Security News :: Информационно-аналитическое издание по техническим средствам и системам безопасности
Поиск Контакты Карта сайта
Security News :: информационно-аналитическое издание по техническим средствам и системам безопасности
Security News
Security Focus

Услуги размещения публикаций на сайте Security News
 
 Газета 
 Статьи 
 Зарубежные новости 
 Под знаком PR 
 Новости 
 События отрасли 
 Дайджест СМИ 
 Фоторепортажи 
 Книги 

Получайте новости Security News через Telegram

Получайте новости Security News через Telegram. Это самый оперативный способ читать их с любого устройства.



Security News





Библи видеонаблюдения - 3
Газета "Security News" / Статьи по системам безопасности / Избранное / Системы видеонаблюдения

Уязвимы по умолчанию. Большинство цифровых видеорегистраторов открыты для удаленного доступа


23.05.2012

В заголовке нет ни игры словами, ни преувеличения. Масштабы вскрывшейся проблемы ужасают. Пользуясь лишь общедоступными сетевыми сервисами, сотрудник Security News получил полный доступ к видеорегистратору, стоящему в магазине на соседней улице — не составляло никакого труда не только смотреть видео, но, при желании, стереть архив или вообще выключить камеры. К теме сетевой безопасности видеонаблюдения нас вернул любопытный пресс-релиз. С него и начнем.

Исследовательская лаборатория Gotham Digital Science выпустила новый модуль для своего программного пакета Metasploit Framework. Дополнение под названием cctv_dvr_login предназначено для эффективного подбора паролей к цифровым видеорегистраторам от нескольких производителей — MicroDigital, HIVISION, CTRing, а также от существенного количества других вендоров, продающих OEM-оборудование под собственными марками. Этот инструмент аудита сетевой безопасности разработчик называет оксюмороном "интеллектуальный брутфорсер". Термин brute force ("грубая сила") применяется к методу несанкционированного доступа путем автоматического перебора большого числа паролей, обычно по словарю.

С видеорегистраторами, про которые идет речь, можно работать через клиентское приложение для Windows, мобильное приложение или браузерный интерфейс на основе ActiveX-элемента (эта технология поддерживается только браузером Internet Explorer). Именно авторизацию через ActiveX и эмулирует разработка от Gotham. В блоге лаборатории подробно описан процесс обратного инженеринга: с помощью программы Wireshark аналитики "разобрали" пакеты, которыми обменивается ActiveX-клиент и сервер регистратора. Сначала исследователям бросилось в глаза, что ответ сервера при простом несовпадении пароля отличается от данных, возвращаемых в том случае, когда логина не существует. Ага, задача упрощается. А зная, как формируется пакет с запросом и как должен выглядеть искомый результат, уже не составляет никакого труда написать брутфорсер.

Уязвимости цифровых видеорегистраторов

Брутфорсер от Gotham в работе. Салатовые буквы на черном фоне дают +10% к вероятности успешного проникновения
Брутфорсер от Gotham в работе. Салатовые буквы на черном фоне дают +10% к вероятности успешного проникновения

Не будет честным сказать, что регистраторы оказались дырявыми, как дуршлаги. C камерами TRENDNet ситуация была иной — там была обнаружена именно "дырка", уязвимость катастрофических масштабов. А здесь разработчиков можно упрекнуть лишь в том, что они не предусмотрели защиту от быстрого перебора паролей. Иначе говоря, не сделали функцию автоматической блокировки дальнейших попыток входа после нескольких неправильно введенных комбинаций.

Авторизация через ActiveX используется довольно редко — видимо, лаборатория выполняла аудит конкретного продукта. Гораздо чаще логин и пароль надо вводить или в вебформу, или в диалоговое окно браузера — тогда авторизация выполняется стандартными средствами протокола HTTP. Брутфорсеры для HTTP существуют давно. Подбор параметров авторизации перебором — довольно обыденная сторона информационных технологий...

Гораздо важнее другая информация, вскрывшаяся во время этого исследования.

...

Полную версию статьи "Уязвимы по умолчанию. Большинство цифровых видеорегистраторов открыты для удаленного доступа" читайте в электронном журнале Security Focus или в сентябрьском выпуске газеты Security News.

Передний край

ВРЕМЯ УЯЗВИМОСТЕЙ

Обновление возможностей технических продуктов, подпитывающее рынок безопасности, почти на сто процентов зависит от развития технологий. Однако прогресс рождает и новые возможности для злоупотреблений. Поэтому в солидных компаниях, прежде чем выпускать на рынок заведомо инновационный продукт, на всякий случай принято проводить экспертизу на предмет того, каким образом можно употребить новинку во зло. Если этого не сделать, разыгравшаяся пользовательская фантазия рано или поздно приведёт к появлению новых угроз и опасностей, непосредственно вызванных этим продуктом...

ОПЕРАЦИИ КГБ В БРАЗИЛИИ

Спустя некоторое время Security News возвращается к невероятной истории о том, как безопасник из Якутска организовал успешный бизнес на другом конце земного шара. Сегодня наш герой бегло говорит на бразильской разновидности португальского, прекрасно ориентируется в обстановке — и по-прежнему дико занят, полон энергии и сил. И ему по-прежнему везёт. Впрочем, за этим везением стоит чисто русская смекалка, упорный труд и редкий для соотечественников оптимизм.

АТАКА ДРОНОВ

В последние несколько лет активность вокруг беспилотников усилилась: цена, наконец, встала на одну доску с возможностями. В госструктурах появились консультанты с достаточно широким кругозором, и взоры начальства устремились в небо. Чтобы не нести громадные убытки от лесных пожаров, может быть, следует запустить по продуманному маршруту дрон с тепловизионной камерой? Собственно говоря, почему бы нет, если финансирование позволяет. Появились перспективы окупаемости беспилотников и в качестве бизнес-вложений.

RSSRSS
Присоединиться в ТвиттереTwitter
Присоединиться в FacebookTelegram
Присоединиться в LinkedInLinkedIn
Присоединиться в FacebookFacebook
Присоединиться в Google+Google+
Присоединиться ВКонтактеВКонтакте
Присоединиться в YoutubeYouTube
Присоединиться в ОдноклассникиОдноклассники
Присоединиться в LiveJournaLiveJournal


Надежные решения для обеспечения безопасности

Расширение динамического диапазона до 150 дБ в камерах видеонаблюдения
Расширение динамического диапазона до 150 дБ в камерах видеонаблюдения
В новых камерах серии Wisenet X от компании Hanwha Techwin аппаратная функция WDR основана на объединении четырёх, а не двух последовательных кадров. В результате достигается более глубокая проработка изображения, его высокое качество и информативность.

DIS — технология цифровой стабилизации изображения
DIS - технология цифровой стабилизации изображения
Скомпенсировать воздействие, которое дрожание камеры оказывает на восприятие изображения наблюдателем, призвана его стабилизация. Она выполняется программным способом, в процессоре камеры.

Автосопровождение движущегося объекта — интеллектуальная функция PTZ-камеры
Автосопровождение движущегося объекта - интеллектуальная функция PTZ-камеры
Первостепенная задача при охране любой территории — проследить за появившимся на ней человеком или автомобилем. Делать это без участия оператора позволяет функция автосопровождения, которой снабжены передовые PTZ-камеры. Компания Hanwha Techwin встраивает такую функцию в камеры, которые она выпускает под маркой Samsung..

Две карты памяти в одной камере видеонаблюдения
Две карты памяти в одной камере видеонаблюдения
В системах видеонаблюдения теперь можно устанавливать две карты памяти в одной камере. Поддержка двух карт общей ёмкостью до 512 Гбайт реализована в новых камерах серии Wisenet X от компании Hanwha Techwin. Это позволяет повысить объём локального архива или сделать запись дублированной для большей надёжности.

Видеоаналитика — пребывание объекта в выделенной области сверх заданного времени
Пребывание объекта в выделенной области сверх заданного времени
Подозрительное явление, которое требует внимания оператора, — затянувшееся пребывание человека на одном месте — можно выявлять средствами видеоаналитики. Своё воплощение данная функция получила в IP-камерах новой серии Wisenet X от компании Hanwha Techwin.



Hits 62321537
5081
Hosts 5512165
715
Visitors 10390562
1298

36

© ИА «Безопасность Сегодня», 2017.
© «Секьюрити Фокус», 2001-2016.
Свидетельство о регистрации электронного СМИ SECURITY NEWS ЭЛ № ФС 77-33582