21 октября 2016 года, почти ровно десять лет назад, у половины американского интернета перестали открываться сайты. Twitter, Spotify, Amazon, PayPal — у всех был общий DNS-провайдер Dyn, и его завалили запросами. Атаковали не хакерские серверы, а камеры видеонаблюдения, видеорегистраторы и домашние роутеры. Десятки миллионов адресов, по словам Dyn. Вредоносная программа Mirai собрала их в армию простым способом: перебирала заводские пароли.

Камеры взламывают не так, как в кино. Чаще всего их не взламывают вовсе — к ним просто входят по паролю, который напечатан в инструкции.

21.10.2016 — атака Mirai на Dyn, без Twitter и Spotify остались миллионы

~60 пар логин-пароль хватило Mirai, чтобы собрать ботнет

150 000+ камер клиентов Verkada увидели взломщики в 2021 году

Mirai, 2016: армия из камер

Mirai сканировал интернет подряд, адрес за адресом, и стучался в служебный порт Telnet. Найдя открытый, пробовал около шести десятков пар логин-пароль: admin/admin, root/888888, root/default — и root/xc3511. Подошла пара — устройство заражено и само начинает искать следующие. В конце сентября 2016 года исходный код программы выложили в открытый доступ, и через три недели случилась атака на Dyn.

Пара root/xc3511 оказалась самой урожайной. Исследователи Flashpoint выяснили, что она зашита в платы китайской компании Xiongmai, на которых собирали камеры и регистраторы десятки производителей под своими марками. Покупатель видел незнакомый бренд и не знал, что внутри та же уязвимая плата. Xiongmai после атаки пообещала отозвать часть продукции в США и выпустить обновление.

Почему сменить пароль бывает мало

Самое неприятное в истории с xc3511. Пароль можно было сменить в веб-панели устройства — и пользователь, который это сделал, был уверен, что защищён. Но в прошивке заводской пароль оставался, и Telnet пускал по нему всё равно. Владелец ничего не мог с этим сделать, кроме как обновить прошивку, когда исправление вышло, или закрыть порт снаружи.

Verkada, 2021: 150 тысяч камер через одну учётку

Вторая история — про другой риск. Verkada — американский производитель облачных камер: записи хранятся у производителя, клиенты смотрят их через его сервис. В марте 2021 года группа взломщиков получила доступ к этому сервису с правами администратора — по сообщениям прессы, учётные данные лежали в открытом доступе. По данным Федеральной торговой комиссии США, у них оказался доступ к более чем 150 тысячам камер клиентов, включая психиатрические больницы и женские клиники.

Здесь ни один клиент не ошибся с паролем. Слабое место было у поставщика, и одна чужая учётка открыла всех разом. Облако снимает с объекта заботу о регистраторе и дисках, но собирает риск в одном месте.

В 2024 году Verkada заплатила 2,95 миллиона долларов по соглашению с комиссией — правда, формально за рассылку рекламных писем без возможности отписаться. За безопасность компанию обязали завести программу защиты информации и проходить независимые проверки.

Как взламывают камеры сегодня

Пути те же, что десять лет назад:

заводские и простые пароли — сканеры перебирают их круглосуточно;
проброшенные порты — регистратор открыт в интернет, чтобы смотреть с телефона, и его находят так же, как нашли бы вы;
старые прошивки — исправленные уязвимости годами остаются на устройствах, которые никто не обновлял;
облачные учётки — пароль от приложения, которым пользуются пять сотрудников, и без второго фактора;
общая сеть — камера, взломанная через один из путей выше, становится входом в бухгалтерию в той же сети.

Изображение людей на записях — их персональные данные, и утечка архива — это утечка персональных данных по закону о персональных данных, со всеми последствиями для владельца системы.

Что сделать при монтаже

Пароль при первом включении. Сложный, у каждого устройства свой, записан в паспорте системы, а не на стикере на регистраторе.
Прошивка на момент сдачи — последняя, и в договоре на обслуживание есть пункт об обновлениях.
Служебные порты закрыты. Telnet, ненужные службы, автоматический проброс портов на роутере (UPnP) выключены.
Отдельная сеть для камер. Камеры и регистратор не видят офисные компьютеры, и наоборот.
Доступ снаружи — через защищённый канал. VPN до сети объекта или облако производителя с двухфакторным входом, а не проброшенный порт.
Учётки по людям. У каждого, кто смотрит архив, свой вход и свои права; уволился — учётку закрыли.

Почему IP-системе это нужно больше, чем HD-аналоговой, разобрано в статье IP или аналоговое видеонаблюдение. Систему, которую при сдаче настраивают по этому списку, мы проектируем, монтируем и обслуживаем — подробности на странице видеонаблюдения.

Источники

Проверьте себя

Несколько ситуаций по тексту выше. Выберите ответ — сразу под вопросом будет разбор и ссылка на раздел, где об этом написано.

При монтаже камеры в веб-панели сменили заводской пароль на сложный. Можно считать камеру защищённой?
- Не всегда: у части устройств заводской пароль зашит в прошивку и действует на служебных портах вроде Telnet, поэтому нужны ещё обновление прошивки и закрытые порты
- Да, пароль — единственная защита камеры
- Да, если пароль длиннее восьми символов
Ответ
Правильный ответ: Не всегда: у части устройств заводской пароль зашит в прошивку и действует на служебных портах вроде Telnet, поэтому нужны ещё обновление прошивки и закрытые порты
У плат Xiongmai, на которых собирали множество камер и регистраторов под разными марками, пароль root/xc3511 можно было сменить в веб-панели, но он оставался зашитым в прошивке, и Telnet пускал по нему. Mirai входил именно так. Пароль меняют обязательно, но вместе с прошивкой и закрытием лишних портов.
Перечитать раздел «Почему сменить пароль бывает мало» · Основание: KrebsOnSecurity, 24.10.2016, со ссылкой на исследование Flashpoint.
Регистратор офиса проброшен портом на роутере, чтобы директор смотрел камеры с телефона. Что безопаснее?
- Оставить как есть, но сменить порт на нестандартный
- Закрыть проброс и смотреть через VPN до офисной сети или через сервис производителя с двухфакторным входом
- Выключить пароль, чтобы не забыть его
Ответ
Правильный ответ: Закрыть проброс и смотреть через VPN до офисной сети или через сервис производителя с двухфакторным входом
Открытый в интернет регистратор находят сканеры за минуты, нестандартный порт задерживает их ненадолго. Доступ снаружи безопаснее давать через VPN или облако производителя с двухфакторной аутентификацией.
Перечитать раздел «Что сделать при монтаже» · Основание: Практика настройки; урок Mirai — сканирование всего диапазона адресов.
Компания выбрала облачные камеры: запись хранится у производителя. Какой риск появляется вместе с удобством?
- Никакого: облако защищено лучше, чем офис
- Камеры перестают писать без интернета навсегда
- Если взломают учётку сотрудника производителя, видны все клиенты разом — так было с Verkada
Ответ
Правильный ответ: Если взломают учётку сотрудника производителя, видны все клиенты разом — так было с Verkada
В марте 2021 года взломщики получили доступ к более чем 150 тысячам камер клиентов Verkada — больниц, школ, офисов — через доступ администратора облака. Облако снимает часть забот с объекта, но концентрирует риск у одного поставщика.
Перечитать раздел «Verkada, 2021: 150 тысяч камер через одну учётку» · Основание: Пресс-релиз Федеральной торговой комиссии США от 30.08.2024.

Материал написан по практике наших инженеров и опирается на действующие документы, но это справка, а не заключение по вашему объекту: решения по конкретному зданию принимает проектировщик.

← Все статьи