आंख में एक लॉग: सीसीटीवी सिस्टम में क्या कमजोरियां हैं

पृथ्वी की सतह का एक टुकड़ा खोजना जो किसी भी कैमरे के देखने के क्षेत्र में नहीं आता है, जब यह अधिक या कम शहरों में आता है तो यह मुश्किल होता जा रहा है। यह थोड़ा अधिक लगता है, और बहुत उज्ज्वल भविष्य आएगा जिसमें अपराधी सतर्क न्याय से बच नहीं सकते हैं, और लोग खुशी और लापरवाही से रहेंगे, क्योंकि 2009 में वापस, 95% मामलों में, स्कॉटलैंड यार्ड ने हत्यारों के अपराध के सबूत के रूप में निगरानी कैमरों का इस्तेमाल किया। । दुर्भाग्य से, यह यूटोपिया वास्तविकता से बहुत दूर है। और कम से कम नहीं क्योंकि निगरानी कैमरों में भेद्यता होती है। आइए बात करते हैं कि वीडियो निगरानी प्रणाली में कौन सी कमजोरियां सबसे आम हैं, उनके कारणों पर चर्चा करें और ऐसे उपकरणों के संचालन को सुरक्षित बनाने के तरीकों पर विचार करें।

दुनिया भर में सीसीटीवी कैमरों की संख्या तेजी से बढ़ रही है। ब्रिटेन में, बिग ब्रदर की लगभग 185 मिलियन आँखें हैं । उनमें से आधे से अधिक लंदन के निवासियों को देख रहे हैं। 14 लोगों के लिए एक कैमरा है । यूरोपीय शहरों में दूसरे स्थान पर मास्को है। 2019 के दौरान, कैमरों की संख्या 174 हजार से अधिक हो जाएगी, और उनमें से कुछ पहले से ही चेहरा पहचान प्रणाली से जुड़े हुए हैं। वर्ष के अंत तक, स्वचालित मान्यता के लिए 100 हजार से अधिक वीडियो स्ट्रीम भेजे जाएंगे।
इसी समय, सीसीटीवी कैमरे न केवल प्रकाशिकी और मेमोरी हैं। उनमें से प्रत्येक में वास्तव में एक ऑपरेटिंग सिस्टम और उपयोगिताओं के साथ एक मिनीकंप्यूटर शामिल है। यदि कैमरे इंटरनेट से जुड़े होते हैं, तो इसका मतलब है कि उनके पास सभी ज्ञात नहीं टीसीपी / आईपी नेटवर्क स्टैक है और बहुत कमजोरियां हैं। डेवलपर जो ओएस के कमजोर संस्करणों का उपयोग करते हैं या जो कोड में एसएसआईडी और पासवर्ड निर्दिष्ट करते हैं, उन्हें बदलने की संभावना के बिना सबसे कठोर सजा के हकदार हैं, लेकिन दुर्भाग्य से, यह उनकी कंपनी के उत्पादों को सुरक्षित बनाने में मदद नहीं करेगा। कैमरों में खुफिया की उपस्थिति से स्थिति बढ़ जाती है, और इससे कोई फर्क नहीं पड़ता कि यह कैमरे में ही बनाया गया है या डेटा सेंटर में काम करता है जिसमें वीडियो डेटा प्रसारित होता है। किसी भी मामले में, एक संवेदनशील डिवाइस समस्याओं का स्रोत बन जाएगा, और सिस्टम की बुद्धि जितनी अधिक होगी, इन समस्याओं को उतने ही विविध होंगे।

सीसीटीवी कैमरे तकनीकी रूप से उन्नत होते जा रहे हैं, जो उनके सॉफ्टवेयर भरने की गुणवत्ता के बारे में नहीं कहा जा सकता है। आईपीवीएम अनुसंधान कंपनी द्वारा 2018 में विभिन्न निर्माताओं के कैमरों में दर्ज कुछ कमजोरियों को यहां प्रस्तुत किया गया है :

• दिसंबर 2018 में, बॉश आईपी कैमरे में एक बफर ओवरफ्लो CVE-2018-19036 का पता चला था, जिसने एक हमलावर को डिवाइस पर प्राधिकरण के बिना कोड निष्पादित करने की अनुमति दी थी;
• अगस्त 2018 में , Hikvision आईपी कैमरों में एक भेद्यता तय की गई थी जो डिवाइस पर विशेषाधिकार प्राप्त पहुंच और हमलों के लिए उपयोग के साथ एक हमलावर प्रदान करती थी;
• जुलाई 2018 सोनी IPELA ई कैमरों में एक त्रुटि की खबर लाया: विशेष रूप से डिज़ाइन किए गए HTTP GET अनुरोध के कारण आदेशों का अनधिकृत निष्पादन हुआ ;
• जून 2018 - एक्सिस आईपी कैमरों में सात शून्य-दिन की कमजोरियों पर वीडीओ प्रकाशन , कैमरों का नियंत्रण लेने और रूट एक्सेस प्राप्त करने की अनुमति देता है।
• कैमरा कमजोरियों को दो बड़े समूहों में विभाजित किया जा सकता है - उत्पादन कमजोरियां और कमजोरियों का उपयोग।

उत्पादन कमजोरियों

इसमें आईपी कैमरों की कार्यक्षमता के कार्यान्वयन से जुड़ी सभी समस्याएं शामिल हैं। मुख्य एक यह है कि कैमरों के हार्डवेयर की लागत विकासशील फर्मवेयर की लागत से बहुत कम है। पैसे बचाने के लिए कंपनियों की इच्छा का परिणाम सबसे अजीब निर्णय है, उदाहरण के लिए,

• गैर-नवीकरणीय फर्मवेयर या स्वचालित अद्यतन के बिना फर्मवेयर,
• बार-बार गलत पासवर्ड डालने या "रद्द" बटन पर क्लिक करके कैमरे के वेब इंटरफेस तक पहुंचने की क्षमता,
• निर्माता की वेबसाइट से सभी कैमरों के लिए खुली पहुँच,
• मानक पासवर्ड के साथ या उसके बिना गैर-डिस्कनेक्ट फैक्टरी सेवा खाता (ऐसी भेद्यता का उपयोग 2016 में हैकर समूह छिपकली दस्ते द्वारा किया गया था, जिसमें निगरानी कैमरों से 400 जीबी / एस तक की हमले की शक्ति के साथ DDoS botnet बनाने के लिए ),
• प्राधिकरण सक्षम होने और अनाम पहुंच से वंचित होने पर भी सेटिंग में अनधिकृत परिवर्तन की संभावना,
• स्पष्ट रूप में वीडियो स्ट्रीम और / या क्रेडेंशियल्स के हस्तांतरण की कमी,
• असुरक्षित GoAhead वेब सर्वर का उपयोग करना
• कमजोर फर्मवेयर (चीनी उपकरण निर्माताओं के बीच आम) की प्रतिकृति,
• वीडियो स्टोरेज उपकरणों की कमजोरियाँ - उदाहरण के लिए, हाल ही में मालवेयर के प्रवेश के बारे में जानकारी प्रकाशित की गई थी, जो Synology और Lenovo Iomega के नेटवर्क ड्राइव पर फ़ाइलों को हटाने या एन्क्रिप्ट करने और फिरौती वसूलने के बारे में प्रकाशित किया गया था।

कमजोरियों का उपयोग करें

यहां तक ​​कि अगर कैमरा निर्माता सभी त्रुटियों को ठीक करते हैं और सुरक्षा के दृष्टिकोण से आदर्श कैमरे जारी करते हैं, तो यह स्थिति को नहीं बचाएगा, क्योंकि मानव निर्मित कमजोरियां दूर नहीं होंगी, इसका कारण उन लोगों में है जो उपकरण सेवा करते हैं:

• डिफ़ॉल्ट पासवर्ड का उपयोग अगर आप उन्हें बदल सकते हैं;
• एन्क्रिप्शन या वीपीएन को अक्षम करें, अगर कैमरा इसे उपयोग करने की अनुमति देता है (निष्पक्षता में, हम कहते हैं कि सभी कैमरों में ऑपरेशन के इस मोड के लिए पर्याप्त प्रदर्शन नहीं है, सुरक्षा के इस तरीके को स्पष्ट घोषणा में बदल दिया जाता है );
• कैमरा फर्मवेयर के स्वचालित अद्यतन को अक्षम करना;
• एक व्यवस्थापक की भूलने की बीमारी या लापरवाही जो एक उपकरण के फर्मवेयर को अपडेट नहीं करता है जो यह नहीं जानता कि यह स्वचालित रूप से कैसे किया जाता है।

कमजोरियों का पता कैसे लगाएं?

आसानी से। आईपी ​​कैमरों के कई मालिकों का मानना ​​है कि अगर वे उनके बारे में कहीं भी जानकारी प्रकाशित नहीं करते हैं, तो कोई भी उनके बारे में नहीं जानेगा और उन्हें क्रैक करने की कोशिश नहीं करेगा। हैरानी की बात है कि इस तरह की लापरवाही काफी सामान्य घटना है। इस बीच, बहुत सारे उपकरण हैं जो आपको इंटरनेट के माध्यम से उपलब्ध कैमरों की खोज को स्वचालित करने की अनुमति देते हैं।

Shodan



किसी भी शहर या देश में कैमरे खोजने के लिए इसकी अपनी क्वेरी भाषा और अन्य चीजों के साथ अनुमति देता है। जब आप किसी होस्ट पर क्लिक करते हैं, तो वह इसके बारे में विस्तृत जानकारी प्रदर्शित करता है।

ZoomEye



IoT पर खोज सेवा। आईपी ​​कैमरों के लिए खोजें - "डिवाइस: मीडिया डिवाइस"।

Censys



नेटवर्क उपकरणों की एक विस्तृत विविधता खोजने के लिए एक और उन्नत सेवा। क्वेरी "मेटाडेटा.मन्यूपरमेस्टर: अक्ष" एक्सिस द्वारा जारी किए गए इंटरनेट से जुड़े कैमरों को सूचीबद्ध करेगा।

गूगल

ऊंचाई पर और आईपी कैमरों की खोज में ग्रह का मुख्य खोज इंजन। खोज बार में "inurl:" viewframe? मोड = "या" inurl: "videostream.cgi" जैसे कुछ निर्दिष्ट करके, आप इंटरनेट के माध्यम से उपलब्ध कैमरों की एक सूची भी प्राप्त कर सकते हैं।

कमजोरियों का शोषण

बेशक, साइबर क्रिमिनल मैन्युअल रूप से बग की खोज नहीं करते हैं। सभी काले काम स्क्रिप्ट द्वारा किए जाते हैं जो सूची से कैमरों का चयन करते हैं, उन्हें तोड़ने से वित्तीय लाभ होगा। उदाहरण के लिए, आप कस्टम DDoS हमलों या प्रत्यक्ष जबरन वसूली का संचालन करने के लिए एक बोटनेट बना सकते हैं , जैसा कि मालवेयर मिराई के लेखकों ने किया था, जिन्होंने दुनिया भर में आधे मिलियन कमजोर IoT उपकरणों का नियंत्रण किया था।

बॉटनेट बनाना

एक बॉटनेट कई कंप्यूटरों और / या उपकरणों का एक समूह है जो एक या अधिक कमांड सर्वरों के नियंत्रण में होता है। उपकरणों पर विशेष सॉफ्टवेयर स्थापित किया जाता है, जो केंद्र से आदेश पर, विभिन्न कार्यों को करता है। यह स्पैमिंग, ट्रैफ़िक प्रॉक्सी, DDoS और यहां तक ​​कि क्रिप्टोक्यूरेंसी खनन हो सकता है।

भयादोहन

कैमरों और वीडियो रिकॉर्डर पर नियंत्रण की जब्ती लोगों के निजी जीवन का निरीक्षण करना संभव बनाती है, जिसके बीच राजनेता और बस प्रसिद्ध व्यक्ति हो सकते हैं। उनकी भागीदारी के साथ एक वीडियो प्रकाशित करना एक घोटाले का कारण बन सकता है और मालिक की प्रतिष्ठा को नुकसान पहुंचा सकता है, जिसका अर्थ है कि फिरौती मांगने के लिए प्रकटीकरण का खतरा एक गंभीर मकसद है।

अपराधों की रोकथाम
फ़िल्में अक्सर दिखाती हैं कि कैसे अपराधी एक बैंक को लूटने या गुप्त आधार पर घुसपैठ करने के लिए कैमरों पर वीडियो स्ट्रीम का विकल्प बनाते हैं। ऐसा लगता है कि डिजिटल तकनीक में परिवर्तन के साथ, छवि प्रतिस्थापन असंभव हो जाना चाहिए, लेकिन ऐसा नहीं है। आईपी ​​कैमरा पर रिकॉर्डिंग को बदलने के लिए, बस

1. उस कैमरे के लिए RTSP लिंक प्राप्त करें जिसकी स्ट्रीम आप बदलना चाहते हैं,
2. इस लिंक का उपयोग करते हुए, वीडियो फ़ाइल में स्ट्रीम रिकॉर्ड करें,
3. स्ट्रीमिंग मोड में रिकॉर्ड किया गया वीडियो चलाएं,
4. माध्यमिक प्रवाह की अदला-बदली से बचाव।

जाहिर है, एक रिकॉर्ड की गई वीडियो फ़ाइल होने पर, आप इसके साथ बहुत सी दिलचस्प चीजें कर सकते हैं, उदाहरण के लिए, "अतिरिक्त" अंशों को हटा दें या नए जोड़ें।

अलग-अलग, यह चेहरे को पहचानने की क्षमता के साथ आधुनिक स्मार्ट कैमरों का उल्लेख करने योग्य है। इस तरह की प्रणाली चीन, रूस और अन्य देशों में सफलतापूर्वक संचालित की जाती है।

2017 में, बीबीसी के एक पत्रकार ने पाया कि चीनी चेहरे की पहचान प्रणाली का उपयोग करके किसी अपराधी को पकड़ने के लिए , केवल सात मिनट पर्याप्त हैं ।

कार्यान्वयन के आधार पर, छवि की तुलना एक विशेष सर्वर पर या सीधे कैमरे पर संदर्भ डेटाबेस के साथ की जा सकती है। दोनों तरीकों के अपने फायदे और नुकसान हैं:

• अंतर्निहित मान्यता वाले कैमरों में एक अधिक शक्तिशाली हार्डवेयर आधार होता है और इसलिए साधारण कैमरों की तुलना में बहुत अधिक महंगे होते हैं, लेकिन साथ ही वे सर्वर पर एक वीडियो स्ट्रीम नहीं भेजते हैं, लेकिन केवल मान्यता परिणामों के साथ मेटाडेटा;
• सर्वर पर मान्यता के लिए संपूर्ण वीडियो स्ट्रीम के प्रसारण की आवश्यकता होती है, जिसका अर्थ है कि इसके लिए एक व्यापक संचार चैनल की आवश्यकता होती है और इससे जुड़े कैमरों की संख्या को सीमित किया जाता है, लेकिन प्रत्येक कैमरा कई गुना सस्ता होता है।

आपराधिक शोषण के दृष्टिकोण से, दोनों विकल्प समान हैं, क्योंकि हैकर्स कर सकते हैं:

• स्ट्रीम को रोकें और वीडियो डेटा को बदलें,
• धारा को रोकें और मेटाडेटा को बदलें,
• मान्यता सर्वर को हैक करें और एक संदर्भ डेटाबेस में छवियों को गलत साबित करें,
• कैमरा हैक करें और उसके सॉफ्टवेयर को संशोधित करें, या सेटिंग्स बदलें।

इस प्रकार, यहां तक ​​कि बौद्धिक मान्यता भी झूठी सकारात्मक प्रणाली को प्राप्त करने की संभावना को बाहर नहीं करती है, या, इसके विपरीत, अपराधी को अदृश्य बनाए रखने के लिए।

खुद की सुरक्षा कैसे करें

फर्मवेयर अपडेट करें

आउटडेटेड फर्मवेयर में कमजोरियों को शामिल करने की सबसे अधिक संभावना है जो हैकर्स कैमरे को नियंत्रित करने के लिए ले सकते हैं या वीडियो स्टोरेज में घुसपैठ कर सकते हैं।

एन्क्रिप्शन सक्षम करें

कैमरे और सर्वर के बीच यातायात का एन्क्रिप्शन MiTM हमलों और क्रेडेंशियल्स के अवरोधन से बचाता है

ओएसडी चालू करें

यदि आपके कैमरे एन्क्रिप्शन को संभाल नहीं सकते हैं, तो वीडियो पर दिनांक और समय को चालू करें। फिर तस्वीर बदलना और मुश्किल हो जाएगा।

IP फ़िल्टर करें

उन पतों की सीमा को सीमित करें जिनसे आप अपने वीडियो निगरानी प्रणाली से जुड़ सकते हैं। श्वेतसूची और एसीएल हमलावरों के लिए कार्रवाई की स्वतंत्रता को सीमित करेंगे।

डिफ़ॉल्ट पासवर्ड बदलें

नए कैमरे स्थापित करते समय या सिस्टम इंस्टॉल करते समय इसे पहला चरण होने दें।

अनिवार्य प्राधिकरण सक्षम करें

यहां तक ​​कि अगर सेटअप चरण में ऐसा लगता है कि प्राधिकरण की कमी काम को आसान करेगी, तो इसे तुरंत चालू करें।

इंटरनेट पर कैमरे न लगाएं

इस बारे में सोचें कि क्या आपको वास्तव में इंटरनेट पर निगरानी कैमरों तक पहुंच की आवश्यकता है। यदि नहीं, तो उन्हें स्थानीय नेटवर्क के अंदर काम करने दें।