Из-за "дыр" в безопасности китайских камер к ним легко подключиться дистанционно - НЦКБ

В безопасности камер видеонаблюдения китайских производителей Hikvision и Dahua имеются "дыры", позволяющие легко подключаться к ним дистанционно и осуществлять наблюдение, утверждает глава Национального центра кибернетической безопасности (НЦКБ) Литвы Ритис Райнис.

После проведенного LRT расследования НЦКБ дал оценку кибербезопасности этих использующихся в литовских ведомствах, а также занимающих большую часть рынка Европы камер видеонаблюдения и установил четыре важных нарушения безопасности.

По словам Р. Райниса, по умолчанию дистанционное управление этими камерами включено, однако огромные "дыры" в безопасности позволяют подключиться к ним посторонним лицам.

"У камер имеется дистанционное управление, пароли передаются по незакодированному каналу, сами пароли закодированы посредством слабых, очень старых алгоритмов. Безопасность такова, что пароли этих камер можно перенять из канала связи, считать, раскодировать, подключиться к камерам и делать, что угодно", - сказал Р. Райнис BNS.

По его словам, если перенять пароль, то можно включать, выключать камеру, менять настройки.

В целом в камерах выявлено 61 уязвимое место, из них, по словам Р. Райниса, 23 представляют "уровень высокой угрозы", то есть могут быть легко использованы в Ddos-атаках, во внедрении вредительского кода и для прочих вредоносных целей.

Было установлено, что производитель Hikvision также собирает конкретную информацию о технических параметрах оборудования. Специалисты также установили, что программное обеспечение камер может быть обновлено только ручным способом, с сайта в Китае.

"Однако этот IP-адрес направляет на сервер, находящийся в Российской Федерации, с которого и осуществляется процесс отправки", – сказал Р. Райнис, представляя результаты исследования позднее в Министерстве обороны.

По утверждению НЦКБ, камеры используют 57 учреждений госсектора в Литве, 24 из них настроены на прямую связь с интернетом.

Центр рекомендует учреждениям изолировать их в отдельной сети, у которой не будет доступа к публичному интернету, либо поменять необходимые настройки. Также рекомендуется установить требование скачивания программных обновлений из государств Евросоюза.

"Мы полагаем, что хорошим решением было бы оборудовать сервер для скачивания обновлений в Литве", – сказал он.

Р. Райнис также заверил, что присылаемое программное обеспечение должно проходить дополнительную проверку.

Эксперты в сфере кибербезопасности также рекомендуют использовать огнеупорные стены, блокировать приводы, которые камера не использует, что снизит возможности использовать камеру для кибератаки.

При приобретении новых камер ведомствам рекомендуется включать требование того, чтобы поставщик поставил камеры с новейшими обновлениями программного обеспечения, в которых бы уже были исправлены пробелы в безопасности, а также ввести упомянутое требование наличия серверов для скачивания обновлений в Литве или хотя бы в странах ЕС. Для снижения риска рекомендуется, чтобы производители выключали ненужные функции камер.

Журналистское расследование гостеле-радиокомпании LRT выявило, что ранее из-за дыр в безопасности от этих камер отказались Соединенные Штаты, а в Литве они используются в Департаментах охраны руководства, миграции, полиции, Службой охраны госграницы, Службой общественной безопасности и государственной авиадиспетчерской компанией Oro navigacija.

Заместитель директора администрации Вильнюсского самоуправления Адомас Бужинскас подтвердил BNS, что эти камеры используются и в столице.

Литовский министр обороны Раймундас Кароблис подчеркивает, что нет данных в пользу того, что кто-то воспользовался пробелами в безопасности камер видеонаблюдения, которые используют госведомства.

"Нет никаких данных, что таким образом ими воспользовались. В нынешние времена, когда есть общие средства информационных технологий, вместе с возможностями возникают и риски, которые следует контролировать", – сказал министр журналистам в сейме.

Он также акцентировал, что в рекомендациях Национального центра кибернетической безопасности (НЦКБ) Литвы ведомствам предложены конкретные шаги по обеспечению безопасности, но нет рекомендаций заменять сами камеры.

"В выводах точно нет такого предложения, ведь суть не в металле и не в стекле, а в том, что там: какие программы установлены, и как ведется управление", – сказал министр.

НЦКБ обнаружил в безопасности камер видеонаблюдения китайских производителей Hikvision и Dahua "дыры", позволяющие легко подключаться к ним дистанционно и осуществлять наблюдение. В целом в камерах выявлено 61 уязвимое место, из них, по словам главы центра Ритиса Райниса, 23 представляют "уровень высокой угрозы", то есть могут быть легко использованы в Ddos-атаках, во внедрении вредительского кода и для прочих вредоносных целей.

Установлено, что эти нарушения позволяют передавать пароли из канала связи, считывать, раскодировать, подключиться к камерам, получать изображение с них или отправлять получателям измененные Кроме прочего, программное обеспечение камер обновляется на российских серверах, а при этом отправляется техническая информация оборудования, которая может быть уязвимой.

Центр выдвинул рекомендации ведомствам по обеспечению безопасности камер и требования к производителям камер в будущем.

По утверждению НЦКБ, камеры используют 57 учреждений госсектора в Литве, 24 из них настроены на прямую связь с интернетом. Среди этих ведомств Департаменты охраны руководства, миграции, полиции, Служба охраны госграницы, Служба общественной безопасности и государственная авиадиспетчерская компанией Oro navigacija.