Ip-camera Samsung vol beveiligingsproblemen
Onderzoekers hebben in een ip-camera van de Zuid-Koreaanse elektronicafabrikant Samsung tal van beveiligingsproblemen gevonden waardoor een aanvaller in het ergste geval op afstand een apparaat volledig kan overnemen. Het gaat om de Samsung SNH-6410BN.
Het apparaat wordt als babycamera, binnencamera en beveiligingscamera gebruikt. "De beeldkwaliteit is redelijk, maar zoals de norm is met ip-camera's schiet de netwerkbeveiliging te kort", aldus het Britse beveiligingsbedrijf Pen Test Partners. Onderzoekers ontdekten in totaal 10 beveiligingsproblemen. Zo worden inloggegevens onversleuteld verstuurd, is er een webinterface aanwezig die niet in de documentatie wordt vermeld, moet er via deze webinterface een wachtwoord worden ingesteld en is het mogelijk om het ingestelde camerawachtwoord te resetten.
Verder is de firmware niet tegen reverse engineering beschermd, is root de enige gebruiker, heeft Samsung onbedoeld de testfunctionaliteit aan laten staan, wordt alle gebruikersinvoer geaccepteerd en draait het apparaat een onnodige ssh-service. De onderzoekers wisten door al deze problemen uiteindelijk volledige controle over het apparaat te krijgen. Ze waarschuwden Samsung. De fabrikant kwam uiteindelijk met een update die de webinterface en ssh uitschakelt. De overige problemen zijn nog niet verholpen.
Veel smartphones worden al snel niet meer van updates voorzien, en ze vissen naar persoonlijke gegevens met alles wat op internet kan worden aangesloten.
Ook al het geregistreer (of wat was het ook alweer wat er pas in het nieuws is geweest) van hun laatste SSD produkten.
En nou dit weer. Het gaat niet om één lekje of zo. Voor mij liever geen Samsung met netwerkmogelijkheden meer.
Volgens de regels is de fabrikant verantwoordelijk voor updates. En die kunnen de verleiding niet weerstaan om eigen toegang zeker te stellen. De fabrikant gooit er nog een webserver bij met wat zelfbedachte backdoorpagina's, even doorroeren en *hop* op de markt zetten. Vergeet niet op het doosje te zetten dat het cloud enabled is en met een iPhone app te besturen.
Maar dat is natuurlijk het punt: een *consument* kan ook echt niet, nooit, beoordelen wat er goed of fout is aan een bepaalde versie of instelling.
En ook "it-specialisten" zoals de meeste mensen op dit forum zichzelf zullen zien, moeten voorzichtig zijn met wat ze feitelijk weten en wat vinden/voelen. Leuk, als je kan zien welke os-je er op je camera staat, maar dat zegt niks over de talloze keuzes die de leverancier gemaakt heeft/kan hebben bij de configuratie. En het is een fantasie om te denken dat de consument er dan zelf even een ander OS op zou kunnen zetten (en dat dat dan een door de leverancier ondersteund product oplevert).
Belangrijker is dat alle leveranciers worden gehouden aan veel hogere standaarden voor het maken en onderhouden van software. Maar dat is natuurlijk wel in conflict met de wens om snel en goedkoop te leveren...
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
