Hackerek

[Aardvark]

Valóban, az UPnP szintén egy veszélyforrás lehet, de onnantól, hogy a 23-as port a DVR-ben kikapcsolásra került az új fw-ben, hiába kapcsolják be portforwardot a routeren, nem lesz semilyen hatása.
Az időrend viszont nagyon is számít:
Ha még régi (és feltehetően védtelen) fw van egy rögzítőn vagy kamerán, akkor kívülről támadható, és a megfertőzött DVR további portokat nyithat meg az UPnP és a router segítségével. Bár a a fertőzés bekövetkezte után ennek már nincs igazán jelentősége, hiszen az UPnP-s router mindig a nyitást kérő helyi IP-cím felé nyitja meg a kívánt portot. Ámbár el tudom képzelni, hogy a vírus/féreg IP-t hamisítva teszi a többi helyi készüléket kívülről elérhetővé. (Hogy erre mi szüksége lehet, azt nem tudom, mert ha a kód már az intraneten fut, akkor közvetlenül is eléri a szomszédos gépeket, sőt, még IP-cím sem kell a lokális eléréshez.)
Ha már védett fw van a DVR-en, akkor (legalábbis a TechSon DVR/NVR-ek esetében) a telnet port sem lokálisan, sem pedig távolról nem elérhető, UPnP ide vagy oda.
Annyit mindenképp érdemes eXtra kolléga írásából megfogadni, hogy ha fix IP-címen van a DVR, akkor nincs szükség az UPnP-re, tehát legokosabb legalább a rögzítőn (de a routeren is, ha nincs másik készülék, aminek kell) kikapcsolni.

előzmény: eXtra #22

[eXtra]

A poweres cikk is említi, hogy a DMZ erősen kerülendő, de sajnos az kimaradt belőle, hogy a router UPnP funkciójának bekapcsolása (ez szinte minden routerban gyárilag bekapcsolt állapotban van!) szintén komoly veszélyeket rejt magában, mert azzal a hacker úgy nyitogathat magának tetszőleges portokat (pl. telnetet!), hogy a routerhez nincs is admin hozzáférése...

előzmény: bcslaci #21

[bcslaci]

Nem vagyunk biztonságban?

[L. Pásztor]

Vagy inkabb meg fogsz majd bizni egy EU cegben, aki garantalja h nincs benne backdoor, szamon is lehet kerni tole, es agyon lehet perelni ha nem mondott igazat ....
A password 1-szer lesz beleegetve, addig nem muxik amig le nem zarta, miutan lezarja es elfelejti akkor mar csak refurbishing.
Tudom, mert egy egesz mas, de ilyen-szerukeppen mukodo ipari eszkozhoz most gyartjuk a masodik komolyabb szeriat ...

Nem uj ez, volt mar ilyenhez hasonlo filozofia... DSC epromokat toroltunk es irtunk ujra 15-20 eve ...
Az uj termekek biztosan nem lesznek olcsobbak .... de allitolag a biztonsagot meg kell fizetni ... 

előzmény: eXtra #18

[vg]

Ez amióta az új jelszó kezelés -másfél éve tán?- be lett vezetve nem működik. Legalábbis a Hikinél.

előzmény: eXtra #18

[eXtra]

https://ipvm.com/forums/video-surveillance/topics/dahua-and-hikvision-master-password-backdoor

Ha ez így megy tovább, megbízok egy linux gurut és visszatérek a PC-kártyás rögzítőkhöz...

[L. Pásztor]

És ez még csak a kezdet ... nem véletlen h boldog-boldogtalan akarja visszahozni a gyártást Kínából.
Csak ahol már régebben szétcseszték a hazai ipart a gyártó és fogyasztó közé ékelődött tekintetes kereskedő és disztributor népek ... ott kicsit idő igényesebb lesz azt újra beindítani.
Addig marad a sok kínai benne a software backdoor-ral ... és addig a sárgák azt csinálnak a felszerelt eszközökkel amit csak akarnak.

előzmény: eXtra #15

[bcslaci]

Részleteket (és okokat) még nem tudok, de a telekom hálózatán x-boxok is ugyanilyen jelenséget produkálnak mint a hackelt rögzítők. Lehet azokat is "upgradelik"

előzmény: eXtra #15

[eXtra]

A qrva kínai (esetleg orosz?) hackerek nagyon beindultak, mert ilyenkor a kínai ünnep idején gondolom a technikusok sem nagyon dolgoznak... Az idei stat 5 feltört DVR (4 régi Dahua és egy újabb Mazi)!

Ügyfélnél volt egy őskövület Dahua DVR, amiből zombi gép lett és brutálisan beterhelte a netet, ezért pár hete lecseréltem egy Mazi HAVR08HT-ra, hogy majd tavasszal úgyis felújítjuk a teljes rendszert. Ma hív az ügyfél, hogy ugyanaz a jelenség, mint az előző rögzítővel: eszement módont villog a switch és szakadozik az 50Megás kábelnet (még mindig telekom)! 

[bcslaci]

Upnp-t azonnal kikapcsolom, ne nyitogasson semmit, amit nem akarok.

előzmény: SLC #12

[SLC]

TechSon N szériás videorögzítők biztonsági frissítése
http://www.powerbizt.hu/termekek/techson-n-szerias-videorogzitok-biztonsagi-frissitese/5536

Probléma megoldva 

[SLC]

Gyakorlatilag a héten 5db Dahua / átcimkézett dahua esett áldozatul, TechSonnal is találkoztam.
FW frissítés mindegyiknél javasolt. MInt utólag kiderült upnp-vel nem csak a távoli videó eléréshez szükséges portokat nyitotta meg, hanem néhány nem publikus gyártónak szánt portot is.
Jelszó tök mindegy, és ami érdekes, hogy a hekkelés helyről leválasztva asztalon másik nettel tesztelve hibamentesen működik.

Telenoros sim mobilnetes ruterben más okosságot is csinált már:
SMS küldés letiltva, de mégis sms-ben angol focimeccsekre fogadott a ruther amíg a szolgáltató 25eFt-nál le nem tiltotta a kommunikációt.

előzmény: bcslaci #2

[kero]

Nekem van olyan Paradox EVO 192-es rendszerem, ami össze van kötve az intelligens házzal, és ott a riasztórendszer mozgásérzékelői szolgálnak világítás-vezérlére is, illetve a nyitásérzékelők hatással vannak a fűtésrendszerre. Külön el lehet érni a házvezérlést kívülről, illetve a riasztót IP150-en keresztül, de "ház" oldalról nem lehet vezérelni a riasztót.

előzmény: syn7h37ic #10

[syn7h37ic]

A Loxone és társainál a pirt nem a szokásos értelemben vett mozgásérzékelőként kell értelmezni, hanem jelenlét érzékelőnek. Azaz egy input, amit bármire programozhatsz, pl. villany kapcsolására. Pl beélépsz az előszobába, felkapcsolja a villanyt. Ha tovább mész a folyosón, akkor a az előszoba villanyt lekapcsolja, és felkapcsolja a folyosót. Ha belépsz egy szobába, akkor a folyosó világítást lekapcsolja. A szoba világítást is szabadon lehet konfigurálni, napszaktól függően, gyk. végtelen lehetőség van. A pir csak mint egy segédeszköz van, és kell is a rendszerhez. Az már másik kérdés, hogy beintegrálják, mint vagyonvédelmi eszköz is. Maga az épületvezérlés olyankor a riasztó is. Személy szerint én sem favorizálom az ilyent, de attól még a feladatot el tudja látni. Ami hátrány, hogy nem tudod szétválasztani az integrációt a távoli elérésnél. Ha meghekkelik, akkor azt csinálnak a ház teljes ökorendszerével, amit akarnak. És az a szép, hogy pont a távoli menedzsment miatt népszerű az okosotthon. A hekkerek legnagyobb örömére. Itt nem lehet félvállról venni a kiberbiztonságot, és, ha jól rémlik még mac szerint is lehet szűrni a jogokat a portokon és jelszavazásokon kívül. Ettől függetlenül szerintem is kell egy dedikált vagyonvédelmi rendszer ilyen mellé, mert a jó vagyonvédelem távfelügyeletre is van kötve, és ha jól tudom egy okosotthon vezérlés sem tud kommunikálni  szabványos formátumban sem a távfelügyeletekkel, csak relé kimeneteket ad, pontos zónainfót, szabotázst nem képes normálisan kezelni.

előzmény: Ryki #9

[Ryki]

Jó pár napja olvastam ezt a hírt külföldi Bitcoin oldalon.
Azt csapkodnám fejbe aki egy ilyen rendszert onlineba köt.
Nagyon szép és jó ez a jövőkép hogy minden szarnak külön lesz IP címe applikációja és minden mi szem szájnak ingere. A hűtőtől kezdve a termosztáton keresztül minden szarnak.
Voltam egy helyen dolgozni, Loxone okos otthon... Akkora szerver volt a pincében hirtelen azt hittem az NSA központjában vagyok. Mindent lehet látni, minden konnektorba dugott eszköz pillanatnyi ill. átlag fogyasztás. Szobánként a hőfok, az adott szobában levő radiátor ki és bemeneti vízhőmérséklet... stb stb stb.
Mindez online.
Én csak egy kérdést tettem fel. Miért jó ez így ebben a formában?
(félreértések elkerülése végett nem vagyok technika ellenes én is szeretem az ilyen szarságokat)
DE, miért jó az ha valaki a munkahelyén tudja hogy a nappaliban levő radiátor kimeneti ágán 25,6°C fokos víz jön ki... Evvel az információval mit kezd?

Loxone-ra lehet PIR és egyéb érzékelőket kötni. Miért? a Loxone-nak nincs mabisz minősítése.
Ha valakinek ilyen rendszere van mint kinevezett riasztórendszer és betörnek a biztosító körbe röhögi.
(Amúgy is de az más tészta).

Nincs bajom az okos otthonnal, de szerintem teljesen indokolatlan onlineba kötni...
Az meg hogy egy felületen lehessen mindent látni, és ezért milliókat kidobni szerintem felesleges.
Egy felületen belül is csak egy dolgot lát egyszerre az ember.

Egy paradox my home app egy hikvision app és kész.. Nem kell ezt a kettőt egy okos otthonba integrálni, sok pénzért.
Szerintem, de ez az én kis véleményem  [size=78%] [/size]

előzmény: L. Pásztor #1

[syn7h37ic]

Az szép. A szálloda meg fizethet, lehet fizetett is...
Nem is értem, hogy miért nem az NFC-t erőltetik. Az is egy  BT megoldás, de pofonegyszerű, és nincs macera a párosítással. Ez sem tökéletes, de egy fokkal biztonságosabb, mint az online bohóckodás. Már szinte nincs is olyan mobil, amiben nincs NFC. A portán lehetne hozzárendelni a mobilt a szobához, és még net sem kellene hozzá. Csak egy mozdulat, mikor becsekkol a vendég, és ugyanez, mikor elmegy, vagy ez sem kell, mert törlődik a beállított napok után. És nem hinném, hogy macerásabb mint az app használata, sőt még egyszerűbb, mert magát a telefont használnám, mint proxy eszközt a szobához. Nem kell matatni a mobilban és megnyitni az appot, aztán megvárni, míg felépül a kapcsolat,és csak ezután nyitni a szobát.
Csináltam poénból egy ilyen online alapú beléptetést Paradox rendszerre, összekötöttem a beléptetőt a riasztó PGM kimenetével, mert ha véletlen otthon hagynám a kártyát, akkor is be tudjak menni a védett térbe. De macerás, és minimum fél perc, míg nyitom az ajtót. NFC esetén egy semennyi idő, mert a telefon mindig nálam van, olyan, mintha egy szervem lenne (sajnos...)
Megyek be is adom a szabadalmi hivatalba az nfc-s szállodai ajtót

előzmény: L. Pásztor #5

[eXtra]

"A 111 éve működő hotelben ezzel együtt azt tervezik, hogy a következő felújításkor az ajtók elektronikus rendszerét régimódi, kulcsos zárakra cserélik, olyanokra, mint az ükapáink idejében 111 éve."

 

előzmény: L. Pásztor #1

[eXtra]

Itt van a polcomon 3 db feltört Dahua DVR ami ugyanezeket a tüneteket produkálta. Mindegyik telekomos neten volt, kettő végleg kinyiffant, egy még menthető...

előzmény: bcslaci #2

[L. Pásztor]

A hardverek fognak előtérbe kerülni a (nyílt) szoftverekkel szemben ...

Ajtónyitás: ha az ÜF a telefonja app-jával nyit ajtót és az nem wifi-s (BT párosítás az macerás) ... akkor csak a net marad ...    És onnantól már eccerű !

Voltam már ilyesmi rendszerű szállodában ... app letölt, szobaszám megad, aztán neten keresztül nyit és zár.

előzmény: syn7h37ic #3

[syn7h37ic]

Néhány komolyabb gyártó már lépett ez ügyben, addig nem is lesz jó megoldás, míg az admin-admin, vagy hasonló alapértelmezett jelszavak engedélyezettek első indulás esetén.
Hekkerek esetén alap, hogy a gyári jelszavakkal próbálkoznak először. Akárcsak mi is, ha valamilyen oknál fogva átveszünk egy DVR-t ÉS minő csoda, 10 esetből minimum 7-szer bejön. És 10 esetből szintén elég soknál már fertőzött is a rögzítő, vagy a kamera. Ha a gyártók belekényszerítenék a felhasználót, hogy minimum 8 karakteres felhasználónévvel, és minimum 12 karakteres jelszóval kezdjék a konfig indítását, és alapértelmezettként az ethernet is kikapcsolt lenne, akkor biztonságosabb volna az a nyamvadt rendszer.

előzmény: bcslaci #2

[syn7h37ic]

A vagyonvédelem jövője biztosítva lesz, amíg lesznek megvédendő objektumok. Csak előtérbe fognak kerülni a szoftverek, a hardverekkel szemben.
Ez az egyik ok, amiért nem tartom jó ötletnek a wifi-s kommunikációt az autó és egy másik eszköz, pl. telefon között. A wifi az Apple miatt terjedt el, mert az nem képes Bluetooth-on keresztül kommunikálni sok dologgal, pl. az OBD2 ELM324 chipes egyszerű autódiagnosztikai eszközzel sem. Csak a wifis változattal. Az USÁ-ban éppen ezért van annyira a wifi-s kommunikáció az autókban elterjedve. A Smart Home ugyanez.
Csak azt nem értem, hogy az emlegetett szálloda beléptetési rendszere miért van online? Egy saját belső hálózatot kellett volna már a legelején használni, ami semmiféle módon nem csatlakozik a világhálóra. És, ahogy nézem még hülyék is, ha már negyedszer is eljátszották velük. Nagyobb összegben mernék fogadni, hogy spórolás volt nagymértékben a beléptető rendszerükön, és óccó kínai kiskapukkal teli csodákkal lett felszerelve az egész, kétes biztonsági protokollokkal.

előzmény: L. Pásztor #1

[bcslaci]

Amax, Techson és valamelyik Novosec által forgalmazott márka máris áldozatul esett. Telekomos, kábelnetes területre van egy kis rálátásom. Ha a rögzítő rá van csatlakoztatva a netre, minden más kapcsolat megszűnik, ha lehúzzák minden megjavul. Ügyes emberek belepiszkáltak a szerkezetekbe és az elérhető maximális sávszélességen tolják ki a kamera képeket orosz IP címekre, felhasználói szempontból csak az látszik, hogy sz@r a net, mert nem lehet semmit megnyitni. 

Azt nem tudom, hogy gyári beállítások voltak-e a készülékeken, eddig egy sem az én telepítésem. (azokban semmi sincs gyárin hagyva, se jelszó, se portok, se semmi)

előzmény: L. Pásztor #1

[L. Pásztor]

Most olvasom: http://inforadio.hu/gazdasag/2017/02/01/raszalltak_a_hackerek_egy_szallodara_kizartak_a_vendegeket/

A másikat hirtelen nem találom ... arról szólt, h autópályán szorosan követve egy autót a médiacenter wifi-n keresztül meghekkelték az autó MCU-ját és leállították az autót ... 

És elgondolkodtam rajta hova fog ez fajulni, ha a számtalan letelepített cucc, lakás vagy gépkocsi droid vagy csak kínai szoftos online eszközök, kamerák, beléptetők, IoT, etc.  mindegyikében tett a kinai backdoor-t és alkalom adtán nekiáll megtréfélni vele a fél világot ...

Úgy szakma kialakulását látom körvonalazódni: az online cuccok és a net közé berakandó egyedi tervezésű és spec. hardveres védelem ...