آیا Hikvision از حفره های امنیتی در امان است؟

دپارتمان امنیت ملی ICS-CERT آمریکا هشدار می‌دهد که حفره‌های امنیتی Hikvision از دو راه آسیب پذیر هستند. دپارتمان امنیت داخلی آمریکا با ارزیابی بالاترین رتبه خطر آسیب (۱۰ از ۱۰) برای دوربین‌های مداربسته هایک ویژن (Hikvision) تأیید کرد که “نفوذ به‌صورت ریموت/نیاز به تخصص بسیار کم برای نفوذ” از طریق “تعیین هویت ناقص” این محصولات را تهدید می‌کند. به علاوه DHS (سازمان امنیت ملی) افزود که “فایل تنظیمات رمز عبور” بکار رفته در محصولات در معرض خطر هایک ویژن با وضعیت بحرانی (۸٫۸ از ۱۰) ارزیابی می‌شوند.
چند روز بعد هایک ویژن با انتشار بیانیه‌ای در مورد “نفوذپذیری سریع با مجوز دسترسی کاربر” و مشکل فریم ورهای به‌روزرسانی بیش از ۲۰۰ دوربین مداربسته تحت شبکه هایک ویژن نشان داد که این موضوع را پذیرفته است. به نظر می‌آید میلیون‌ها دوربین مداربسته که هایک ویژن بر اساس برنامه فروش در بازار سیستم نظارت تصویری جهان بفروش رسانده است با مشکل نفوذپذیری غیرمجاز شدیدی روبرو هستند.
US-CERT اظهار داشت که مهاجم احتمالی می‌تواند از راه دور به‌صورت ریموت با افزایش سطح دسترسی خود از یک مرورگر وب به کاربر ادمین دست یابد.
در ماه نوامبر ۲۰۱۴، محققان Rapid7 Labs سه آسیب پذیری جدی بافر را در ضبط‌های ویدئویی دیجیتال Hikvision شناسایی کردند و در همان سال یک محقق با موسسه فناوری SANS، بدافزارهای Bitcoin Mining را در Hikvision DVR یافت.

وجود حفره امنیتی Backdoor

یکی دیگر از تولید کننده‌های بزرگ، Dahua، در ماه مارس متهم به وجود حفره امنیتی “Backdoor” در دوربین‌های دوربین مدار بسته و DVR ها خود شد. پس از آن قطعه‌هایی را به ۱۱ مورد از محصولات خود اضافه نمود. US-CERT گفت در حالی که هایک ویژن به روز رسانی‌ها را برای کاهش آسیب پذیری احراز هویت نامناسب در دوربین‌های فروخته شده از طریق توزیع کنندگان مجاز انجام داده، اما کاری برای بهبود وضع فایل تنظیمات و رمز عبورها صورت نگرفته است.

آژانس امنیت هشدار داد که هایک ویژن از دوربین‌های به اصطلاح “بازار خاکستری” آگاه بوده که از طریق کانال‌های غیر مجاز فروخته شده‌اند.”این دوربین‌ها اغلب از سیستم عامل غیر مجاز ایجاد شده توسط منابع خارج از هایک ویژن استفاده می‌کنند. در مورد این دستگاه‌های بازار خاکستری، به روز رسانی سیستم عامل ممکن است منجر به تبدیل رابط دوربین به حالت اولیه شود USER-CERT. در بیانیه‌ای گفت: کاربران دوربین‌های بازار خاکستری که نمی‌توانند به دلیل این سیستم عامل غیر مجاز به روز رسانی شوند، همچنان حساس به این آسیب پذیری ها خواهند بود.

با توجه به ارسال تحقیقات توسط یک محقق امنیتی با نام مستعار “Montecrypto”، اشکال در ماه مارس کشف شد و این بود: اگر دسترسی به صفحه Login دوربین مداربسته یا رکوردر و VMS داشته باشید می‌توانید به‌صورت کاربر ادمین وارد شوید یا بدون دانستن رمز عبور ادمین به‌راحتی با ریکاوری می‌توانید وارد شوید!

برای بهره بردن از خدمات نظارت تصویری شرکت داده پردازی سپنتا به بخش خدمات مراجعه نمایید.

محقق این شرکت دو هفته بعد توضیح داد که چرا در محصولات هایک ویژن حفره امنیتی “Backdoor” وجود دارد و چگونه حذف خواهد شد. آنها افزودند: “عاقلانه است که دوربین‌هایتان را دیر متصل به اینترنت نکنید”. ولی پس از تماس با هایک ویژن دیگر جزئیات را منتشر نکردند. بیانیه‌ی دوازدهم مارچ ۲۰۱۷ هایک‌ویژن در خصوص نفوذپذیری سریع با مجوز دسترسی کاربر و مشکل فریمورهای بیش از ۲۰۰ دوربین تحت شبکه، عملاً مهر تأییدی برای افشاگری‌های Montecrypto و سازمان امنیت ملی آمریکا بود. به این ترتیب رسماً تأیید شد که میلیون‌ها دوربین تحت شبکه‌ی این برند در سطح جهان با مشکل نفوذپذیری بسیار شدید روبرو هستند و در نهایت هایک ویژن ارتقاء سیستم عامل را برای ۲۰۰+ دوربین‌های Hikvision IP منتشر کرد. حفره‌های امنیتی Hikvision
پل ویلیامز، مدیر عامل Cloudview به رسانه اجتماعی SC گفته است که دستگاه‌های آسیب پذیر مناسب برای نیازهای هکرها بوده و این امر به سرقت اطلاعات، توقف ضبط با انتخاب مهاجم، اطلاعات نادرست با ارسال ویدیو غیر واقعی یا به عنوان بخشی از یک بات نت گسترده‌تر، مانند Hajime می‌گردد.

“در هر صورت استفاده از پورت متفاوت و رمز سخت توصیه نمی‌شود. از آنجا که هکر می‌تواند هر کد (یا هر کد انتخابی را اضافه می‌کند) را بر روی این سیستم اجرا کند و اغلب دسترسی و کنترل آنها در تمام نسخه‌های سیستم عامل ادامه می‌یابد بهترین توصیه به روز رسانی فرم ور و سپس نصب سیستم عامل جدید است. تغییر رمزهای عبور در سیستم خاموش، کمی کارگشاست، اما همه باید مطمئن شوند که دستگاه‌ها هنوز از کلمه عبور پیش فرض استفاده نمی‌کنند. “

بیشتر بخوانید: VMS نرم افزار مدیریت تصاویر دوربین های مداربسته

مت والمسی، مدیر EMEA Vectra Networks، به SC گفت که راه حل مؤثر و کم هزینه برای تأمین تجهیزات دستگاه IoT برای تولید کنندگان آموزش بهتر مشتریان است. دستگاه‌های هوشمند نیاز به نوعی اعتبار امن دارند تا خریدار بتواند دستگاه را برای محیط شبکه خود پیکره بندی کند و اطمینان داشته باشد که آخرین نسخه فرم نصب شده است. “مشتریان اغلب نسبت به تغییر کلمه عبور پیش فرض این دستگاه‌ها سهل انگاری می‌کنند، بنابراین فروشندگان باید شیوه‌هایی را اتخاذ نمایند که مشتریانشان را مجبور به تغییر رمز عبور پیش فرض می‌کنند، قبل از اینکه تنظیمات بیشتر ادامه یابد. همچنین مفید است، اگر آنها یک بررسی یکپارچه از رمز عبور برای جلوگیری از کلمه عبور رایج یا مجدد استفاده شده انجام دهند. “