Babycamera's door clouddienst voor iedereen toegankelijk
Tal van draadloze babycamera's zijn door de clouddienst waar ze gebruik van maken standaard voor iedereen toegankelijk, zo waarschuwt securitybedrijf SEC Consult. Begin juni klaagde een Amerikaanse vrouw op Facebook dat iemand haar babycamera had overgenomen om haar te bespioneren.
Het gaat om een babycamera van het merkt "FREDI", maar de camera wordt ook onder allerlei andere namen aangeboden. De camera beschikt standaard over een feature genaamd "P2P Cloud" die het mogelijk maakt om via het internet verbinding met de camera te maken. Gebruikers hoeven hiervoor niets in te stellen. Om via het internet met de camera mee te kijken moet het apparaat-id en een wachtwoord worden opgegeven.
Het apparaat-id is volgens SEC Consult niet echt veilig en het standaardwachtwoord is 123. "Tenzij de gebruiker het wachtwoord heeft veranderd naar een veilig wachtwoord kan iedereen door het "proberen" van verschillende cloud-id's inloggen en de camera bedienen", zegt onderzoeker Stefan Viehböck. Hij stelt dat in het geval van de Amerikaans vrouw iemand waarschijnlijk naar geldige apparaat-id's met standaardwachtwoorden zoekt om zo op afstand met de camera mee te kijken.
Volgens Viehböck voldoen zowel de clouddienst als het apparaat niet aan de nieuwe Europese privacywetgeving. Het probleem met de cloudcamera's is niet nieuw. Vorig jaar werd hier ook al voor gewaarschuwd De Chinese fabrikant van de camera's is volgens Viehböck al maanden geleden over het probleem ingelicht, maar heeft nog altijd geen oplossing uitgebracht.
Nee ff serieus.... duidelijk verkopen die it jongens nog steeds "oh wow cloud"?????
Dit soort beveiligings problemen deed zich vroeger ook voor. Toen de babyfoon's eind jaren 80 steeds meer draadloos werden hoefde je er niet op te rekenen dat verkochte modellen allemaal een keuring hadden gehad. Het gevolg was dat ze uitzonden op frequenties die niet voor de babyfoon bedoeld waren. Vaak waren dat fm frequenties die voor publieke radio bedoeld waren. Kon de hele buurt meeluisteren met alles wat er in de omgeving van de baby gebeurde.
Kom op, je bent er toch ook zelf bij. Een beetje eigen verantwoordelijkheid moet er toch ook zijn. Straks hoef je in het verkeer ook niet meer naar links en rechts kijken als je oversteekt. De overheid moet de weg maar beter beveiligen want de burger moet niet na hoeven te denken.
iot devices en clouddiensten met standaard gebruikersnamen en wachtwoorden zijn niet beveiligd. Deze niet beveiligde iot devices en services vormen vaker een risico voor mensen en bedrijven die er niets over te zeggen hebben dan voor de eigenaar. Die eigenaar draait nooit op voor de gevolgen.
Een eigenaar is niet minder verantwoordelijk als die een apparaat slecht beveiligd maar een fabrikant evenmin. Maar daarmee zijn de problemen niet weg. Verantwoordelijkheid neemt men pas als de gevolgen merkbaar zijn. Die motivatie is er niet, met als gevolg dat de verantwoordelijken niets doen. Het is luitheid op kosten van de samenleving.
De schade loopt in de miljoenen en het verhalen kost een veelvoud + te veel tijd. Geld en tijd van de samenleving die veel beter aan andere zaken uitgegeven kan worden. De geboden oplossing is vele malen goedkoper en effectiever: zorg basale beveiliging, voorkom standaard instellingen.
Helemaal in de wolken met de baby.
Baby zegt "o bla di o bla da... da da"
Baby in the cloud,
waiting to be taken away.
Picture baby's face in the clouds.
Spell the magic password!
Baby counts: one, two, three...
And baby is everyone's picture, up there safe up in the cloud.
Welcome to the cloud,
Welcome to the void.
Welcome to the magic world of Iot.
Wanneer ontwaken wij uit deze foute utopische droom?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
