Nedavno provedena istraživanja donijela su poražavajuće otkriće – dobar dio videonadzornih sustava poznatih proizvođača omogućuje pristup nadzornim kamerama i videomaterijalu putem Interneta s vrlo slabom zaštitom i s lozinkama koje se lako mogu pronaći na Internetu! Istraživači su na taj način bez ikakvih problema probili zaštitu i ušli u videonadzorne sustave banaka, odvjetničkih ureda, financijskih ustanova i bogatih korporacija, gdje su preuzeli upravljanje kamerama i konferencijskim dvorana
[ Dejan Rudić ]
Živimo u svijetu Interneta, pogleda uperenih u eter kao nikad prije u prošlosti. Umreženost je prestala biti opcija i postala je obvezom, bez mobilnih telefona većina se nas osjeća odsječena od svijeta, a videonadzorni sustavi postaju toliko uobičajeni da nas kamere više uopće ne iznenađuju čak ni kad su postavljene na mjestima na kojima ih ne očekujemo.
U tom vrlom svijetu šarenih lampica i operativnih sustava, ljudska privatnost odavno je ostala zametena pod naslagama širokopojasnog Interneta i ako je doista želite, više je ne možete naći niti na groblju. No, da je samo Google Earth uzrok tome stanju, s time bismo se već nekako nosili. Velik broj postavljenih videonadzornih sustava ostavlja vrata širom otvorena raznim pojedincima da nas nadziru, znali mi za to ili ne. Snaga lozinki za internetski pristup videonadzornim sustavima toliko je slaba da bez posebnog znanja i s jednostavnim alatima haker može relativno jednostavno – ako to poželi - pristupiti materijalima koje snima videonadzorni sustav, pregledavati ih, mijenjati i brisati...
Najnovija su istraživanja, naime, pokazala da barem tri najpopularnija branda koji nude samostojeće CCTV-nadzorne sustave, prodaju svoje sustave i proizvode s omogućenim pristupom sa i na Internet te s vrlo slabom zaštitom, odnosno s lozinkama koje se vrlo lako mogu pronaći na Internetu. Štoviše, u onom gorem slučaju spadaju u skupinu lozinki koje se smatraju najjednostavnijim i jamče jednostavan i ugodan boravak na tuđoj zatvorenoj tv-mreži.
Softverska platforma – i haker je unutra
Videonadzorni sustavi banaka, trgovina, hotela, bolnica i korporacija koje je obuhvatilo ovo inozemno istraživanje pokazali su se iznimno loše zaštićenim upravo zbog tvorničkih postavki sustava koji uključuju omogućen pristup s Interneta i iznimno slabe lozinke za taj pristup, čime se provaljivanje na ovakve mreže ne može smatrati velikim izazovom. Sve što hakeru dodatno treba jest softverska platforma za upravljanje videonadzornim sustavima i voila, pred vama je vaš privatni mali CCTV-svemir.
Jasno, ako ste se možda zapitali, funkcionalnost takvih softverskih rješenja ne zaostaje za osnovnim funkcijama bilo kojeg softverskog paketa proizvođača pa je takvom hakeru omogućeno i upravljanje PTZ-kamerama, pregledavanje pohranjenog materijala i upravljanje sadržajem, što svakom profesionalcu s područja sigurnosti i zaštite mora poslati trnce niz kičmu. Da stvar bude gora, s obzirom da je riječ o pristupu putem Interneta, takav je pristup moguće ostvariti s bilo koje lokacije na planeti, putem blagodati koje nam nudi "sveta mreža".
Takav neovlašteni pristup opasan je za štićeni objekt jer osoba koja na taj način pristupi videonadzornom sustavu, uza sve nabrojano, može učinkovito pratiti i kretanje svih zaštitara u objektu, uočavati njihovo ponašanje, manire, navike te precizno planirati veće akcije. Osim toga, lako je moguće i pomaknuti kamere s područja koje lopov ne želi da se nadzire, ali i uvećati sliku da bi se bolje vidjeli npr. povjerljivi dokumenti ili razvojni planovi. Nešto benigniji oblik zlouporabe videonadzornih sustava predstavljao bi, primjerice, nadzor ulaza i izlaza u bolnice ili restorane u potrazi za poznatim i slavnim osobama.
Neovlašteni pristup vrlo je opasan za štićeni objekt jer osoba koja tako pristupi nadzornom sustavu može pratiti kretanje zaštitara po objektu te precizno isplanirati veću akciju ili napad, može pomicati kamere i uvećati sliku kako bi bolje vidjela povjerljive dokumente i planove
Međutim, čak i ako u pitanju nisu profesionalci koji su tu da bi nas opljačkali ili paparazzi koji žele snimiti neku zvijezdu, sama činjenica da je istraživanje razotkrilo mogućnost, primjerice, snimanja prilično eksplicitnih scena po liftovima objekata koji su bili obuhvaćeni istraživanjem, mora nas barem malo zabrinuti.
Ono što posebno treba brinuti jest činjenica da haker, kad pronađe ta "vrata" (u ovom slučaju loše konfiguriran i zaštićen sustav videonadzora), lako može ostvariti pristup ostalim sustavima objekta i učiniti znatno više štete, pod uvjetom da interna zaštita nije kvalitetna i da su sustavi povezani u samo jednoj točki, što često i jesu. Da budemo jasni, istraživanje je obuhvatilo samostojeće sustave (rješenja out of box koja se sastoje od DVR/NVR snimača i kamera, za čije postavljanje nije potrebna visoka razina stručnosti), ali se svejedno ne možemo ne zapitati - što se na ovom tržištu uopće događa sa sličnim propustima.
Probijanje tvorničkih zaporki
Skupina koja je provodila penetracijske testove na sustavima klijenata s ciljem otkrivanja sigurnosnih slabosti, pronašla je više od 1000 CCTV-kamera izloženih takvim jednostavnim napadima. Ove slabosti sustava moguće je naći kod barem tri od vodećih svjetskih proizvođača samostojećih videonadzornih sustava koji su bili obuhvaćeni istraživanjem.
Sustavi obuhvaćeni istraživanjem bili su postavljeni na različitim lokacijama, od prostora na kojima kompromitiranost videonadzornih sustava ne može izazvati veću štetu kao što su ulazi i izlazi iz objekata, ali i na lokacijama koje se smatraju posebno čuvanim prostorima, kao što su: bankovni trezori, serverske sobe, laboratoriji za istraživanje i razvoj te lokacije na kojima je bila pohranjena roba iznimne vrijednosti. U većem broju slučajeva kamere je bilo lako opaziti, jer su postavljene na plafonima i zidovima, no pojedine su kamere bile skrivene od pogleda prolaznika i zaposlenika.
Mogućnost pristupa videonadzornom sustavu s izmještene lokacije korisna je funkcija jer omogućava zaposlenicima iz odjela sigurnosti pregled videomaterijala i upravljanje kamerama putem Interneta s prijenosnih računala ili pametnih telefona, no istodobno čitav sustav čini mnogo osjetljivijim na napad. U većini slučajeva, opcija koja omogućava pristup zatvorenom sustavu s izmještene lokacije bila je na tvorničkim postavkama sustava postavljena na "omogućeno", što je pristup hakerima učinilo utoliko jednostavnijim jer čak ni zaposlenici nisu bili svjesni postojanja opcije, često zato što se za pregledavanje materijala koriste terminali koji nemaju upravljačke opcije nad sustavom.
Provjerite već danas svoj videonadzorni sustav kako biste večeras spavali mirnije! Redovito mijenjajte korisnička imena i lozinke. Držite pod nadzorom sve sustave koje koristitite. Pripremite se, jer - oni dolaze!
Po pristupu sustavu haker je zatim krenuo s nabrajanjem tvorničkih zaporki, sve dok nije pristupio sustavu. U tom je trenutku već bilo kasno za reakciju samih zaštitara. U ekstremnom je slučaju haker morao šifru probijati na silu (bruteforce), ali su takvi slučajevi kod testiranih sustava bili rijetki.