellers vergeben wurden eingerichtet lassen, muss man wohl nicht weiter beschreiben was das für Folgen haben kann.

Vor Kurzem gab es schon mal einen ähnlichen Fall bei dem ein unbekannter Hacker das Internet mit Hilfe von frei zugänglichen, privaten Routern vermessen hat. Der Spiegel hat über das Carna Botnetz einen ausführlichen Bericht verfasst. Mich wundert es dass er jetzt ein solcher Fall bekannt geworden ist.

Zurück zu Shodan. Ich habe mir mal den Spaß erlaubt und einfach mal nach „HP Color LaserJet“ gesucht, da diese über ein Webinterface verfügen und darüber gesteuert werden können. Wie zu erwarten hat die Suchmaschine direkt tausende Ergebnisse gelistet.

Kopiert nun eine der IPs in die Adresszeile des Browsers, ist man mit dem Webinterface des Druckers verbunden und kann ohne Passwort schon einige Dinge bewerkstelligen. Zum Beispiel Test-Seiten ausdrucken. Ich habe das natürlich nicht getan 🙂
Hat der Drucker nun auch noch das vom Werk verwendete Standard-Passwort vergeben, kann man noch viel mehr „kaputt“ machen.
Drucker waren jetzt nur ein Beispiel, es wird auch bereits von größeren Steuerungsanlagen wie z.B. ein Eishockeyfeld berichtet, das auf Knopfdruck abgetaut werden kann.
Auch Verkehrsleitsysteme und Kraftwerke sind im Index enthalten.

Allerdings muss man dazu sagen, dass Shodan ohne einen Login nur auf 10 Treffer limitiert ist. Auch nach Anmeldung ist die Anzahl der Treffer limitiert. Möchte man mehr sehen muss man ein Motivationsschreiben und eine Gebühr an den Betreiber abdrücken.