VS waarschuwt voor onveilige ip-camera's Hangzhou Xiongmai
Het Amerikaanse ministerie van Binnenlandse Veiligheid heeft een waarschuwing afgegeven voor miljoenen ip-camera's van de Chinese fabrikant Hangzhou Xiongmai, die onder allerlei namen worden aangeboden. De camera's bevatten kwetsbaarheden waardoor een aanvaller op afstand met de videostream kan meekijken, instellingen kan aanpassen, firmware kan vervangen en code kan uitvoeren.
Volgens het ministerie zijn de aanvallen uit te voeren door een aanvaller met een "low skill level" en is informatie over de kwetsbaarheden op internet te vinden. Gisteren publiceerde securitybedrijf SEC Consult een onderzoek naar de ip-camera's. De ip-camera's beschikken over een cloudfeature waardoor gebruikers via internet hun camera kunnen benaderen. Hiervoor zijn alle camera's van een uniek ID voorzien dat gebruikers in een app kunnen invoeren om verbinding te maken.
Dit unieke ID is echter eenvoudig te achterhalen, waardoor aanvallers ook toegang tot de ip-camera's kunnen krijgen. Via andere kwetsbaarheden kan een aanvaller de camera vervolgens volledig overnemen. SEC Consult schat dat er op elk moment 9 miljoen ip-camera's van Hangzhou Xiongmai online zijn te vinden. Het probleem is dat de camera's door meer dan 100 bedrijven onder hun eigen naam worden aangeboden. De onderzoekers waarschuwden Hangzhou Xiongmai zeven maanden geleden, maar de fabrikant kwam niet met een oplossing.
Gebruikers van deze camera's krijgen het advies van het ministerie om meteen het beheerderswachtwoord te wijzigen, alsmede van het ongedocumenteerde account dat de onderzoekers aantroffen. Verder moeten gebruikers de herkomst van alle firmware-updates controleren. Het advies van SEC Consult ging een stuk verder. Het securitybedrijf raadde aan om de ip-camera's helemaal niet meer te gebruiken.
Simpel weg een vlan aangemaakt voor deze cam's zonder dat ze daar over naar buiten kunnen. Enkel video stream's naar de nas worden door gelaten. Fixed IP op mac zodat ze netjes weer terug komen in het ssid waar ze aan gekoppeld zitten.
Probleem opgelost.
China experimenteert al met sociale krediet systemen, en daar de rest v.d. wereld toch geen genoeg kan krijgen van goedkope kwalitatieve producten weten ze precies waarmee ze de rest van de wereld mee kunnen veroveren.
Ze hebben goedkope arbeidskrachten die toch niet veel kritiek leveren. Want kritiek wordt meteen in de kiem gesmoord. Kritische journalisten worden opgepakt,geintimideerd of anders vals beschuldigt.
Ze leveren hun producten wereldwijd waardoor er flink wat vreemde deviezen binnenvloeien. Kunnen ze geen producten ontwerpen, dan kopen ze gewoon de hele fabriek op of ze stelen het wel online.
Tja.. dit soort achterdeurtjes is wel vaak in het nieuws. Kennelijk weten ze precies waar ze mee bezig zijn.
Ja dat vraag ik mij ook altijd af bij adobe
Kijk maar hoe ze met hun eigen mensen omgaan in hun directe regio, want dan begrijp je het mechanisme achter dit soort lekken en achterdeurtjes beter.
https://www.rfa.org/english/news/china
In het land der blinden is namelijk één oog koning. In dit geval Xi Jinping en consorte. Dat is waarom ze geen kritiek dulden en dit ook actief onder controle kunnen houden dmv van hun 1 partij systeem. In europa hebben we meerdere partijen, en een andere ontwerp filosofie, maar daardoor zijn onze producten ook een stuk duurder. Het " Made and Designed in Europe ", zou een betere stroming voor ons betekenen.
Hier in europa wonen is zo gek nog niet.
Simpel weg een vlan aangemaakt voor deze cam's zonder dat ze daar over naar buiten kunnen. Enkel video stream's naar de nas worden door gelaten. Fixed IP op mac zodat ze netjes weer terug komen in het ssid waar ze aan gekoppeld zitten.
Probleem opgelost.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
