IT-säkerhetsföretaget Barracuda Networks varnar för att övervakningskameror är en säkerhetsrisk när de ansluts till olika IoT-applikationer.
När säkerhetsexperterna på Barracuda Labs studerade en IoT-ansluten övervakningskamera blottades flera sårbarheter som öppnade för attacker utan att angriparen behövde ha direkt anslutning till kameran.
Genom att använda svaga punkter i kamerans webb- och mobilapplikationer lyckades Barracudas experter ta kontroll över kameran. Det visar att en angripare kan ta del av kamerans övervakningsområde, ta emot och ta bort larmsignaler eller ta bort filmsekvenser som sparats i molnet. En angripare kan också använda inloggningsuppgifterna för att uppdatera egen programvara till enheten, ändra dess funktionalitet eller använda enheten för att ta kontroll över fler kameror i samma nätverk.
– Vi vet sedan tidigare att IoT-enheter ofta är sårbara och ett tacksamt mål för angrepp. Även om det gjorts en del förbättringar av säkerheten är det tydligt att angriparna fortfarande har goda möjligheter att lyckas, säger Peter Gustafsson, ansvarig för Barracuda Networks verksamhet i Norden.
– I det här fallet ser man hur ekosystemet med svagheter i olika webb- och mobilapplikationer kan ge en angripare tillgång till inloggningsuppgifter som styr en övervakningskamera. Det är självklart viktigt att förstå att säkerhetsarbetet inte bara kan omfatta IoT-enheter i sig själva utan också alla de applikationer som används för att styra och kontrollera enheterna, fortsätter han.
Sårbarheter som bidrog till att Barracuda kunde ta kontroll över kameran:
- Mobilappen kontrollerar inte servercertifikatets giltighet
- Enheten kontrollerar inte servercertifikatets giltighet
- ”Cross-site scripting” (XSS) förekommer i webbapplikationen
- Filväxling sker i molnserver
- Användaren kontrollerar enhetens uppdateringslänk
- Enhetens uppdateringar saknar signatur
