Honderdduizenden ip-camera's door datalek toegankelijk
Honderdduizenden ip-camera's van de merken Apexis en Sumpple zijn door een datalek voor kwaadwillenden toegankelijk, zo hebben onderzoekers aan RTL Nieuws laten weten. Het gaat onder andere om 14.000 camera's in Nederland en 6.000 apparaten in België.
De meeste camera's bevinden zich in de Verenigde Staten (163.000), gevolgd door Duitsland (58.000) en Frankrijk (42.000), aldus RTL-journalist Daniel Verlaan vandaag op Twitter. De camera's worden onder andere via Amazon verkocht. Via een app kunnen gebruikers vanaf het internet met hun camera meekijken. Onderzoeker ontdekten dat de database met gebruikersgegevens zeer slecht beveiligd is. Daardoor kunnen kwaadwillenden eenvoudig de gegevens achterhalen waarmee het mogelijk is om met de camera's mee te kijken.
"De wachtwoorden van gebruikers worden wel degelijk versleuteld opgeslagen met Bcrypt, maar Sumpple bewaart alle API-calls naar de camera's in dezelfde database met daarin plaintext (!!!): e-mailadres, wachtwoord, token en ip-adres van de camera", stelt Verlaan. Apexis, het moederbedrijf van Sumpple, heeft het probleem nog altijd niet verholpen en reageerde ook niet op berichten van de journalist en de onderzoekers. Gebruikers krijgen dan ook het advies om ip-camera's van beide merken niet meer te gebruiken.
De beelden worden opgeslagen op een MicroSD.
De camera is echter niet aangesloten op het internet.
Bij een goede inlog procedure wordt het wachtwoord al clientside gehashed, waardoor er op de server niet eens de noodzaak is om de plaintekst wachtwoorden te kennen.
De beelden worden opgeslagen op een MicroSD.
De camera is echter niet aangesloten op het internet.
Want elke keer weer per ongeluk" zoveel domheid toepassen wil er bij mij niet in.
Als vooraanstaande wereldmacht is het natuurlijk best handig om overal ogen en oren te hebben.
Dankzij consumenten krijgen ze die.
Bij een goede inlog procedure wordt het wachtwoord al clientside gehashed, waardoor er op de server niet eens de noodzaak is om de plaintekst wachtwoorden te kennen.
Waar jij er van uit gaat dat er geen "pass the hash" mechanisme bestaat ?
hash downloaden van de server.. hash gebruiken om de camera te gebruiken.. voila..
Eminus
Wie zulke chinese IP camera's koopt en reeds betaald voor verzenden en word door de douane onderschept is zijn geld kwijt + nog eens een mooi gepeperd factuur van de douane voor de vernieigingskosten !
Goedkoop ten koste van uw privacy .
Wie zulke chinese IP camera's koopt en reeds betaald voor verzenden en word door de douane onderschept is zijn geld kwijt + nog eens een mooi gepeperd factuur van de douane voor de vernieigingskosten !
Goedkoop ten koste van uw privacy .
Geen idee wat jij allemaal brabbelt maar ik krijg ze gewoon nog binnen,
Wie zulke chinese IP camera's koopt en reeds betaald voor verzenden en word door de douane onderschept is zijn geld kwijt + nog eens een mooi gepeperd factuur van de douane voor de vernieigingskosten !
Goedkoop ten koste van uw privacy .
Dit is het zoveelste bericht over lekke camera's, ik begin zo langzamerhand te geloven dat er gewoon geen veilige IP camera's bestaan.
@Swake: dream on, bijna alle IP-camera's worden in China gemaakt en gewhitelabelled verkocht door honderden "camera leveranciers" . Volgens mij weet je niet waarover je het hebt. En ja, ik krijg ze ook gewoon binnen.
even ter lering en vermaak een greep het van nieuws hier, uit de oude doos:
https://www.security.nl/posting/619272/Populaire+ip-camera+door+lek+op+afstand+af+te+luisteren
https://www.security.nl/posting/581781/Onderzoek%3A+9+miljoen+ip-camera%27s+toegankelijk+door+cloudfeature
https://www.security.nl/posting/506580/Ernstig+beveiligingslek+in+honderdduizenden+ip-camera%27s
IoT security en IP-camera beveiliging is en blijft een ondergeschoven kindje zolang er niet iets gedaan wordt aan leveranciers die willen en wetens onveilige producten op de markt gooien.
Wie zulke chinese IP camera's koopt en reeds betaald voor verzenden en word door de douane onderschept is zijn geld kwijt + nog eens een mooi gepeperd factuur van de douane voor de vernieigingskosten !
Goedkoop ten koste van uw privacy .
Dit is het zoveelste bericht over lekke camera's, ik begin zo langzamerhand te geloven dat er gewoon geen veilige IP camera's bestaan.
@Swake: dream on, bijna alle IP-camera's worden in China gemaakt en gewhitelabelled verkocht door honderden "camera leveranciers" . Volgens mij weet je niet waarover je het hebt. En ja, ik krijg ze ook gewoon binnen.
even ter lering en vermaak een greep het van nieuws hier, uit de oude doos:
https://www.security.nl/posting/619272/Populaire+ip-camera+door+lek+op+afstand+af+te+luisteren
https://www.security.nl/posting/581781/Onderzoek%3A+9+miljoen+ip-camera%27s+toegankelijk+door+cloudfeature
https://www.security.nl/posting/506580/Ernstig+beveiligingslek+in+honderdduizenden+ip-camera%27s
IoT security en IP-camera beveiliging is en blijft een ondergeschoven kindje zolang er niet iets gedaan wordt aan leveranciers die willen en wetens onveilige producten op de markt gooien.
https://www.hln.be/geld/douane-in-eu-onderschepte-vorig-jaar-31-miljoen-namaak-en-valse-producten~a9c96ba4/?referer=https%3A%2F%2Fwww.google.com%2F
Chinese namaak invoeren is strafbaar binnen de EU !
Chinezen zijn 1000 x slimmer dan westerlingen .
De IP camera's zijn niet lek . De wachtwoorden worden niet versleuteld opgeslagen en bewaard . Beter leren lezen !
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
