Bin seit kurzem Besitzer dreier 5907HD-Kameras. Eine davon hängt in 4m Höhe an der Hauswand und ist per LAN gekoppelt. Die anderen beiden sind über WLAN verbunden und zudem auch physisch relativ leicht erreichbar, weil in Garten und Carport installiert. Alle drei Kameras hängen nicht direkt im Internet (keine Portfreigaben usw.), sondern sind nur über das lokale Netz erreichbar.
Ob jemand die Live-Kamerabilder abgreift, ist mir relativ egal – sind nur Außenaufnahmen. Dennoch mache ich mir Sorgen, dass die Kameras Einfallstore in mein lokales Netz bilden – und jemand z.B. die per FTP auf einem NAS gespeicherten Überwachungsvideos löschen kann. Ich sehe folgende Angriffspfade:
Jemand könnte über eine „Evil-Twin-Attacke“ das in der Kamera gespeicherte WLAN-Passwort selbst abgreifen, ohne dass er dafür auf’s Grundstück muss. Das würde natürlich auch mit Smartphones gut funktionieren, aber die liegen nicht die ganze Nacht im Garten rum. Ist der Angreifer erst mal im lokalen Netz, muss er noch das Admin-Passwort der Kamera und/oder FTP-Passwort des NAS herausfinden – was sicher auch nicht schwer ist. Hat da jemand einen Lösungsansatz?
Noch einfacher, jemand baut die Kamera einfach ab und schließt sie per LAN an ein Laptop an. Alternativ baut er die SD-Karte aus. Meine Befürchtung, wenn der Angreifer erst mal im Besitz der Hardware ist, kann er vermutlich relativ schnell das darauf gespeicherte WLAN-Passwort und die FTP-Zugangsdaten zum NAS abgreifen. Und damit dann z.B. auch wieder die vorhandenen Videos löschen.
Anmerkungen:
Das NAS kann bei FTP-Nutzern nicht effektiv zwischen Berechtigungen für Hochladen und Löschen unterscheiden – nur zwischen Schreiben und Lesen.
Außerdem sind – ist der Angreifer erst mal im Netz – noch weitere Angriffszenarien denkbar.
Die Angriffe sind in ähnlicher Form natürlich auch über LAN (oder Powerline) ausführbar, sollte das LAN-Kabel für einen Angreifer leicht erreichbar sein.
Meine konkrete Frage ist nun, welche Sicherungsmechanismen sind in den Kameras implementiert, um den Angriffspfaden 1 und 2 entgegenzuwirken?
a) das Passwort und b) die WLAN Verschlüsselung.
Wenn das Passwort allerdings „1234“ oder „Passwort“ o. ä. toll ist, greife man sich selber an die Nase.
Nebenbei, wer sollte sich die Mühe machen, sich nachts auf die Lauer legen, einen WLAN-sniffer laufen lassen und und und, nur um auf einem Speicher Aufnahmen vom Garten zu löschen !??
So einfach ist es nicht. Selbst wenn wir das Szenario 1 mal vernachlässigen, weil es zu aufwändig ist und ohnehin auf alle WLAN-Clients zutrifft…
Sobald jemand die Hardware der Kamera unter Kontrolle bringt, hat er auch Zugriff auf das darin gespeichert WLAN-Passwort und das FTP-Passwort. Da hilft mir auch keine WLAN-Verschlüsselung (weil man die Kamera auch per LAN Kabel anschließen kann), und auch nicht unbedingt das Admin-Passwort. Der WLAN-Schlüssel, den ich ja schützen möchte, muss irgendwo im Gerät gespeichert sein – und der ist sicher nicht mit dem Admin-Passwort gesichert, denn die Kamera benutzt das WLAN ja auch, wenn gerade kein Admin angemeldet ist.
Der Denkansatz ist doch folgender: Ich installiere die Kamera aus einem Sicherheitsbedürfnis ggü. „normalen Kriminellen“ oder einfach nur randalierenden Jugendlichen heraus. (Mal egal wie sinnvoll das ist.) Gleichzeitig biete ich damit aber „Cyber-Kriminellen“ einen physischen Angriffskanal auf mein Heimnetzwerk. Ist ja eigentlich widersinnig, und darum hoffe ich natürlich, das INSTAR sich darum mal Gedanken gemacht hat.
Oder stell dir einfach vor, die Konfig-Datei der Kamera wäre auf der SD-Karte abgelegt (keine Ahnung ob das stimm). Jemand kommt, schraubt die Kiste auf, kopiert die Karte. Zuhause analysiert er dann die Konfig-Datei und liest WLAN- und FTP-Passwort aus. Ist doch ungünstig, oder?
Ach ja, und wer sagt denn, dass der Angreifer nach dem Löschen der Videos nach hause geht?
Auf dem NAS liegen ja noch mehr Dinge die ihn interessieren könnten.
Im LAN selbst gibt’s diverse Clients (Handy, iPad, SmartTV, …) mit dutzenden Apps mit hunderten Schwachstellen.
Außerdem müssen die Aktionen nicht immer sinnvoll erscheinen. Es gibt auch Cyber-Vandalismus.
[QUOTE=stephanius79;20852]Ach ja, und wer sagt denn, dass der Angreifer nach dem Löschen der Videos nach hause geht?
Auf dem NAS liegen ja noch mehr Dinge die ihn interessieren könnten.[/QUOTE]
Einen eigenen Ordner auf dem NAS für die Kameradaten (Bilder und Videos) anlegen, einen separaten Benutzer anlegen der nur Rechte auf dieses Verzeichnis hat.
Wenn ich deine Kamera im Besitz habe, komme ich nicht zwangsläufig an die Konfiguration der Kamera ran, dazu benötige ich das Admin PW der Kamera.
es ist also nicht damit getan die Kamera einfach an mein Lan zu hängen und dann habe ich alle Daten.
Die Konfigdaten liegen NICHT auf der SD Karte!
wenn die Kamera gestohlen wird dann solltest du natürlich sofort die entsprechenden Kennworte ändern (WLAN Kennwort, Kennwort des NAS - Benutzer usw).
Kamera so montieren das es nicht so ohne weiteres möglich ist sie abzumontieren.
Punkte 1 - 4 sind alles Sicherheitsmaßnahmen die du selber in der Hand hast, selber durchführen kannst und auch solltest.
Frage: welche Sicherheitsmaßnahmen stellst du die denn so vor, die Instar in die Kamera einbauen könnte.
NAchtrag: ein weiter Denkansatz wäre, ein eigenes Kameranetz aufzubauen - eigener IP-Bereich usw. - getrennt von deinem andern Lan. Oder eine DMZ einrichten.
Dir stehen da alle Möglichkeiten offen ohne zutun Dritter.
Auch das liegt in deiner Hand, kann von dir duchgeführt werden.
Wenn der pöse Pube da rankommt, hast primär Du was bei der NAS-Userverwaltung falsch gemacht.
Im LAN selbst gibt’s diverse Clients (Handy, iPad, SmartTV, …) mit dutzenden Apps mit hunderten Schwachstellen
Da würde ich mir aber erst einmal Gedanken über Deinen Webzugang per Router machen.
Denn der ist permanent öffentlich über Deine WAN-IP erreichbar.
Und dazu bräuchte sich auch keiner nachts in Deinem Garten rumtreiben.
->just my two cents<-
gruss
PS:
Man könnte aber auch die Kameras mit Kameras überwachen. :smiley_emoticons_ve
Danke für die Antwort. Ja, natürlich habe ich mir diese Gedanken auch schon gemacht. Das NAS habe ich von Anfang an so konfiguriert, wie du es schreibst. Und dass ich die PW dann ändere, wenn mir HW abhanden kommt, weiß ich auch. Anders montieren wird schwierig. Und der Ansatz mit der DMZ ist eigentlich genau der Grund meiner Frage. Das ist nämlich ein Aufwand, den ich nicht betreiben will, wenn ich verstanden habe, wie die Kamera intern gesichert ist.
Offenbar weiß das hier aber niemand, weshalb die Antworten sich darum drehen, was ich selbst machen kann. Das war aber nicht meine Frage.
Danke für die Anregung, aber Gedanken über mein (W)LAN und WAN mache ich mir bereits genug. Ich denke ich bin ganz gut mit Wissen um dieses Thema ausgerüstet. Ich glaube, dass ich mein NAS auch im Griff habe - was aber nicht heißt, dass dessen Betriebssystem keine Schwachstellen hat.
Dennoch konntest auch du offenbar meine eigentliche Frage nicht beantworten. Ich würde das mal als beruhigend empfinden, wenn selbst erfahrene Forumuser hier nicht genau wissen, wie die Kamera-Firmware gestrickt ist.
Ich sage mal, daß auch die erfahrenen Forenuser einfach nur User der INSTAR Cams sind und
weder in einer engeren oder weiteren Beziehung zu den Softwareentwicklern der Firmware stehen,
noch eigene softwaretechnische Erfahrungen in Firmwareentwicklung (egal ob Cam, Haarfön, oder Kaffeemaschine) vorweisen können.
