Lijkt me dat de camera jouw eigendom is en dat ze verplicht zijn om die gegevens te geven.

Mijn eerste reactie, zolang je deze niet direct op het Internet hangt en telnet dus niet vanaf het Internet te benaderen is, valt het security issue wel mee.

MAAR..... Als de kwaliteit dit al is van het product, dan zou ik hem direct terug sturen.

Persoonlijk zou ik zelfs nooit een camera direct aan het Internet hangen. Veel te vaak zitten er grote kwaliteit issues op deze devices. Je telnet issue geeft dit al aan. En het Internet staat er vol mee. Alles achter een VPN.....

Tip: https://isc.sans.edu/forums/diary/Migrating+Telnet+to+SSH+without+Migrating/22376/

User admin en wachtwoord staan meerdere keren in dit document?

https://www.ccmsepine.nl/media/878-Quick_Start_Guide_Handleiding_voor_snelle_installatie_PnP_T_v2.2.pdf

Je kun natuurlijk ook de Mirai wachtwoordlijst proberen om te kijken of eentje van die het doet.

Als je binnen bent en weet wat de camera voor OS-implementatie draait (busybox), dan is vast een settings file te vinden die telnet en SSH toestaan of niet.

Ik zal die lijst eens proberen. ik vind het nog steeds allemaal een beetje shady. Bedankt voor alle tips iedereen.

Dat hele low budget camera spul is brak qua security. Software is vaak 'oud', vol bekende lekken en er wordt alleen functioneel gekeken: werkt het? Ship it!
Met wat duurder spul heb ik geen ervaring. Misschien dat er daar over security nagedacht is. Misschien ook niet...

Heeft security.nl vandaag een database teruggezet!?
Ik mis een heleboel posts waaronder mijn eigen, inclusief 1 in dit topic....

Je kan beter ff mailen klachten@security.nl

Staat in de handleiding:
Het scherm hieronder zal verschijnen. Klik dan op ‘Zoeken’. Het ‘Password’ dat u in moet voeren is standaard ‘888888’. Deze kunt u later aanpassen

Camera toch maar opgehangen. Onzin zoals DDNS en UPnP in de webgui van de camera uitgezet. Tevens alle username/password combos gebruikt, geen enkele doet het. Brute force dan maar ?

Inmiddels wel de firmware.zip gevonden via google. Hierin zit een .bin bestand. Deze in een hex editor openen met de hoop om een user/pass in plaintext terug te vinden.

Ondanks het dicht zetten van poorten op je router zoals 22 is toch nog een gevaarlijk punt. (mijn) Camera's maken contact met onbekende (cloud?) servers. En dan staat de camera en jouw netwerk toch open voor die onbekenden.

Edit:
Mijn ervaring is dat de handels/fabrikant contacten het onderscheid tussen de verschillende wachtwoorden voor
FTP, Telnet, Camera HTTP stream en RTSP stream etc. niet kennen en dus een verkeerd wachtwoord doorgeven. Ik heb nu een camera waar telnet open staat met root en geen wachtwoord, maar de RTSP stream heeft wel een standaard wachtwoord voor alle camera's van dat type. Ook deze maakt contact met een onbekende server.

De kopers van dit soort camera's willen "vanaf hun telefoon" kunnen kijken naar de beelden van die camera.
Vroeger werd dat nog wel eens geregeld via UPnP maar dat loste maar de helft van het probleem op: je kon dan
wel van buitenaf connecten maar dan moest je nog steeds wel het IP adres van je eigen verbinding weten, en dat is
in veel landen dynamisch. Dan moest je weer klooien met een dyndns service ofzo. Plus dat steeds meer internet
aansluitingen in opkomende landen achter carrier-grade NAT zitten omdat de providers niet genoeg IPv4 adressen meer
kunnen krijgen (die zijn allemaal al ingepikt door degenen die er vroeger bij waren).
Dus is het tegenwoordig voor dit soort situaties meer gebruikelijk dat de camera naar buiten connect naar een of andere
server waar de telefoon ook heen connect (op een vast adres) en daar vinden ze elkaar dmv een uniek kenmerk van
iedere camera, zoals het MAC adres, wat de camera naar die server stuurt.
Uiteraard is dat een risico voor je netwerk omdat de centrale server in feite een foothold heeft in alle netwerken waar
camera's staan. Als die server en de camerasoftware lek is dan is er een groot probleem.
Wat ook niet fijn is dat is dat deze feature default AAN staat. Je zou denken dat gaat pas aan als je als gebruiker
zelf aangeeft dat je van buitenaf naar je beelden wilt kijken, dat zal niet iedereen nodig hebben, maar het is nou eenmaal
niet te verlangen dat eindgebruikers die zo iets in de bouwmarkt kopen als IT beheerder aan de slag gaan.
Dus het moet plug-and-play zijn.
Als je dat voor je eigen netwerk niet wilt neem dan passende maatregelen. Je kunt in ieder geval de camera in een
apart subnet/vlan zetten wat alleen toegang tot internet heeft. Het is wel handig om een apart netwerk voor dit soort
toepassingen te maken. Alleen moet er niet te veel in zitten natuurlijk anders kunnen die spullen elkaar weer onderling
aanvallen (hoewel je kunt beginnen met client-to-client communicatie te disablen in dat netwerk).

Model komt overeen met de VStarcam C7833WIP. even verder googelen en ik kwam dit tegen:

"- Telnet ist erreichbar. Passwort nicht öffentlich. Allerdings lässt sich die Cam ganz leicht "hacken":
1. Öffnet die FTP-Settings in den Einstellungen
2. Tragt als "FTP-Server" folgendes ein: $(killall telnetd)
3. Tragt als User das ein: $(telnetd -l /bin/sh)
4. Jetzt "Set up" und danach "Test" klicken. Das erstell ein Script, was dann als root ausgeführt wird
5. Jetzt könnt ihr euch per Telnet anmelden ohne Zugangsdaten."

https://www.mydealz.de/comments/permalink/12862514 - dank aan xretikulumx.

Vervolgens in kunnen loggen over telnet zonder authenticatie.
Er staat 1 account in etc/passwd/ : vstarcam2015:Mg9R0oIZjmwdU:0:0:Admin
dus eindelijk de username en wachtwoord gevonden

vstarcam2015:20150602


Voor de rest heeft de ip camera geen toegang meer tot het internet. Remote beelden bekijken kan als ik inlog met een VPN.

Die camera's zijn ondingen. Leuk voor op je eigen netwerkje los van internet, maar voor veilig verkeer naar buiten moet je eigenlijk een stel eigen VLAN routers gebruiken (voor een VLAN verbinding op internet)

Zolang je router op aan de WAN kant niet luisterd naar port 23 dan komen ze vanaf het internet er niet bij al staat telnet open op je camera.
Maar goed IP camera’s verbinden aan het internet is gelijk aan de voordeur open zetten om bij je binnen te kijken.eigen lijk koet je het binnenhuis houden en dat ze alleen via een vpn vanaf je eigen device bereikbaar zijn.
Dan heb je een sort of slot op je deur.

IP camera's zijn leuke speeltjes.
het word pas gevaarlijk (IMHO dat is) wanneer zo'n ding alleen correct werkt via een clouddienst zoals de maginon camera's
waar je ook nog eens 10x nix en nop mee kan instellen, want dat moet via de cloud gebeuren, en aansluiten via een ETH kabel ,vooral bij wifi modellen, werkt soms niet eens, omdat ze het kabeltje alleen gebruik voor de eerste instellingen.
niet eens gehad over het feit dat het ding ook nog eens permanent de feed streamt naar de cloud,omdat het zo makelijk is om even snel te kijken daar via de app.