Cloudová kamera D-Link DCS-2132L obsahuje viacero bezpečnostných zraniteľností, ktoré môžu sprostredkovať neoprávneným osobám prístup k jej audio i video záznamu. Vyplýva to z výskumu bezpečnostnej spoločnosti ESET, ktorý sa zameral na takzvané smart home zariadenia. Na základe vzájomnej komunikácie výrobca odstránil niektoré z oznámených zraniteľností, iné stále predstavujú hrozbu. Táto kamera bola dostupná v predaji aj na Slovensku.
„Najzávažnejším problémom cloudovej kamery D-Link DCS-2132L je nezašifrovaný prenos video záznamu. Záznam je prenášaný nezašifrovane medzi oboma prepojeniami – medzi kamerou a cloudom a medzi cloudom a klientskou aplikáciou určenou na sledovanie prenosu. To poskytuje plodnú pôdu pre takzvané Man-in-the-Middle (MitM) útoky a umožňuje záškodníkom špehovať video záznamy obetí,“ opisuje výskumník spoločnosti ESET Milan Fránik.
Ďalší vážny problém kamery bol skrytý v rozšírení pre internetový prehliadač s názvom mydlink services. Je to jedna z foriem klientskej aplikácie, cez ktorú môže používateľ sledovať záznam. Medzi ďalšie patria mobilné aplikácie, ktoré však neboli súčasťou ESET výskumu.
„Zraniteľnosť v tomto rozšírení by mohla mať negatívny vplyv na zabezpečenie kamery, keďže útočníkom umožnila zameniť legitímny firmware zariadenia za falošnú a škodlivú verziu,“ opisuje Fránik.
ESET informoval výrobcu o týchto a ďalších chybách v auguste 2018. D-Link okamžite informoval ESET o tom, že tieto údaje presmeroval na svoje výskumné a vývojové tímy.
Odvtedy boli niektoré zo zraniteľností odstránené, podľa testov spoločnosti ESET je v súčasnosti mydlink services rozšírenie zabezpečené, iné problémy však stále pretrvávajú. V súčasnosti je najaktuálnejšia verzia firmwaru tejto kamery z novembra 2016 a obsahuje zraniteľnosti, ktoré umožňujú útočníkom zameniť jej firmware a zachytávať audio a video záznam.
Kamera D-Link DCS-2132L je v niektorých online obchodoch stále v predaji, jej súčasným majiteľom spoločnosť ESET odporúča overiť si, či je port 80 nechránený pred verejnou sieťou internet a zvážiť používanie vzdialeného prístupu, ak je kamera používaná na monitorovanie citlivých miest v domácnosti alebo vo firme.
VIDEO: Ukážka už odstránenej bezpečnostnej chyby v rozšírení „mydlink serveces“
Podľa webu Shodan, ktorý umožňuje vyhľadávať počítače a iné zariadenia pripojené k internetu, je vo svete takmer 1600 takýchto kamier s otvoreným portom 80. Niekoľko z nich je aj na Slovensku.
Viac technických detailov o bezpečnostných chybách tejto kamery nájdete na ESET stránke WeLiveSecurity.com.
O spoločnosti ESET
Spoločnosť ESET už vyše 30 rokov vyvíja popredný bezpečnostný softvér pre firmy i domácich používateľov na celom svete. Vďaka riešeniam chrániacim koncové a mobilné zariadenia, servery, šifrovaniu a dvojfaktorovej autentifikácii umožňuje firmám a organizáciám využívať plný potenciál ich technológií. ESET drží rekord v počte VB100 ocenení, ktoré udeľuje britský Virus Bulletin, vysoko-rešpektovaná nezávislá testovacia organizácia. Týždenník Trend ocenil ESET šesťkrát titulom Firma roka.
ESET sídli v Bratislave, regionálne pobočky má v Prahe, ČR; Jene, Mníchove, Nemecko; Bournemouthe, Veľká Británia; San Diegu, USA; Toronte, Kanada; Buenos Aires, Argentína; Sydney, Austrália, Singapure a japonskom Tokiu. Výskumné a vývojové centrá sú okrem Bratislavy, Košíc, Žiliny, Prahy a Brna aj v poľskom Krakove, britskom Tauntone, kanadskom Montreale a rumunskom Jasy. ESET má zastúpenie vo viac ako 200 krajinách a územiach sveta.