Security News :: Информационно-аналитическое издание по техническим средствам и системам безопасности
Поиск Контакты Карта сайта
Security News :: информационно-аналитическое издание по техническим средствам и системам безопасности
Security News
Security Focus

Услуги размещения публикаций на сайте Security News
 
 Газета 
 Статьи 
 Зарубежные новости 
 Под знаком PR 
 Новости 
 События отрасли 
 Дайджест СМИ 
 Фоторепортажи 
 Книги 

Получайте новости Security News через Telegram

Получайте новости Security News через Telegram. Это самый оперативный способ читать их с любого устройства.



Security News





Библи видеонаблюдения - 3
Газета "Security News" / Статьи по системам безопасности / Избранное / Системы видеонаблюдения

Сюрпризы китайских прошивок: IP-камеры и видеорегистраторы (часть 2)


09.04.2017

Продолжение Интернет-расследования, инициированного информационным агентством «Безопасность Сегодня». Рекомендуем ознакомиться с первой частью этой статьи.

Всем известно, что функциональная пригодность IP-камеры либо видеорегистратора определяется не только параметрами видеоизображения, но и поведением устройства в сети. Семь с лишним тысяч исследователей и разработчиков компании Hikvision, судя по всему, оказались не в состоянии обеспечить элементарные меры защиты продукции от несанкционированного доступа. Новости о найденных хакерами сетевых уязвимостях оборудования этой марки стали привычным компонентом отраслевого информационного потока. Началось всё с курьёза: три года назад выяснилось, что видеорегистраторы Hikvision использовались хакерами для заработка «виртуальной валюты». Загрузить в устройства вредоносный код, позволяющий третьим лицам использовать вычислительные ресурсы «железа» для генерации биткоинов, оказалось плёвым делом. Производитель не счёл необходимым разъяснить пользователям необходимость установки пароля на доступ к регистратору по сети. Правда, клиенты, большинство из которых не имели представления о криптовалютах, не успели ничего заметить. По сравнению с тем, что ждало Hikvision впереди, это была лишь невинная шалость.

Сюрпризы китайских прошивок: IP-камеры и видеорегистраторы

Проблема посерьёзнее всплыла поздней осенью 2014 года, когда эксперты компании Rapid7, специализирующейся на IT-безопасности, выявили критическую уязвимость в целом ряде моделей видеорегистраторов Hikvision. Уязвимость позволяла перехватить права администрирования устройством. Оповестив производителя о своём открытии, инженеры так и не дождались ответа, а спустя два месяца опубликовали информацию о проблеме, настоятельно посоветовав пользователям перекрыть доступ видеорегистраторов в Интернет либо принять жёсткие меры ограничения доступа (прокси-сервер, VPN и т.п.).

27 февраля 2015 года на китайском сайте производителя появилось сообщение о хакерском взломе целого ряда сетевых камер и видеорегистраторов Hikvision, работавших в ситуационном центре провинции Цзянсу. Причиной уязвимости были названы всё те же пароли по умолчанию. Спустя несколько дней китайское англоязычное издание объявило о том, что хакерская атака осуществлялась с зарубежных IP-адресов, а из штаб-квартиры Hikvision было разослано публичное заявление о наличии уязвимостей и обязательной замене прошивок (сами прошивки появились позже). В ближайший день биржевых торгов акции компании чуть припали — всего на 7,5%, но с учётом оборотов гиганта это вылилось бы во многие миллионы долларов.

Однако через пару дней акции Hikvision снова полезли вверх, а спустя три месяца после скандала успели ещё и вполовину вырасти. Демпинг оказался выигрышной стратегией в схватке с «белыми» брендами. А где демпинг, там жёсткая экономия, в том числе и на ПО. Осенью 2015 года очередной пресс-релиз производителя оповестил отраслевое сообщество о наличии вредоносного кода в iOS-версии клиентского софта. Проблема была найдена специальным бюро производителя под названием «Центр безопасности». Создание этого подразделения стало ответом на череду хакерских скандалов. Пристальное внимание к безопасности — это не так уж плохо. Появилась надежда, что ситуация выправится: оценку уязвимости производитель поручил американской компании Rapid7, — той самой, что в 2014 году обнаружила проблемы в видеорегистраторах и не дождалась ответа.

Однако расчёт на именитых аудиторов не оправдался. Летом 2016 года независимый исследователь нашёл прореху в защите облачных серверов Hikvision. Уязвимость позволяла перехватить управление сервером и получить доступ к пользовательским данным. Автор открытия две недели безрезультатно слал мэйлы на адреса производителя. Пока не догадался написать в отдел PR и маркетинга, который отреагировал практически мгновенно. Уязвимость оперативно «отпатчили», и 25 сентября исследователь получил почтовую посылку с вознаграждением от Hikvision. В коробке оказалась «облачная» камера ценой в 69 долларов. Попытавшись получить комментарий от Rapid7 по поводу найденной уязвимости, представитель ресурса ipvm смог выяснить лишь то, что китайская компания действительно значится в списке клиентов фирмы, но любые комментарии по условиям контракта необходимо согласовывать с Hikvision. Круг замкнулся.

Создаётся впечатление, что затея с «центром безопасности» предпринята в декоративных целях: сообщения о проблемах с безопасностью продуктов Hikvision продолжают регулярно появляться на отраслевых ресурсах. Очередная массовая атака на DVR и NVR с фабричными паролями прокатилась по Сети в конце февраля-начале марта 2017 года. В результате атаки сотни пользователей потеряли доступ к своим устройствам. Проделав процедуру сброса настроек на фабричные, пострадавшие юзеры обнаружили в регистраторах неизвестно кем созданную «системную» учётную запись. Судя по сообщениям с мест, хакеры вламывались в приборы, где для доступа к веб-интерфейсу использовался порт 8000, а пароль администратора был оставлен заводским — «12345».

Производитель, разославший письмо с признанием факта атаки по сети своих партнёров, отделался дежурным напоминанием о необходимости смены пароля и обновления прошивок. А буквально через пару дней, пятого марта — новая весть: бэкдор, обнаруженный резидентом ресурса ipcamtalk по имени «montecrypto» (см. первую часть этой статьи). Ответ производителя от 12 марта вызвал на форуме оживление. Активисты решили приглядеться повнимательнее к прошивкам, которыми специалисты Hikvision порекомендовали прикрыть «заднюю дверцу». Проверив наудачу пару моделей камер, один из энтузиастов отрапортовал: новые официальные прошивки проблему не решают, бэкдор остался нетронутым. Ещё бы — прошивки эти появились раньше, чем уязвимость была обнаружена. Файлы датированы... концом января 2017 года. Они «полежали» несколько дней на европейском портале производителя, а затем исчезли из доступа.

На момент выхода в свет этой статьи хакер всё ещё воздерживается от публичного раскрытия бэкдора. Он утверждает, что руководствуется соображениями безопасности: поскольку производитель так и не принял адекватных мер, могут найтись желающие воспользоваться этой «отмычкой» в злонамеренных целях. Производитель решил выждать. Это позволяет не только увильнуть от очередного скандала, но и лишний раз продемонстрировать всем стабильность и незыблемость своей политики — и рыночной, и технической. Однако история эта, чем бы она ни закончилась, вселяет и некоторую надежду. Устроители ценового штурма на глобальном рынке привыкли рассматривать целевого клиента как человека жадного, ленивого и беспринципного. А здесь они нарвались на организованное сопротивление отраслевого сообщества, способного довести свои соображения до клиентов и окончательно поставить под вопрос репутацию компании. Сегодня вызов состоит в том, чтобы у профессионалов хватило сил и возможностей противостоять натиску дешёвки.

Пока наспех сляпанную в КНР продукцию кто-то покупает за пределами страны, китайские партийные олигархи будут жировать и дальше, подкармливая заодно и бесчисленные народные массы. Но сегодня профессионалы безопасности — и «охранники», и «айтишники» — всё громче заявляют: технике, которая не охраняет объект, а вместо этого создаёт новые угрозы, на рынке не место. Если китайцы услышат этот сигнал, отрасль двинется дальше. Если нет — надеемся, что сообщество специалистов предложит новые эффективные способы противостояния глобальной мегахалтуре. Включиться в эту борьбу просто: назвать, наконец, вещи своими именами.

Количество показов: 4054
Компания:  ИА Безопасность Сегодня / Hikvision


Последние публикации компании:

Новости
Статьи
Передний край

ВРЕМЯ УЯЗВИМОСТЕЙ

Обновление возможностей технических продуктов, подпитывающее рынок безопасности, почти на сто процентов зависит от развития технологий. Однако прогресс рождает и новые возможности для злоупотреблений. Поэтому в солидных компаниях, прежде чем выпускать на рынок заведомо инновационный продукт, на всякий случай принято проводить экспертизу на предмет того, каким образом можно употребить новинку во зло. Если этого не сделать, разыгравшаяся пользовательская фантазия рано или поздно приведёт к появлению новых угроз и опасностей, непосредственно вызванных этим продуктом...

АТАКА ДРОНОВ

В последние несколько лет активность вокруг беспилотников усилилась: цена, наконец, встала на одну доску с возможностями. В госструктурах появились консультанты с достаточно широким кругозором, и взоры начальства устремились в небо. Чтобы не нести громадные убытки от лесных пожаров, может быть, следует запустить по продуманному маршруту дрон с тепловизионной камерой? Собственно говоря, почему бы нет, если финансирование позволяет. Появились перспективы окупаемости беспилотников и в качестве бизнес-вложений.

ДРОНЫ: НАЙТИ И ОБЕЗВРЕДИТЬ

Обзор технологий обнаружения и обезвреживания БПЛА. Бум беспилотных летательных аппаратов затронул и индустрию безопасности. Вполне возможно, что вскоре появится спрос на решения по организации «малой противовоздушной обороны» объектов.

RSSRSS
Присоединиться в ТвиттереTwitter
Присоединиться в FacebookTelegram
Присоединиться в LinkedInLinkedIn
Присоединиться в FacebookFacebook
Присоединиться в Google+Google+
Присоединиться ВКонтактеВКонтакте
Присоединиться в YoutubeYouTube
Присоединиться в ОдноклассникиОдноклассники
Присоединиться в LiveJournaLiveJournal

Книжная полка


Руководство по применению камер видеонаблюдения

Руководство по применению камер видеонаблюдения




Как правильно хранить, воспроизводить и стирать изображения систем видеонаблюдения

Как правильно хранить, воспроизводить и стирать изображения систем видеонаблюдения




Моя азбука видеонаблюдения, Александр Попов

Моя азбука видеонаблюдения, Александр Попов




IP-видеонаблюдение: наглядное пособие

IP-видеонаблюдение: наглядное пособие



Hits 52126904
7748
Hosts 4657801
955
Visitors 8730424
1413

63

© ИА «Безопасность Сегодня», 2017.
© «Секьюрити Фокус», 2001-2016.
Свидетельство о регистрации электронного СМИ SECURITY NEWS ЭЛ № ФС 77-33582