Vom Schrottplatz gerettet, beim Einschalten stilgelegt
Die australische Sicherheitsforscherin xssfox rettete einen ausgemusterten Cricut Maker Industrie-Schneideplotter aus dem Elektronikschrott. Abgesehen von der natürlichen Alterung und Abnutzung der Gummi-Antriebsrollen waren das Gehäuse und die Platine des Geräts in einwandfreiem Zustand. Nachdem die Forscherin die Verschleißteile ersetzt und das Gerät mit der offiziellen Steuerungssoftware verbunden hatte, erschien jedoch eine Meldung auf dem Bildschirm: „Gerät deaktiviert“ (Machine deactivated).
Der Hersteller Cricut verfolgt seit langem eine äußerst aggressive Strategie zur Kontrolle seiner Hardware. Wenn ursprüngliche Besitzer ihre Altgeräte im Rahmen von Umtausch- oder Inzahlungnahme-Aktionen an den Hersteller zurückmelden, markiert dieser die entsprechenden Seriennummern auf seinen Cloud-Servern als entwertet. Verbindet ein neuer Besitzer ein solches Gebrauchtgerät mit dem Computer, erkennt die Software die Seriennummer auf der Blacklist und sperrt die Hardware sofort — so wird ein voll funktionsfähiger Schneideplotter in elektronischen Müll verwandelt.
Durch die Fernentwertung rechtmäßig verkaufter physischer Geräte per Mausklick in der Cloud degradiert der Hersteller gekaufte Hardware zu einem jederzeit widerrufbaren Software-Lizenznachweis. Dieser Kontrollmechanismus entzieht dem Gebrauchthandel und der Selbstreparatur jegliche Grundlage. Verbraucher, die die Hardware vollständig erworben haben, behalten nur eine physische Hülle, während die tatsächliche Nutzungskontrolle weiterhin auf den Servern des Herstellers liegt.
Keine Debug-Schnittstelle, keine Verschlüsselung: Hardware-Magie mit einem 5-Dollar-Chip
Abbildung: Der in die interne Platine des deaktivierten Plotters eingelötete Mikrocontroller-Chip. Quelle: xssfox-Blog
Der Versuch, die Funktionalität des Geräts wiederherzustellen, stieß auf mehrere Hürden. Beim Zerlegen der Maschine stellte xssfox fest, dass die Hauptplatine kein separates EEPROM zur Speicherung der Seriennummer besaß und die externen Debug-Schnittstellen des Mikrocontrollers dauerhaft deaktiviert waren. Auch Versuche, Datenpakete auf Netzwerkebene abzufangen und zu modifizieren, scheiterten: Die Steuerungssoftware nutzte striktes Certificate Pinning, was Man-in-the-Middle-Angriffe (MitM) über Netzwerk-Proxys vollständig unterband.
Der Durchbruch gelang bei der Analyse der Datenpakete auf der USB-Protokollebene. Mit Wireshark zeichnete die Forscherin den Datenverkehr zwischen dem Gerät und dem PC auf und entdeckte, dass der Schneideplotter Daten im Klartext über den standardmäßigen USB-CDC-Standard (Communications Device Class) übertrug. Die Seriennummer des Geräts wurde beim Verbindungsaufbau als ReintText gesendet — völlig ohne Hash-Prüfsumme oder Datenverschlüsselung.
Die Forscherin nutzte ein Raspberry Pi Pico Board für etwa 5 Dollar und baute mit dem darauf verbauten RP2040-Mikrocontroller einen Hardware-MitM-Proxy. Der Chip simulierte gleichzeitig die Rollen eines USB-Hosts zum Plotter und eines USB-Geräts zum PC und wurde direkt dazwischen geschaltet. Sobald der Plotter seine ursprüngliche, gesperrte Seriennummer an den PC sendete, fing der Chip das Paket innerhalb von Millisekunden ab und ersetzte es durch eine beliebige, nicht gesperrte Seriennummer.
Die offizielle Software bemerkte den Austausch der Seriennummer nicht und registrierte den Plotter im Konto der Forscherin problemlos als neues Gerät. Der Hersteller hatte zwar erheblichen Aufwand betrieben, um auf Anwendungsebene Certificate Pinning und Cloud-Blacklists einzurichten, sparte jedoch bei der zugrundeliegenden USB-Kommunikation an der grundlegendsten Signaturvalidierung. Die Offenheit der physischen Ebene bestimmt: Solange der Benutzer die Hardwarekontrolle besitzt, können Endgeräteprotokolle ohne kryptografischen Schutz keinen Widerstand gegen Hardware-Relay-Angriffe leisten.
Rollen repariert, gefälschte Seriennummer registriert: Sicherheitsrisiken offenbart
Abbildung: Die offizielle Steuerungssoftware erkennt die ausgetauschte Seriennummer erfolgreich und stellt den Betriebszustand wieder her. Quelle: xssfox-Blog
Um dem Schneideplotter seine volle Praxistauglichkeit zurückzugeben, weichte die Forscherin die gealterten Antriebsrollen in heißem Wasser auf und ersetzte sie. Zudem druckte sie im 3D-Drucker ein maßgefertigtes Gehäuse, um den Raspberry Pi Pico sicher im Inneren der Maschine zu verankern. Das modifizierte Gerät bestand den Registrierungsprozess der offiziellen Software reibungslos und konnte auf der offiziellen Cricut-Statusseite sogar mit einer völlig frei erfundenen Seriennummer registriert werden. Die Kombination aus physischer Reparatur und elektronischer Signalmanipulation erweckte das Gerät vollständig zu neuem Leben.
Dieser grobe Prüfmechanismus birgt jedoch gleichzeitig erhebliche Sicherheitsrisiken durch fehlende Autorisierungskontrollen. Da Seriennummern ohne Fälschungsschutz übertragen werden und beliebige Registrierungen erlauben, könnten Angreifer theoretisch gültige Seriennummern anderer Kunden generieren. Durch das automatisierte Senden von Registrierungsanfragen an die offizielle Software könnte ein Angreifer dazu führen, dass rechtmäßige Geräte anderer Benutzer in der Cloud durch Seriennummern-Konflikte gesperrt oder deren Zuordnung erzwungen getrennt wird.
Sich bei der Hardware-Sicherheit ausschließlich auf den Abgleich von Klartext-Seriennummern in der Cloud zu verlassen, hält Wählscheiben-Hacker nicht auf und gefährdet gleichzeitig legitime Nutzer. Die restriktive Schutzstrategie des Herstellers, die auf den Schutz von Software-Abonnement-Einnahmen abzielt, führt auf technischer Ebene zu Sicherheitslücken, die die Vertrauenskette des gesamten Geräte-Ökosystems gefährden.
Wenn Kaufen zum Mieten wird: Das Ringen um physisches Eigentum
Dies ist nicht das erste Mal, dass Cricut Kontroversen um Hardware-Eigentumsrechte auslöst. Im Jahr 2021 plante das Unternehmen, die Anzahl kostenloser Uploads eigener Schnittmuster für Nicht-Abonnenten einzuschränken, musste diese Entscheidung jedoch nach weltweiten Protesten und Boykottaufrufen von DIY-Enthusiasten zurücknehmen. Ähnlich stehen traditionelle Druckerhersteller wie HP immer wieder in der Kritik, weil sie per Firmware-Update Drittanbieter-Tintenpatronen blockieren und damit Hardware-Geschäftsmodelle im Zentrum der Debatte halten.
Hersteller haben zwar ihre kaufmännische Logik zur Aufrechterhaltung von Cloud-Diensten, und Fernabschaltungs-Mechanismen sollten ursprünglich betrügerische Garantieansprüche sowie den Missbrauch von Gebrauchtverkäufen verhindern. Befürworter der Right-to-Repair-Bewegung betonen jedoch, dass Verbraucher nach dem vollständigen Kauf von Hardware das volle Eigentumsrecht besitzen sollten, ihr Eigentum zu nutzen, zu reparieren und zu übertragen. Softwarelizenzen dürfen den Herstellern keinen Freibrief ausstellen, Produkte nach dem Verkauf aus der Ferne zu zerstören.
Das „Device as a Service“-Modell (DaaS) wandelt einmalig gekaufte Hardware-Güter in dynamische Lizenzen um, die von ständigen Cloud-Zahlungen abhängen. Dieses Modell steht im tiefen Widerspruch zum traditionellen Eigentumsverständnis der Verbraucher. Die erfolgreiche Umgehung mit einem 5-Dollar-Chip zeigt, dass reine Software-Sperren den Anspruch der Nutzer auf physische Autonomie über ihre Geräte nicht aufhalten können.
Physische Kontrolle gehört dem physischen Gerät
Der vom Schrottplatz gerettete Schneideplotter bestätigt ein Grundgesetz der Informatik: Solange sich physische Hardware in den Händen des Benutzers befindet, können reine Software-Blockaden keine unüberwindbaren Mauern errichten. Von Open-Source-Mikrocontrollern bis hin zu Hardware-Proxy-Relais definiert die Reparaturrechtsbewegung die Grenzen des Hardware-Eigentums mit den Mitteln der Technik neu.
Um ein Gleichgewicht zwischen dem Schutz geistigen Eigentums und dem Reparaturrecht der Verbraucher zu finden, müssen Rechts- und Ingenieurwissenschaften gemeinsam neue Wege gehen. Die Achtung des physischen Eigentums und die Vermeidung künstlich erzeugten Elektronikschrotts müssen zu zentralen Leitlinien künftigen Smart-Hardware-Designs werden.
Referenzlinks:
- xssfox-Blog: Bypassing Cricut machine deactivation
- Hacker News-Diskussion: Bypassing Cricut machine deactivation
