AV-Test: оценка безопасности IP-камер

Камеры с онлайн управлением обещают повышенную безопасность и круглосуточный контроль над домом или квартирой, когда владелец отсутствует. Тем не менее, многие устройства наблюдения не имеют собственных техник защиты и позволяет злоумышленникам удаленно следить за жилыми помещениями и организовывать онлайн атаки.

Круглосуточное наблюдение по низкой цене

Камеры видеонаблюдения передают изображения и видеосигналы с помощью сетевого подключения к компьютеру или мобильному устройству. Такие устройства очень популярны на рынке и являются лидерами продаж. Это не удивительно, ведь подобные устройства становятся все более доступными, а выбор стал просто огромным. Если до недавнего времени покупателям систем видеонаблюдения приходилось выкладывать несколько сотен евро, то сейчас приобрести IP-камеру можно горзадо дешевле. Установка камеры и подключение к Интернету больше не является серьезным препятствием даже для новичков, ведь многие камеры настраиваются с помощью удобных приложений. Кроме того, подобные устройства предлагают впечатляющий список функций: инфракрасное ночное видение, обзор 360 градусов с помощью приложения, датчики движения и звука, запуск сирены и т.д. Все эти возможности пользователи получают за сравнительно недорогую стоимость.

Рост преступности

Статистика преступности за 2015 год: рост количества ограблений привел к увеличению продаж IP-камер (Источник: Министерство Внутренних Дел Германии)

На самом деле IP-камеры часто используются в качестве видеоняни или для наблюдения за животными. Тем не менее, наиболее частая область применения подобных устройств - защита домашнего имущества, квартиры, гаража или дачи во время отсутствия. Необходимость таких мер действительно обоснована: статистические данные МВД Германии за 2015 год наглядно показывают увеличение количество ограблений со взломами на 10 процентов. Поэтому неудивительно, что владельцы и арендаторы недвижимости пытаются защитить свои объекты и собственность с помощью доступных IP-камер.

Крупные атаки с помощью камер

Безопасность камеры видеонаблюдения может быть обманчива, и в ряде случаев само устройство подвергает пользователей серьезному риску. Разработчики камер могут предлагать большое количество функций защиты для своих устройств, но часто пренебрегают защитой каналов и хранилищ данных. В некоторых случаях принимаемые меры безопасности являются недостаточными. В результате чего злоумышленники могут получить несанкционированный доступ к камерам с других устройств: смартфонов, компьютеров и планшетов, подключенных по беспроводной сети. Например, передача и хранение пароля в виде обычного текста сводит на нет безупречное шифрование домашней сети.

В самом худшем сценарии, камеры ставят под угрозу не только безопасность домашней сети, но и становятся звеньями в цепи ботнетов, которые используются киберпреступниками для вымогательства и атак на онлайн сервисы без ведома пользователей. Одна из таких атак произошла 21 октября 2016 года. Около 100 000 слабо защищенных устройств с доступом к Интернету, включая большое количество IP-камер управлялись вредоносной программой "Mirai", нацеленное на устройства “Интернета вещей” и были автоматически интегрированы в мировую ботнет сеть. Совокупная вычислительная мощность, полученная за счет камер, позволила злоумышленникам осуществить серию Интернет нападений. Крупные онлайн сервисы, в частности Twitter, PayPal, Amazon, Netflix и Spotify подверглись атакам и вымогательству.

Безопасность на блюдечке

Интернет-сервис “Insecam” показывает видеопоток, получаемый в режиме реального времени с незащищенных IP-камер

Ярким примером проблем безопасности IP-камер может являться работа таких сервисов как Insecam и Shodan.

Веб-сайт Insecam показывает местоположение незащищенных камер в сервисе Google Карты

Сайт “Insecam” показывает картинки с подключенных к Интернету незащищенных IP-камер. Устройства или используемые облачные платформы либо не имеют защиты паролем, либо пользователи не активировали эту защиту. Сервис отображает видео не только с офисных или уличных камер видеонаблюдения, но и с камер в квартирах и домах. Детские комнаты, гаражи, земельные участки - в Insecam можно найти все. Примечательно, что кроме картинки в режиме реального времени Insecam также показывает местоположение камеры в сервисе Google Карты. Грабители могут не только следить за пользователями, но и планировать будущие нападения и проникновения.

Поисковая система Shodan позволяет получать доступ к устройствам IoT по всему миру, в том числе к огромному количеству IP-камер

Онлайн сервис "Shodan” пошел еще на шаг дальше. С начала года поисковая система для устройств IoT получила функцию поиска камер. Сервис выводит список камер без активированной защиты паролем. Злоумышленники могут не только наблюдать статичную картинку, но и полноценно управлять камерой удаленно. Если камеры оснащены микрофоном, то посторонние лица могут подслушивать разговоры.

Незащищенные облачные панели управления позволяют злоумышленникам получить контроль над IP-камерами, следя за пользователями и подслушивая их разговоры

Оценка безопасности

Действительно, IP-камеры могут помочь в защите объектов недвижимости и других объектов. Это предполагает, что они не будут создавать дополнительные риски безопасности из-за уязвимостей в сферах сбора, передачи и хранения данных Процедуры использования облачных сервисов, а также приложений для смартфонов и планшетов должны подвергаться тщательному аудиту безопасности, чтобы предупредить атаки хакеров.

AV-Test проводит комплексную оценку безопасности устройств “Интернета вещей” с помощью серий испытаний. Вы сможете распознать безопасные IP-камеры по соответствующему сертификату от AV-Test

Для этой цели AV-Test проводит комплексную оценку безопасности IP-камер и других устройств IoT, учитывая критерии: шифрование канала передачи данных, защищенная аутентификация и безопасность от внешних атак. Вы можете распознать безопасные IP-камеры и устройства IoT по наличию сертификата AV-Test.

Серьезные различия в тесте

Следующая тестовая таблица показывает, какие IP-камеры получили положительный рейтинг по итогам проверки AV-Test. Тестирования устройств IoT регулярно публикуются на сайте лаборатории и в отдельном блоге.