Volgens het nieuwste
IoT-onderzoek van ESET, heeft de D-Link DCS-2132L camera meerdere
beveiligingskwetsbaarheden, die de deur openzetten voor ongeautoriseerde
spelers. Gebaseerd op vrijgegeven informatie, minimiseerde de fabrikant enkele
van de gemelde kwetsbaarheden terwijl andere nog steeds opkomen.
“Het meest ernstige probleem met de D-Link
DCS-2132L cloudcamera is de niet versleutelde transmissie van de videostream. Deze
loopt niet-versleuteld over beide connecties – tussen de camera en de cloud en
tussen de cloud en de client-zijde van de viewer app – wat een vruchtbare bodem
is voor man-in-the-middle (MitM)-aanvallen en waardoor een indringer de
videostreams van het slachtoffer kunnen bespieden,” aldus ESET Researcher Milan
Fránik, van het ESET Research Lab in Bratislava.
Een ander ernstig probleem met deze
camera zat verscholen in de plug-in van de webbrowser voor de
"myDlink-services". Dit is een van de voor de gebruiker beschikbare
vormen van de viewer-app. Andere vormen bevatten mobiele apps die door ESET
niet werden onderzocht. De plug-in voor de webbrowser staat in voor de creatie
van de TCP-tunnel en de live video playback in de client-browser en is tevens
verantwoordelijk voor het doorsturen van verzoeken zowel voor de video-als de
audio data streams door een tunnel die naar een dynamisch gegenereerde poort
luistert op een lokale host.
“De plug-in kwetsbaarheid had akelige
gevolgen kunnen hebben voor de veiligheid van de camera, daar het voor de
aanvallers mogelijk was om de echte firmware te vervangen door hun eigen
bewerkte of achterdeur versie,” verduidelijkt Fránik.
ESET heeft alle gevonden
kwetsbaarheden aan de fabrikant gemeld. Sommige kwetsbaarheden – vooral in de
myDlink plug-in – werden sindsdien minder kwetsbaar en via een update gepatcht,
terwijl problemen met de niet-versleutelde transmissie voortduren.
Lees voor een meer gedetailleerde
beschrijving van de kwetsbaarheden en mogelijke aanvalsscenario’s het onderzoek
“D-Link camera vulnerability allows
attackers to tap into the video stream” op de nieuwssite van ESET WeLiveSecurity.com