Verslagen braken eerder deze maand over een website die live streaming-beeldmateriaal was van meer dan 70.000 met internet verbonden beveiligingscamera's. In de afgelopen paar dagen zijn de mediaberichten hysterisch geworden met de Daily Mail-rapportage - en ik gebruik dat woord losjes - dat Russen Britse gezinnen via hun webcams bespioneren. Deze specifieke website is nu verwijderd, maar de beveiligingsdreiging is niet verdwenen.
Ik heb er naar gekeken, gesproken met een beveiligingsexpert en een aantal van de manier waarop de vermeende hack plaatsvond, uitgewerkt.
Waren de camera's gehackt?
Alle camera's op de website zonden hun feed online uit omdat ze daarvoor waren ontworpen. De drie belangrijkste fabrikanten op de site waren Foscam, Linksys en Panasonic. Ze produceren allemaal camera's zoals dit model van Linksys die video naar je computer verzenden via je lokale netwerk, of kritisch, via internet, zodat je overal toegang hebt tot de feed.
Kevin Sheldrake, een informatiebeveiligingsadviseur en vriend van mij, legde uit: "Het ziet er niet naar uit dat de camera's in de traditionele betekenis van het woord zijn gehackt. Het lijkt erop dat ze alleen standaardreferenties of geen referenties hebben gebruikt om toegang te krijgen tot camerafeeds die zijn gevonden via Google. "
Google-hacking
Volgens de inmiddels verwijderde FAQ van de site zijn de camera's gevonden met wat Kev 'Google hacking' noemt. Veel van de webpagina's van de getroffen camera's bevatten zaken als "live feed" en het cameramodel in de title-tag. Door geavanceerde zoekoperators te gebruiken Een goed gebruik van de zoekoperators van Google maken Een goed gebruik van de zoekoperators van Google maken Met operators kunt u resultaten weergeven die alleen betrekking hebben op bepaalde websites, zoeken in een bereik van nummers of zelfs volledig sluit een woord uit van uw resultaten. Wanneer u het gebruik van Google's ... Lees meer zoals intitle: het is mogelijk om al deze pagina's te vinden die zijn geïndexeerd door Google.
De webpagina's waarop deze camera's zijn ingesteld, zijn in theorie privé. Ze worden niet expliciet van Google verwijderd, maar over het algemeen zijn ze niet bedoeld om te worden gevonden. Google vindt sites door links te volgen Hoe werken zoekmachines? Hoe werken zoekmachines? Voor veel mensen is Google IS het internet. Het is misschien wel de belangrijkste uitvinding sinds het internet zelf. En hoewel zoekmachines sindsdien erg zijn veranderd, zijn de onderliggende principes nog steeds hetzelfde. Lees verder . Als Google geen links naar een site kan vinden, kan deze deze niet indexeren. Alle webpagina's van de getroffen camera zijn op Google terechtgekomen. Dit betekent dat er om de een of andere reden ergens op het internet een link naar de webpagina van de camera verwijst.
Ik onderzocht de webpagina van een van de betrokken camera's, die zich in een fotowinkel bevond en via een backlink op de website van de winkel toegankelijk was - hoe deze op Google terechtkwam. Het verhaal voor alle andere camera's zal vergelijkbaar zijn.
Hoe de camera's werden bezocht
Zelfs als de webpagina van de camera wordt vermeld op Google, zou dit geen probleem moeten zijn. De feed is normaal beveiligd met een wachtwoord. Het wordt alleen een probleem als de camera-gebruiker het wachtwoord niet heeft gewijzigd van de fabrieksinstellingen, of nog erger, het volledig onbeveiligd heeft gelaten. Dit is wat er gebeurde met alle camera's.
De standaardwachtwoorden voor de meeste camera's zijn openbaar beschikbaar op de website van de fabrikant. Je kunt een specifiek cameramodel vinden met Google-hacking en vervolgens het standaardwachtwoord opzoeken. Als het niet is gewijzigd of als er geen wachtwoord is ingesteld, bent u ingelogd.
Waarom dit nog steeds een probleem is
De website waarop iedereen in paniek was, automatiseerde het proces om camera-webpagina's te vinden en probeerde vervolgens het standaard wachtwoord. Als het werkte, schraapte het de feed en voegde het toe aan de website. Als dit niet het geval was, werd de webpagina genegeerd.
73000 feeds werden gevonden met behulp van dit proces.
Hoewel de site is verwijderd, blijft het probleem bestaan. De site was slechts een aggregator. Alle webpagina's van de getroffen camera's zijn nog steeds online, in wezen onbeschermd. Iedereen met een beetje kennis van Google kan exact hetzelfde proces handmatig doen. Het feit dat de site verdwenen is, maakt het slechts een beetje moeilijker.
Erger nog, Kev legde uit: "Historisch gezien zijn dit soort internetcamera's geplaagd door meerdere klassieke beveiligingsproblemen, zoals slechte gebruikersauthenticatie en code-injectie via de webinterface. Ze gebruiken meestal ook geen moderne linux / unix-beveiligingsmodellen, wat betekent dat de kwetsbaarheid van één code ervoor zorgt dat de hele camera door de aanvaller wordt bestuurd. Zodra een aanvaller je camera bestuurt, kunnen ze hem gebruiken als een opstapje om al het andere op je netwerk aan te vallen. "Dat is een ernstige kwetsbaarheid.
Uw camera beveiligen
Er is geen eenvoudige manier om te bepalen of uw camera is getroffen. Het beste wat u kunt doen, is ervan uitgaan dat dit het geval is en onderneem stappen om het te beveiligen. Er zijn twee dingen die u moet doen: probeer te voorkomen dat deze wordt weergegeven in de zoekresultaten van Google en deze te beveiligen met een veilig wachtwoord.
Het is mogelijk om een webpagina van Google te verwijderen, maar u moet wel toegang tot de HTML-code hebben. Dit lijkt niet mogelijk te zijn met de meeste camera's. Zorg er in plaats daarvan voor dat Google de webpagina van uw camera nooit vindt.
Gebruik de volgende lijst met "Vijf Don'ts" om uw beveiligingscamera met internetbeveiliging te beveiligen:
- Deel nooit de link naar de webpagina van de camera op het open web.
- Link niet naar of embed het niet op uw website.
- Plaats het niet op uw Facebook-pagina.
- Deel het niet op Twitter.
- Link er vooral niet naar op Google+. Zolang de webpagina van de camera nooit door Google wordt geïndexeerd, wordt deze niet weergegeven in de zoekresultaten, ongeacht welke geavanceerde trucs worden gebruikt.
Wijzig bovendien het wachtwoord van de standaard in iets lang en veilig. Bij MakeUseOf hebben we u verteld over een aantal manieren waarop u veilige, gedenkwaardige wachtwoorden kunt maken. 7 manieren om wachtwoorden op te maken die zowel veilig als gedenkwaardig zijn 7 manieren om wachtwoorden op te stellen die zowel veilig als gedenkwaardig zijn Een ander wachtwoord voor elke service hebben is een must in de online wereld van vandaag, maar er is een vreselijke zwakte voor willekeurig gegenereerde wachtwoorden: het is onmogelijk om ze allemaal te onthouden. Maar hoe kunt u zich mogelijk herinneren ... Lees meer. Gebruik een van hen en maak het wachtwoord zo lang mogelijk. Op deze manier, zelfs als Google de webpagina indexeert, vereist toegang tot de camera aanzienlijke inspanningen.
Denk ten slotte na of je overal toegang tot je camera nodig hebt. Als u dat niet doet, schakelt u de webpagina uit in de instellingen van uw camera.
Bent u hierdoor getroffen, of een soortgelijke "hack"? Deel uw verhaal alstublieft in de commentaren.