Security News :: Информационно-аналитическое издание по техническим средствам и системам безопасности
Поиск Контакты Карта сайта
Security News :: информационно-аналитическое издание по техническим средствам и системам безопасности
Security News
Security Focus

Услуги размещения публикаций на сайте Security News
 
 Газета 
 Статьи 
 Зарубежные новости 
 Под знаком PR 
 Новости 
 События отрасли 
 Дайджест СМИ 
 Фоторепортажи 
 Книги 

Получайте новости Security News через Telegram

Получайте новости Security News через Telegram. Это самый оперативный способ читать их с любого устройства.



Security News





Библи видеонаблюдения - 3
Газета "Security News" / Статьи по системам безопасности / Избранное / Системы видеонаблюдения

Уязвимы по умолчанию. Большинство цифровых видеорегистраторов открыты для удаленного доступа


23.05.2012

В заголовке нет ни игры словами, ни преувеличения. Масштабы вскрывшейся проблемы ужасают. Пользуясь лишь общедоступными сетевыми сервисами, сотрудник Security News получил полный доступ к видеорегистратору, стоящему в магазине на соседней улице — не составляло никакого труда не только смотреть видео, но, при желании, стереть архив или вообще выключить камеры. К теме сетевой безопасности видеонаблюдения нас вернул любопытный пресс-релиз. С него и начнем.

Исследовательская лаборатория Gotham Digital Science выпустила новый модуль для своего программного пакета Metasploit Framework. Дополнение под названием cctv_dvr_login предназначено для эффективного подбора паролей к цифровым видеорегистраторам от нескольких производителей — MicroDigital, HIVISION, CTRing, а также от существенного количества других вендоров, продающих OEM-оборудование под собственными марками. Этот инструмент аудита сетевой безопасности разработчик называет оксюмороном "интеллектуальный брутфорсер". Термин brute force ("грубая сила") применяется к методу несанкционированного доступа путем автоматического перебора большого числа паролей, обычно по словарю.

С видеорегистраторами, про которые идет речь, можно работать через клиентское приложение для Windows, мобильное приложение или браузерный интерфейс на основе ActiveX-элемента (эта технология поддерживается только браузером Internet Explorer). Именно авторизацию через ActiveX и эмулирует разработка от Gotham. В блоге лаборатории подробно описан процесс обратного инженеринга: с помощью программы Wireshark аналитики "разобрали" пакеты, которыми обменивается ActiveX-клиент и сервер регистратора. Сначала исследователям бросилось в глаза, что ответ сервера при простом несовпадении пароля отличается от данных, возвращаемых в том случае, когда логина не существует. Ага, задача упрощается. А зная, как формируется пакет с запросом и как должен выглядеть искомый результат, уже не составляет никакого труда написать брутфорсер.

Уязвимости цифровых видеорегистраторов

Брутфорсер от Gotham в работе. Салатовые буквы на черном фоне дают +10% к вероятности успешного проникновения
Брутфорсер от Gotham в работе. Салатовые буквы на черном фоне дают +10% к вероятности успешного проникновения

Не будет честным сказать, что регистраторы оказались дырявыми, как дуршлаги. C камерами TRENDNet ситуация была иной — там была обнаружена именно "дырка", уязвимость катастрофических масштабов. А здесь разработчиков можно упрекнуть лишь в том, что они не предусмотрели защиту от быстрого перебора паролей. Иначе говоря, не сделали функцию автоматической блокировки дальнейших попыток входа после нескольких неправильно введенных комбинаций.

Авторизация через ActiveX используется довольно редко — видимо, лаборатория выполняла аудит конкретного продукта. Гораздо чаще логин и пароль надо вводить или в вебформу, или в диалоговое окно браузера — тогда авторизация выполняется стандартными средствами протокола HTTP. Брутфорсеры для HTTP существуют давно. Подбор параметров авторизации перебором — довольно обыденная сторона информационных технологий...

Гораздо важнее другая информация, вскрывшаяся во время этого исследования.

...

Полную версию статьи "Уязвимы по умолчанию. Большинство цифровых видеорегистраторов открыты для удаленного доступа" читайте в электронном журнале Security Focus или в сентябрьском выпуске газеты Security News.

Передний край

ЗАЩИТА ОТ ВЗЛОМА IP-КАМЕР

Информация о взломах компьютерных систем давно уже перестала считаться фантастикой. Переход на сетевое видеонаблюдение поставил безопасность IP-камер под закономерный вопрос: можно ли при желании обойти защиту, и есть ли она как таковая? Парольная защита предусмотрена во всех без исключения моделях камер видеонаблюдения. Однако уровень её исполнения у разных производителей может оказаться разным. Не секрет, что во многих системах пароли по умолчанию остаются на долгие годы — по сути, до первого прецедента взлома.

КАК ПРАВИЛЬНО ВЫБРАТЬ КАБЕЛЬ

Сетевые кабели категорий 5e и 6 практически неотличимы друг от друга по внешнему виду. Однако в эксплуатации они ведут себя совершенно по-разному. В чём ключевые отличия и чем руководствоваться при выборе кабеля для конкретной системы видеонаблюдения? Основной проблемой при определении требуемой категории кабеля для установки на объекте является необходимость оценить будущее развитие этого объекта. Поверив на слово либо испытав представленный образец, можно с этим основательно «влететь»: от характеристик кабеля зависит главный параметр сетевой инфраструктуры — её пропускная способность.

ЭПОХА СТАРТАПОВ

Крупные корпорации, как известно, в рыночном смысле несколько неповоротливы и инертны. А данные о высокой эффективности операций, почерпнутые из отчётов перед акционерами, зачастую выглядят не слишком правдоподобно. На этапе становления рынка крупным компаниям всегда легче: уже сложилась репутация, установилась клиентская база, выработаны навыки ведения переговоров. Когда рыночный пирог поделен «крупняком», мелким игрокам остаётся лишь подбирать крошки.

RSSRSS
Присоединиться в ТвиттереTwitter
Присоединиться в FacebookTelegram
Присоединиться в LinkedInLinkedIn
Присоединиться в FacebookFacebook
Присоединиться в Google+Google+
Присоединиться ВКонтактеВКонтакте
Присоединиться в YoutubeYouTube
Присоединиться в ОдноклассникиОдноклассники
Присоединиться в LiveJournaLiveJournal

Книжная полка


Руководство по составлению спецификаций на системы контроля доступа (СКУД)

Руководство по составлению спецификаций на системы контроля доступа (СКУД)




Видеоаналитика: Мифы и реальность

Видеоаналитика: Мифы и реальность




Руководство по подготовке операторов систем видеонаблюдения

Руководство по подготовке операторов систем видеонаблюдения




Профессиональное видеонаблюдение — 2. Практика и технологии аналогового и цифрового CCTV

Профессиональное видеонаблюдение — 2. Практика и технологии аналогового и цифрового CCTV



Hits 70368331
14600
Hosts 5842201
505
Visitors 11224477
1056

25

© ИА «Безопасность Сегодня», 2017-2019.
© «Секьюрити Фокус», 2001-2016.
Свидетельство о регистрации электронного СМИ SECURITY NEWS ЭЛ № ФС 77-33582