Viac ako milión bezpečnostných kamier týchto značiek mohlo otvoriť „dvere“ do domácnosti. Stačil správny odkaz a k záberom sa mohol dostať cudzí človek
Viac než 1,1 milióna baby monitorov a bezpečnostných kamier mohlo cez chybu v cloude sprístupniť zábery z domácností. Problém sa týkal zariadení od Meari predávaných aj pod známymi značkami.
Bezpečnostná kamera v detskej izbe má rodičom priniesť pokoj. Lenže v tomto prípade sa z nej mohlo stať presne to, čoho sa každý rodič bojí. Digitálne okno do domácnosti, ku ktorému sa za určitých okolností vedel dostať človek úplne zvonka.
Francúzsky bezpečnostný výskumník Sammy Azdoufal odhalil, že viac než 1,1 milióna baby monitorov a bezpečnostných kamier od čínskej spoločnosti Meari Technology bolo zle zabezpečených. Meari pritom nie je značka, ktorú musíš automaticky vidieť na krabici. Ide o výrobcu a white-label dodávateľa, ktorého technológia sa objavovala v kamerách predávaných pod rôznymi názvami.
Nešlo pritom o útok, pri ktorom by musel prelomiť heslo alebo sa vlámať do cudzej Wi-Fi siete. Podľa jeho slov stačilo nájsť správny odkaz a obraz z kamery sa jednoducho zobrazil.
Lacná kamera z internetu nie je vždy najbezpečnejší spôsob, ako sledovať domácnosť
Celý problém bol o to desivejší, že nešlo o žiadny komplikovaný hackerský útok. Azdoufal sa podľa svojich slov dostal k záberom z kamier po celom svete po tom, ako v Android aplikácii našiel jeden univerzálny kľúč. Ten mu otvoril prístup k zariadeniam v 118 krajinách.
Inými slovami, systém nechránil každú kameru tak, ako by si očakával. Skôr to vyzeralo tak, že ak človek poznal správny postup a správnu adresu, obraz sa mu jednoducho zobrazil.
Neprehliadni
„Stačilo mi otvoriť URL adresu a obraz sa zobrazil. Bez hesla, bez prelamovania,“ opísal Azdoufal pre The Verge.
Najhoršie na tom je, čo sa za týmito zábermi skrývalo. Nie anonymné testovacie obrazovky, ale skutočné domácnosti. Detské izby s výzdobou, malé deti pozerajúce priamo do kamery a rodinné momenty, ktoré nikdy nemali opustiť súkromný priestor.
Kamery pritom neboli predávané len ako neznáme technické hračky z pochybných obchodov. Podľa The Verge sa zariadenia od Meari objavovali pod značkami ako Arenti, Anran, Boifun, ieGeek či Intelbras. To však neznamená, že automaticky každý model každej z týchto značiek bol zasiahnutý. Problém sa týkal konkrétnych zariadení a spôsobu, akým komunikovali s cloudovou infraštruktúrou výrobcu.
To najhoršie nebol len prenos z kamery. Fotky z domácností zostali voľne dostupné na internete
Najcitlivejšie na tom nebolo iba to, že sa niekto mohol dostať k živému obrazu z kamery. Azdoufal podľa zistení The Verge narazil aj na uložené fotografie z domácností, ktoré boli na serveroch Alibaba dostupné cez verejné webové adresy. Neboli ukryté za prihlasovaním tak, ako by si pri záberoch z detskej izby prirodzene očakával. Stačilo poznať správnu cestu.
Problém sa netýkal len samotného videa. V hre mohli byť aj e-mailové adresy používateľov, údaje o polohe a ďalšie informácie, ktoré dokážu z obyčajnej kamery spraviť nástroj na sledovanie domácnosti. Meari navyše podľa zistení používala slabé predvolené heslá ako „admin“ a „public“ a obraz z kamier neposielala len v rámci domácej siete. Prechádzal cez servery výrobcu, teda cez miesto, nad ktorým bežný používateľ nemá prakticky žiadnu kontrolu.
Firma mlčala celé mesiace. Ozvala sa až vtedy, keď výskumník ukázal, čo všetko našiel
Podľa Azdoufala sa problém nezačal riešiť okamžite. Spoločnosť Meari mal najprv kontaktovať opakovane, no dlhší čas sa nedočkal reakcie. Situácia sa mala pohnúť až vo chvíli, keď výskumník ukázal, že sa vie dostať aj k interným údajom firmy vrátane informácií o jej zamestnancoch.
Ani potom však komunikácia nepôsobila úplne štandardne. Azdoufal tvrdí, že odpoveď firmy vnímal ako nepriamy nátlak, pretože mu mala naznačiť, že vie, kde býva. Meari napokon pre The Verge priznala, že za určitých technických okolností mohli útočníci bez povolenia používateľa zachytávať správy prenášané cez platformu EMQX IoT. Inými slovami, problém sa netýkal len samotného obrazu z kamier, ale aj komunikácie medzi zariadeniami a cloudom výrobcu.
Spoločnosť neskôr Azdoufalovi vyplatila odmenu 24-tisíc eur v rámci bug bounty programu. Tým sa však nepríjemné otázky neskončili. Stále nie je úplne jasné, koľko zariadení bolo zasiahnutých, ktoré konkrétne modely boli ohrozené a či všetky kamery vedia dostať opravu firmvéru. Pri lacných smart zariadeniach je práve toto často najväčší problém. Chybu síce výrobca opraví na svojej strane, no kamera v domácnosti môže zostať roky bez reálnej aktualizácie.
Za vyššiu cenu si často nekupuješ viac bezpečnosti, ale viac funkcií
Prípad Meari nie je nepríjemný len preto, že sa týka kamier v domácnostiach. Ukazuje aj širší problém trhu so smart zariadeniami. Pri baby monitoroch a Wi-Fi kamerách si človek často myslí, že drahší model automaticky znamená lepšiu ochranu. Lenže bezpečnosť nefunguje ako rozlíšenie obrazu alebo počet funkcií v aplikácii.
Bezpečnostná expertka Tanya Davis preto upozorňuje, že problém s napádaním smart zariadení nie je výnimka, ale bežná realita dnešných domácností. Pri výbere kamery podľa nej nestačí pozerať len na cenu, nočné videnie alebo kvalitu obrazu. Dôležité je aj to, či výrobca vydáva aktualizácie, ako chráni cloud, či používa silné prihlasovanie a či vôbec otvorene hovorí o bezpečnosti svojich zariadení.
Mimochodom, Azdoufal je ten istý výskumník, ktorý začiatkom roka odhalil podobnú zraniteľnosť v tisíckach DJI robotických vysávačov. Používal rovnaký všeobecný prístup, hoci situácia s kamerami v domácnostiach je výrazne závažnejšia.
