Zijn Chinese computers wel te vertrouwen?
Nu de Amerikaanse NSA en Google samenwerken om de recente Chinese hackeraanval te onderzoeken, is ook weer de vraag opgedoken in hoeverre Chinese computers en apparatuur wel te vertrouwen zijn. In 2008 maakten zowel de FBI als een Amerikaans beveiligingsbedrijf zich zorgen over vermoedelijke achterdeurtjes in uit China afkomstige routers. En onlangs waarschuwde de Britse inlichtingendienst MI5 voor Chinese relatiegeschenken zoals USB-sticks, die Trojaanse paarden bevatten.
"Als deze verhalen waar zijn, waarom zou de Chinese overheid dan hier stoppen? Jaarlijks wordt er voor miljarden aan in China gefabriceerde USB-sticks, computers, harde schijven en camera's uitgegeven. Waarom niet standaard alle firmware van beveiligingslekken voorzien? Het is niet lastig, sterker nog, het is eenvoudig", zegt Steven Vaughan-Nichols. "Niet alleen zijn backdoors eenvoudig te maken, het uitvoeren van een automatische controle op interessante woorden, zelfs in terabytes aan documenten, vereist slechts een paar servers. Google doet het immers ook elke dag, met veel meer gegevens dan een dergelijk plot ooit zou ontdekken."
Cyberspionage
Bedrijven die voor de Chinese autoriteiten interessante informatie hebben, moeten zich volgens Vaughan-Nichols dan ook afvragen of ze nog wel Chinese computerapparatuur willen blijven gebruiken. "Totdat het probleem met Chinese cyberspionage duidelijk is, kan ik het aanschaffen en gebruiken van hardware die tegen me werkt niet rechtvaardigen. Als je er een minuutje over nadenkt, denk ik dat je het met me eens bent."
Kun je Amerikaanse software en hardware vertrouwen? MS, Cisco, HP etc.
Dus een hek om de achterdeurtjes.
Ik ben via Google naar die URLs gaan zoeken en vond er letterlijk honderden in (voornamelijk) Aziatische landen. De meeste cams waren password protected maar met de door mij gevonden backdoor maakte dat helemaal niet uit en had ik tot alle cams root toegang. Bij sommige cams kon ik in de reflectie van het raam waar ze voor waren geplaatst zien dat het om wel tientallen verschillende merken / modellen ging.
De camera’s waren echt overal geplaatst. Slaapkamers, woonkamers, kantoren, supermarkten, voorraad ruimtes, ziekenhuizen. Echt scary. Ik heb mijn cam toen maar bij het vuilnis gezet en een echte IPcam gekocht in plaats van die Chinese rommel.
Martijn Wismeijer
http://m.rtijn.info/
Ik ben via Google naar die URLs gaan zoeken en vond er letterlijk honderden in (voornamelijk) Aziatische landen. De meeste cams waren password protected maar met de door mij gevonden backdoor maakte dat helemaal niet uit en had ik tot alle cams root toegang. Bij sommige cams kon ik in de reflectie van het raam waar ze voor waren geplaatst zien dat het om wel tientallen verschillende merken / modellen ging.
De cameras waren echt overal geplaatst. Slaapkamers, woonkamers, kantoren, supermarkten, voorraad ruimtes, ziekenhuizen. Echt scary. Ik heb mijn cam toen maar bij het vuilnis gezet en een echte IPcam gekocht in plaats van die Chinese rommel.
Martijn Wismeijer
http://m.rtijn.info/
tuurlijk, dat is al zou oud en zo bekend. Die googledorks zijn al 8 jaar in omloop...maar gelukkig heb jij ontdekt dat er een heuze backdoor in zit....zucht. Hoe precies heb je hem verder geanalyseert en die backdoor gevonden ?
Heel simpel, de uitspraak van de rechter is: je mag niet actief weren.
Wat hier wordt gezegd is: roep op om apparatuur te weren.
Bij het eerste wordt actief beleid gevoerd, bij het tweede wordt een waarschuwing met een aanbeveling uitgegeven. De aard van de aanbeveling is bovendien vergelijkbaar met de aanbeveling om mensen met de mexicaanse griep niet thuis te bezoeken en je handen te wassen om besmetting te voorkomen.
Ik sluit echt niet uit dat met een enkel apparaat er iets niet in de haak is maar om nu te stellen dat ieder apparaat uit China automatisch verdacht is. Een dergelijke 'waarschuwing' zonder bewijs lijkt, zeker als hierbij een verhaal over Chinese hackers wordt betrokken, verdacht veel op protectionisme.
+10 voor deze reaktie..
Ik ben via Google naar die URLs gaan zoeken en vond er letterlijk honderden in (voornamelijk) Aziatische landen. De meeste cams waren password protected maar met de door mij gevonden backdoor maakte dat helemaal niet uit en had ik tot alle cams root toegang. Bij sommige cams kon ik in de reflectie van het raam waar ze voor waren geplaatst zien dat het om wel tientallen verschillende merken / modellen ging.
De cameras waren echt overal geplaatst. Slaapkamers, woonkamers, kantoren, supermarkten, voorraad ruimtes, ziekenhuizen. Echt scary. Ik heb mijn cam toen maar bij het vuilnis gezet en een echte IPcam gekocht in plaats van die Chinese rommel.
Martijn Wismeijer
http://m.rtijn.info/
tuurlijk, dat is al zou oud en zo bekend. Die googledorks zijn al 8 jaar in omloop...maar gelukkig heb jij ontdekt dat er een heuze backdoor in zit....zucht. Hoe precies heb je hem verder geanalyseert en die backdoor gevonden ?
als je zo slim bent, en het op google gooit.
WEET JE DE BETREFFENDE URL waar hij het over heeft?
mhh
Je zit al te zuchten zonder dat je de details kent. Verder kan je met google hacking inderdaad gemakkelijk allerlij camera's vinden. Dat wil niet zeggen dat je, wanneer de apparatuur degelijk is beveiligd, ook toegang kunt krijgen tot de beelden. Wellicht dat je wat minder moet zuchten, en eerst eens na moet gaan of je conclusie wel terecht is, of dat je reactie voorbarig is.
Hij kijkt dus niet naar onbeveiligde IP cams via google maar naar een specifiek model waar hij, ongeacht het wachtwoord altijd toegang toe heeft. Lijkt me niet iets om over te zuchten....
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
