Rapporterne brød tidligere i denne måned om et websted, der var live streaming footage fra mere end 70.000 internetforbundne sikkerhedskameraer. I de seneste par dage har medierapporterne været hysteriske med Daily Mail-rapporteringen - og jeg bruger dette ord løst - at russerne spionerer på britiske familier via deres webkameraer. Denne særlige hjemmeside er nu fjernet, men sikkerhedstruslen er ikke væk.
Jeg har undersøgt det, snakket med en sikkerhedsekspert og udarbejdet nogle af, hvordan den formodede hack fandt sted.
Var kameraerne hacket?
Alle kameraerne på hjemmesiden sendte deres feed online, fordi de var designet til at gøre det. De tre største producenter repræsenteret på webstedet var Foscam, Linksys og Panasonic. De producerer alle kameraer som denne model fra Linksys, som sender video til din computer via dit lokale netværk eller kritisk over internettet, så du kan få adgang til feedet hvor som helst.
Kevin Sheldrake, en informationskonsulent og min ven, forklarede, at "det ser ikke ud som om kameraerne faktisk blev hacket i traditionel forstand. Det ser ud til, at de netop har brugt standardoplysninger, eller ingen legitimationsoplysninger, for at få adgang til kameratilførsler, der blev fundet gennem Google. "
Google Hacking
Ifølge webstedets nu fjernede FAQ blev kameraerne fundet med, hvad Kev kalder "Google hacking". Mange af de udførte kameraers websider omfatter ting som "live feed" og kameramodellen i titeltaggen. Ved at bruge avancerede søgeoperatører Sådan gør du god brug af Googles søgemaskineoperatører Sådan får du god brug af Googles søgeoperatører Med operatører kan du vise resultater, der kun vedrører bestemte websteder, søge gennem en række tal eller endog helt ekskluder et ord fra dine resultater. Når du mestrer brugen af Googles ... Læs mere som intitle: Det er muligt at finde alle disse sider, der er blevet indekseret af Google.
De websider, som disse kameraer opretter, er teoretisk private. De er ikke udtrykkeligt afnoteret fra Google, men generelt er de ikke beregnet til at blive fundet. Google finder websteder ved at følge links Hvordan fungerer søgemaskiner? Hvordan fungerer søgemaskiner? For mange mennesker er Google internettet. Det er uden tvivl den vigtigste opfindelse siden internettet. Og mens søgemaskinerne har ændret sig meget siden, er de underliggende principper stadig de samme. Læs mere . Hvis Google ikke kan finde links til et websted, kan det ikke indeksere det. Alle de ramte kameraers websider sluttede på Google. Det betyder, at der af en eller anden grund er et link et eller andet sted på internettet pegede på kameraets webside.
Jeg undersøgte websiden på et af de berørte kameraer, som var beliggende i en fotobutik og fås via et backlink på butikens hjemmeside - hvordan det endte på Google. Historien for alle de andre kameraer vil være ens.
Sådan blev kameraerne tilgængelige
Selvom kameraets webside er opført på Google, bør det ikke være et problem. Foderet er normalt passwordbeskyttet. Det bliver kun et problem, hvis kamerabrugeren ikke har ændret adgangskoden fra producentens standardindstilling, eller endnu værre, efterlod det helt usikret. Dette er hvad der skete med alle de effektive kameraer.
Standardadgangskoderne for de fleste kameraer er offentligt tilgængelige på fabrikantens hjemmeside. Du kan finde en bestemt model af kamera ved hjælp af Google hacking og derefter slå det op som standardadgangskode. Hvis det ikke er blevet ændret, eller hvis der ikke er angivet et kodeord, er du i.
Hvorfor er det stadig et problem
Den hjemmeside, der havde alle panikede automatiseret processen med at finde kameraets websider og derefter prøve standardadgangskoden. Hvis det fungerede, skrabet det foderet og tilføjede det til hjemmesiden. Hvis det ikke gjorde det, blev hjemmesiden ignoreret.
73000 føder blev fundet under anvendelse af denne proces.
Selv om webstedet er taget ned, er problemet forblevet. Webstedet var blot en aggregator. Alle de berørte kameraers websider er stadig online, i det væsentlige ubeskyttede. Enhver med en vis viden om Google kan gøre den samme proces manuelt. Det faktum, at webstedet er væk kun gør det marginalt sværere.
Endnu værre, forklarede Kev, at "Historisk set har disse slags internetkameraer været plaget af flere klassiske sikkerhedsproblemer, såsom dårlig brugergodkendelse og kodeinjektion via webgrænsefladen. De mislykkes heller ikke i at bruge moderne linux / unix-sikkerhedsmodeller, hvilket betyder, at en sårbarhed med en kodeindsprøjtning får hele kameraet til at blive kontrolleret af angriberen. Når en angriber har kontrolleret dit kamera, kan de bruge det som et spring off point for at angribe alt andet på dit netværk. "Det er en alvorlig sårbarhed.
Sikring af dit kamera
Der er ingen nem måde at fortælle om dit kamera er berørt. Den bedste ting at gøre er at antage, at det er og tage skridt til at sikre det. Der er to ting, du skal gøre: Prøv at forhindre, at det vises i Googles søgeresultater og beskyt det med et sikkert kodeord.
Det er muligt at fjerne en webside fra Google, men du skal have adgang til HTML-koden. Dette synes ikke at være muligt med de fleste kameraer. I stedet skal du sørge for, at Google aldrig finder dit kameras webside.
Brug følgende liste over "Five Don'ts" for at holde dit internetaktiverede sikkerhedskamera sikkert:
- Del aldrig linket til kameraets webside på det åbne web.
- Du må ikke linke til eller indlejre det på din hjemmeside.
- Indsæt det ikke på din Facebook-side.
- Del det ikke på Twitter.
- Især skal du ikke linke til det på Google+. Så længe kameraets webside aldrig indekseres af Google, vises det ikke i søgeresultater, uanset hvilke avancerede tricks der bruges.
Desuden ændrer du adgangskoden fra standard til noget langt og sikkert. På MakeUseOf har vi fortalt dig om et par måder, du kan lave sikre, mindeværdige adgangskoder. 7 måder at oprette adgangskoder, der er både sikre og mindeværdige 7 måder at lave adgangskoder, der er både sikre og mindeværdige. Har en anden adgangskode til hver tjeneste er et must i dagens online verden, men der er en forfærdelig svaghed til tilfældigt genererede adgangskoder: det er umuligt at huske dem alle. Men hvordan kan du muligvis huske ... Læs mere. Brug en af dem og lav adgangskoden så længe som muligt. På denne måde kræver selvom Google indeksering af websiden en betydelig indsats.
Endelig tænk om du skal kunne få adgang til dit kamera fra hvor som helst. Hvis du ikke gør det, skal du slukke for websiden i dit kameras indstillinger.
Er du blevet gennemført ved dette eller lignende "hack"? Del venligst din historie i kommentarerne.