CERT-UA зафиксировала случаи несанкционированного удалённого доступа к системам видеонаблюдения Dahua в Украине. Пострадали IP-камеры и видеорегистраторы: посторонние получали видеопоток, меняли конфигурацию устройств и создавали собственные учётные записи. Число затронутых устройств, сроки атак и их организаторов ведомство не раскрыло.
Основной путь доступа - облачная функция Easy4IP, которая даёт прямое подключение к устройству через инфраструктуру производителя. Камера сама открывает исходящее соединение и регистрируется в облаке по серийному номеру. Дальше канал идёт в обход преобразования адресов (NAT) и межсетевого экрана, без опубликованных портов и внешнего адреса. Поэтому прямой доступ из интернета для такого сценария не нужен, и его отсутствие не защищает устройство, пока функция активна.
Предсказуемая структура серийных номеров упрощает поиск. Общая часть номера обозначает семейство устройств, остальные знаки меняются почти последовательно. По данным CERT-UA, наличие камеры в облаке проверяют массовым перебором, без ограничений частоты запросов и блокировок. В предупреждении CERT-UA, опубликованном Госспецсвязью Украины, сказано, что серийный номер служит идентификатором, а не паролем, и потому не может считаться секретом.
Найти устройство в облаке мало. Аутентификация остаётся вторым этапом, и её обходят подбором слабых либо типовых паролей. Другой вариант - эксплуатация уязвимостей обхода аутентификации в устаревших прошивках, где знание пароля не требуется вовсе. Обе техники известны давно. Однако в связке с облачным сервисом они позволяют действовать удалённо и без контакта с внутренней сетью заказчика.
Отдельного внимания требует сама логика такого подключения. Устройство не ждёт входящего запроса, а постоянно держит канал наружу; межсетевой экран видит исходящее соединение и не мешает ему. Для администратора камера выглядит закрытой, ведь порты не публикуются. На практике ограничение снято на уровне сервиса производителя, а не на периметре организации.
Признаки компрометации выглядят бытово. В списке учётных записей появляются незнакомые; настройки меняются без участия владельца; поверх видеокадра возникают посторонние надписи. В журналах аудита остаются события аутентификации через собственный протокол производителя с локального адреса, что характерно для доступа через облако. Отсутствие надписей компрометацию не исключает.
Затронутая категория устройств распространена далеко за пределами частного сектора. Камеры и регистраторы этого класса ставят на складах, в торговых залах, офисах, школах и на коммунальных объектах. Для организаций риск не ограничивается наблюдением за помещением. Видеопоток содержит изображения людей, поэтому попадает в режим обработки персональных данных и затрагивает как требования регуляторов, так и обязательства перед клиентами.
Рекомендации ведомства технически просты. Отключить облачное подключение, если оно не используется; убрать публикацию камер в интернет и заменить её VPN с доступом по списку адресов; проверить учётные записи и отвязать незнакомые привязки к облачным аккаунтам; обновить прошивки вручную и ввести регулярный процесс обновления. Обязательной силы у этих пунктов нет, поэтому многое зависит от того, есть ли у владельца регламент для устройств такого класса.
Для рынка видеонаблюдения это продолжение общей линии. Функции удалённого доступа создавались ради удобства установки и сняли сетевой периметр для целого класса устройств. Пока производители не пересмотрят модель идентификации, защищённость камеры будет определяться не тем, насколько скрыт её адрес, а тем, отключена ли облачная функция и обновлена ли прошивка.
