Consumentenbond: Nederlandse markt overspoeld met onveilige ip-camera's
De Nederlandse markt wordt overspoeld met onveilige ip-camera's uit China. Eigenaren van dergelijke camera's doen er verstandig aan om een bepaalde UDP-poort te blokkeren of de camera's niet te gebruiken, zo adviseert de Consumentenbond vandaag. De bond waarschuwde afgelopen mei al voor de camera's, die onder andere via Amazon verkrijgbaar zijn.
Aanleiding voor de waarschuwing was nieuw onderzoek waaruit bleek dat 27.000 Nederlandse ip-camera's risico lopen om door aanvallers te worden overgenomen. Het probleem wordt veroorzaakt doordat de camera's van een voorspelbaar uniek identificatienummer (UID) gebruikmaken. De voorspelbare UID's zijn onderdeel van een bepaalde module (ILnkP2P) die in camera’s van honderden merken zit.
Al die merken maken weer gebruik van verschillende apps om de camera's te bedienen. Gebruikers installeren de mobiele app en scannen de barcode op het apparaat of voeren het zescijferige UID in. De p2p-software regelt de rest. De iLnkP2P-apparaten bieden geen authenticatie of versleuteling en zijn eenvoudig te enumereren. Een aanvaller kan zo op afstand verbinding met de apparaten maken.
Vervolgens is het mogelijk om met de camera mee te kijken, het wachtwoord te wijzigen of andere aanvallen uit te voeren. De Consumentenbond stelt dat met name ip-camera's die via de CamHi-app zijn te bedienen risico lopen. Deze app is ontwikkeld door de Chinese fabrikant HiChip, die voor 38 procent van de 27.000 onveilige ip-camera's in Nederland verantwoordelijk is. Wereldwijd zou het om 3,5 miljoen kwetsbare apparaten gaan.
De Consumentenbond vroeg Amazon om de camera's niet meer te verkopen. Het gaat onder andere om apparaten van de merken Gatocam, MEOBHI, WYJW, Zysecurity (Crazy) en PNI. "Ook als webwinkels als Amazon.nl ze van hun site verwijderen. Verkopers bieden vergelijkbare camera's binnen de kortste keren gewoon opnieuw aan onder een andere merknaam", laat Gerard Spierenburg van de bond vandaag weten.
Eigenaren van dergelijke camera's krijgen het advies van de bond om uitgaand verkeer naar UDP-poort 32100 te blokkeren of het apparaat anders niet meer te gebruiken. Fabrikant HiChip heeft tegenover de Consumentenbond verbeteringen beloofd.
Of die boodschap zin heeft? Ik passeer dagelijks een filiaal van de winkelketen die ook 'actief' andere China-meuk in het assortiment heeft en het wordt daar alsmaar drukker.
(*) https://www.bloomberg.com/news/articles/2020-03-07/china-s-jan-feb-exports-fall-17-2-y-y-in-dollars-est-16-2
Handiger is het om te zorgen dat deze camera's (net zoals voor alle IOT devices) niet vrijelijk naar internet kunnen, alleen in het lokale netwerk kan komen.
Daarna kun je ze met een VPN naar je eigen huis benaderen. Eenvoudig zorgen dat de default gatewayvan de devices naar je VPN server wijst en niet naar de router is voldoende.
@iatomory Knappe vent als je bij shop437643 die dingen uit de etalage krijgt en ook niet nodig... extra beveiliging eisen bij iedereen die ze installeert is wel te handhaven.
Kost bijna niks en is goed te beveiligen.
Hangt voor hèt raam in de garage en overziet de hele voorkant en voordeur.
Loopt er iemand naar de voordeur, dan het eraan waar ik de app heb draaien, dan geef de camera het beeld door aan de iPad, iPhone of een picture in picture op de tv.
Enorm blij mee, effe kijken wie....ooh geen zin in. Lekker blijven liggen
mensen die deze dingen kopen willen niet een checkpoint firewal engineer inhuren voor een dag om een firewall van 2000 euro te plaatsen en een ipcam van 1400 euro die misschien iets beter beveiligd is.
de consumentenbond die overiges zelf in februari met tracking cookies in de mist ging
Kost bijna niks en is goed te beveiligen.
Hangt voor hèt raam in de garage en overziet de hele voorkant en voordeur.
Loopt er iemand naar de voordeur, dan het eraan waar ik de app heb draaien, dan geef de camera het beeld door aan de iPad, iPhone of een picture in picture op de tv.
Enorm blij mee, effe kijken wie....ooh geen zin in. Lekker blijven liggen
Ja? Weet jij waar die beelden allemaal heen gaan dan?
hoe benader jij dan de camera? hoe zie jij de beelden?
Kost bijna niks en is goed te beveiligen.
Hangt voor hèt raam in de garage en overziet de hele voorkant en voordeur.
Loopt er iemand naar de voordeur, dan het eraan waar ik de app heb draaien, dan geef de camera het beeld door aan de iPad, iPhone of een picture in picture op de tv.
Enorm blij mee, effe kijken wie....ooh geen zin in. Lekker blijven liggen
Ja? Weet jij waar die beelden allemaal heen gaan dan?
Zal mij een zorg zijn...ik heb beveiligd zoals aangeraden incl. Dubbele verificatie .... Als ze binnen willen komen en meekijken, dan lukthettoch wel. Je ziet dan de voorkant van mijn huis...wat moet je daarmee.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
