Fabrikant start inruilprogramma voor onveilige ip-camera's
De Duitse fabrikant Abus is een inruilprogramma voor onveilige ip-camera's gestart. Kwetsbaarheden in de ip-camera's zijn niet meer te verhelpen, waardoor klanten hun onveilige apparatuur "kosteneffectief" kunnen omruilen. Dat laat de Duitse hackervereniging Chaos Computer Club (CCC) weten.
De CCC ontdekte meerdere ernstige kwetsbaarheden in ip-camera's van Abus die van 2010 tot en met 2014 werden aangeboden en het mogelijk maken om de apparaten op afstand over te nemen. Voor de productie van de camera's was een zogeheten "whitelabel" Digital Signal Processor gebruikt. De Taiwanese fabrikant van deze hardware was inmiddels overgenomen en er was geen ontwikkelomgeving meer om updates te maken.
Daardoor is het voor Abus onmogelijk om klanten van beveiligingsupdates te voorzien. De fabrikant heeft daarop besloten om een inruilprogramma te starten. Volgens de CCC was het eenvoudiger geweest als er een update kon worden uitgerold, maar is het inruilprogramma ook een prima oplossing. Zeker aangezien veel andere IoT-fabrikanten hun klanten laten stikken, aldus CCC-woordvoerder Linus Neumann. In totaal zijn bijna 50 cameramodellen van Abus kwetsbaar.
Fouten maken mag, zolang je ze maar goed oplost.
(te koop in NL, Google: abus secvest site:nl )
ABUS Secvest Proximity Key Cloning PoC Attack video van SySS GmbH: https://youtu.be/sPyXTQXTEcQ
Bron: https://seclists.org/fulldisclosure/2019/May/3
Authenticatie:
- Iets dat je weet - dat niemand anders weet of (eenvoudig) te weten kan komen
- Iets dat je hebt - dat niet (eenvoudig) gekopieerd kan worden
- Iets dat je bent - dat niet (eenvoudig) gekopieerd kan worden
Fouten maken mag, zolang je ze maar goed oplost.
Ik kreeg onlangs een mail van de leverancier van een IoT systeem dat ik voor de beveilliging gebruik. De firmware in mijn apparatuur bleek niet meer up-to-date gemaakt te kunnen worden. Ik kon gratis nieuwe exemplaren krijgen, inclusief verzending. Ook de kosten voor het terugsturen van de oude exemplaren werden door de leverancier vergoed.
Er zijn er dus meer die het doen.
Peter
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
