Bezpečnostní kamery jako trojský kůň. Jak levná zařízení otevírají cestu hackerům

Představte si, že se večer díváte na záznam z kamer, které mají chránit váš dům nebo kancelář. Máte dobrý pocit, že máte věci pod kontrolou. Jenže stejný obraz může ve stejné chvíli sledovat i někdo úplně cizí, třeba na druhém konci světa. Ne jako výjev z filmu, ale jako velmi reálný scénář, který odhalil výzkum na ČVUT.

Specialista na kyberbezpečnost ze společnosti Atos Janis Berberi v rámci své vědecké práce analyzoval levné IP kamery, které Češi běžně kupují do domácností i do firem. Výsledek je znepokojivý. Podle jeho zjištění může být až polovina podobných zařízení používaných ve středně velkých českých firmách zranitelná. A v praxi to může znamenat, že kdokoliv sleduje dětský pokoj, ložnici nebo zasedačku vedení, aniž by o tom majitel cokoliv tušil.

Z pohledu odborníků už nejde o otázku, zda se někdo pokusí kameru napadnout, ale kdy k tomu dojde. Dobrá zpráva je, že část rizika má uživatel ve svých rukou. Nejdříve je ale potřeba rozumět tomu, kde je problém.

Co všechno výzkum odhalil

Moderní „chytrá“ domácnost nebo kancelář staví na připojených zařízeních. IP kamery patří mezi ty vůbec nejrozšířenější. Umožní sledovat objekt na dálku, rozpoznat pohyb, posílat upozornění do mobilu. Kombinace pohodlí, nízké ceny a snadné instalace ale dělá z těchto kamer ideální cíl pro útočníky. A výrobci jim situaci často zbytečně usnadňují.

Janis Berberi proto na ČVUT provedl hloubkové penetrační testy dvou konkrétních, v Česku populárních modelů: Niceboy ION Outdoor Security Camera a Tesla Smart Camera Outdoor Pro. Postupoval podle metodiky OWASP IoT Security Testing Guide, která se používá pro testování zabezpečení chytrých zařízení. Zjištění se přitom netýkají pouze těchto dvou kamer, stejné typy chyb se podle experta opakují napříč celým segmentem levných zařízení.

Testy ukázaly několik zásadních problémů:

• Živý video stream nebyl šifrovaný a nebyl chráněný heslem. Každý, kdo se nacházel ve stejné síti, mohl sledovat přenos v reálném čase.
• Výchozí přihlašovací údaje byly triviální. Uživatelé často nechávají v platnosti kombinace typu „admin/admin“ nebo jednoduchá čísla. V praxi to znamená, že útočníkovi stačí vyzkoušet několik obecných variant.
• Firmware šlo nahradit bez ověření výrobce. Kamery umožňovaly nahrát nový firmware bez digitálního podpisu. Pokud se k nim útočník dostal, mohl nahrát vlastní upravený software a zařízení plně ovládnout.
• Chybělo zabezpečení servisních portů. Tyto „zadní vrátka“ pak mohou sloužit jako nástupní bod k dalším útokům v celé síti.

Podle Berberiho stačí několik minut, běžně dostupné nástroje a základní znalosti. Útočník pak může sledovat, co se děje ve vašem soukromí, nebo se přes kameru dostat dál, například k počítači a dalším připojeným zařízením.

Ložnice na prodej. Hackeři obchodují s videi z domácích kamer

Závažné je také to, že některé kamery automaticky odesílají data do cloudu v zahraničí, typicky do Číny. Uživatel přitom v dokumentaci ani během instalace nedostane jasnou informaci, kam přesně data putují a kdo k nim může mít přístup.

Výsledkem je situace, kdy zákazníci často přijmou kompromis. Za nižší cenu a pohodlnou instalaci svépomocí jsou ochotni tolerovat slabé zabezpečení. Někteří si riziko uvědomují, jiní o něm vůbec nepřemýšlejí. To ale ještě neznamená, že se nelze bránit.

Jak riziko snížit, i když kameru neměníte

Odborníci se shodují, že úplnou jistotu nezajistí nic. Cílem je spíš „remíza“ než stoprocentní vítězství, tedy komplikovat útočníkovi život v každém kroku. Janis Berberi proto doporučuje několik praktických kroků, které může udělat běžný uživatel i firma.

1. Silná hesla jako základ slušného zabezpečení

První krok je jednoduchý a přitom často zanedbávaný. Výchozí hesla typu „admin“ nebo „12345“ by měla okamžitě pryč. Místo nich je vhodné vytvořit složitější kombinaci písmen, číslic a speciálních znaků.

Heslem by neměl být chráněný jen přístup do nastavení kamery, ale také samotný video stream, pokud to zařízení umožňuje. Dnes už navíc není nutné si všechna složitá hesla pamatovat. Lze využít správce hesel, například Password Manager ve Windows nebo Hesla/Passwords v prostředí Apple, které hesla vygenerují a bezpečně uloží.

2. Oddělená síť pro kamery

Většina moderních routerů umí vytvořit samostatnou síť pro hosty. V praxi to znamená, že kamery připojíte do oddělené části domácí nebo firemní sítě a útočník se z ní nebude moci tak jednoduše dostat k citlivým datům, která máte na počítači nebo firemním serveru.

Pokud je to možné, je dobré omezit i vzdálený přístup ke kamerám. Jestli se bez něj neobejdete, vyplatí se používat zabezpečené spojení přes VPN.

3. Přemýšlet nad tím, co kamera skutečně zabírá

I v případě napadení kamery je rozdíl, jestli sleduje vchod do domu, nebo dětský pokoj. Při instalaci proto stojí za to přemýšlet, co přesně se v zorném poli objeví. Jednoduchá otázka pomůže: vadilo by mi, kdyby tyto záběry viděl cizí člověk? Pokud ano, je lepší kameru umístit jinam nebo upravit záběr.

4. Prověřit výrobek ještě před nákupem

Cena by neměla být jediným kritériem. Vyplatí se zkontrolovat i to, jak si konkrétní model vede z pohledu kyberbezpečnosti. Stačí do vyhledávače zadat název kamery společně se slovy „vulnerability“ nebo „exploit“. Často se objeví informace o známých chybách, varováních nebo bezpečnostních aktualizacích.

Pomoci může i dotaz na nástroje s umělou inteligencí, které umějí shrnout veřejně dostupné informace o konkrétním zařízení.

5. Instalaci přenechat někomu, kdo tomu rozumí

IP kamera je v podstatě malý počítač připojený k internetu. Její správné nastavení proto není jen o přišroubování držáku na zeď. Pokud se v IT skutečně neorientujete, je rozumné požádat o pomoc někoho zkušenějšího, ať už v rodině, mezi známými nebo profesionála.

U firemních instalací to platí dvojnásob. Bezpečnostní audit dokáže ukázat, v jakém stavu jsou kamery, routery, tiskárny a další zařízení v síti. Zjištění z Česka naznačují, že u zhruba poloviny zařízení ve středně velkých firmách lze najít nějakou zranitelnost. Pokud firma pořizuje přibližně deset IP kamer a více, už se vyplatí nechat vybraný model předem penetračně otestovat.

„Stačí několik minut, běžně dostupné nástroje a základní počítačové znalosti,“ shrnuje Janis Berberi. „Útočník pak může v přímém přenosu sledovat, jak si hrají vaše děti nebo co děláte v ložnici. Přes kameru se také snadno dostane do vaší sítě a k dalším chytrým zařízením nebo k počítači.“

Bezpečnost IP kamer tak není abstraktní téma pro technické nadšence. Jde o velmi konkrétní otázku soukromí a bezpečí v domácnostech i firmách. A i když nelze riziko úplně odstranit, několik rozumných kroků ho může výrazně snížit.

Zdroje: insmart.cz, feedit.cz