Firebase Admin SDK Private Keys — im Klartext in einer öffentlich herunterladbaren App. Damit lässt sich die gesamte IoT-Geräteinfrastruktur kontrollieren: Firmware-Updates pushen, Geräte deregistrieren, Konfigurationen überschreiben.
In mehreren Bosch-Android-Apps für vernetzte Geräte (Smart Home, Heizungssteuerung, Industriesensorik) wurden Firebase Admin SDK Private Keys im Klartext identifiziert. Diese Schlüssel ermöglichen:
Keine der analysierten IoT-Apps implementiert Certificate Pinning. In Kombination mit den exponierten Firebase Keys bedeutet dies: Ein Angreifer im selben Netzwerk kann den gesamten Datenverkehr zwischen App und Cloud-Backend abfangen und manipulieren — ohne dass der Nutzer es bemerkt.
Für IoT-Geräte, die physische Systeme steuern (Heizung, Alarmanlagen, Zugangskontrolle), ist dies ein Sicherheitsrisiko mit realem physischen Impact.
Ein Bosch-App-Update führte eine FileProvider-Regression ein: Der root-path wurde so konfiguriert, dass das gesamte Dateisystem der App über Content-Provider exponiert ist. Jede andere App auf dem Gerät kann auf interne Daten zugreifen — Tokens, Konfigurationen, zwischengespeicherte Gerätedaten.
Diese Regression wurde durch ein Update eingeführt, das eigentlich Sicherheitsverbesserungen enthalten sollte.