Bezpieczeństwo w chmurze: Jak przejęto kamery Hikvision
Bezpieczeństwo w chmurze: Jak przejęto kamery Hikvision
Ciekawe badanie ujawnia niepokojącą lukę w zabezpieczeniach kamer Hikvision. Zaczyna się od intrygującego stwierdzenia: „po co przejmować pojedyncze kamery, jeśli można przejąć wszystkie – atakując ich infrastrukturę cloudową”. Takie podejście może budzić poważne obawy wśród użytkowników.
Badacze odkryli, że po zalogowaniu się do cloudowego systemu (hik-connect.com) można było podmienić userID w cookie na ID innego użytkownika, co skutkowało uzyskaniem dostępu do jego konta. To oznaczało również dostęp do obrazu na żywo z kamery. Łatwo? Tak, ale ID użytkownika było generowane w sposób, który nie był do końca jasny – na pewno nie były to proste liczby.
Po głębszym poszukiwaniu, badacze zlokalizowali interfejs, który umożliwiał pozyskanie userID użytkownika na podstawie zadanego loginu, e-mailu lub numeru telefonu. Na szczęście, Hikvision zareagowało i załatano tę podatność, ale incydent ten uwypukla potrzebę lepszych zabezpieczeń w systemach chmurowych.
Na podstawie: Źródła
