1 декабря 2014

Взломанные веб-камеры: кто виноват?

Безопасность Новости

В последнее время в новостях много говорят о взломанных веб-камерах и «видеонянях», а также о том, что видео со скомпрометированных устройств транслируются на русском веб-сайте. Судя по комментариям пострадавших, ситуация действительно серьезная. Почему так?

Webcam massive breach

Все так или иначе вовлеченные в ситуацию люди — пользователи, производители устройств, должностные лица — винят друг друга вместо того, чтобы искать решение проблемы. А вывод, который из этой истории на самом деле следует извлечь, столь же прост, сколь и неприятен: если ваши ПК, ноутбук или другое устройство имеют выход в Интернет, вам необходимо следить за новостями из мира компьютерной безопасности. В противном случае однажды ваша личная жизнь может стать доступна пользователям сети Интернет, и вы даже не узнаете об этом.

Что случилось?

Предположим, вы покупаете веб-камеру. Не обычную «вебку», которая подключается к компьютеру через USB, а модную беспроводную камеру, поддерживающую видеотрансляцию через Сеть. С ее помощью вы, находясь в другой комнате, городе или стране, собираетесь следить за ребенком, машиной в гараже или же за тротуаром рядом с домом. При установке чудо-устройства вы следуете понятным рекомендациям из руководства по быстрому запуску. И все работает — сразу, прямо из коробки. Прекрасный пример технологического прогресса в мире цифровых технологий — вот же оно, будущее, в котором все так просто и удобно!

На самом деле нет. В нашем случае проблемы начинаются на этапе «простая установка — быстрая работа». Так получилось, что многим пользователям было достаточно того факта, что устройство сразу готово к работе. Многие не захотели поменять пароль, установленный по умолчанию, или даже не знали, что это вообще возможно или желательно.

Поэтому любой человек, узнавший точный адрес камеры и пароль, установленный по умолчанию (что-нибудь из серии «1234» или вроде того), мог получить доступ к их личной информации. Но неужели узнать точный адрес камеры так легко? На самом деле для этого злоумышленнику достаточно ввести хитрый поисковый запрос в Google и получить доступ к сотням камер, находящихся в режиме онлайн.

Было вполне предсказуемо, что, к большому удовольствию всех плохих парней в Сети, однажды кто-нибудь сделает веб-сайт, ищущий незащищенные веб-камеры и сортирующий на базе IP-адреса выдачу по странам и регионам. На одном форуме с ограниченным доступом даже завели специальную ветку, чтобы зрители могли обсуждать наиболее интригующие скриншоты с таких веб-камер. Упс!

Так кто же виноват?

Виноваты все и одновременно никто в особенности. Начнем с киберпреступников. Люди, основавшие веб-сайт, на самом деле ничего не взламывали и не использовали какие-то сложные технологии слежения. Они также не воспользовались уязвимостью программного обеспечения камеры и не создали фишинговый веб-сайт для кражи паролей. Все, что они сделали, — это воспользовались тем, что устройства не были должным образом сконфигурированы.

[vine url=»https://vine.co/v/On3hvTe73Me» width=600 height=600]

Киберпреступники просто использовали тот факт, что создатели и пользователи устройств не сильно задумывались над вопросами безопасности. В какой-то мере это похоже на кошелек, забытый в кафе и кем-то прикарманенный. Разумеется, брать чужое — это в любом случае плохо, но все-таки есть разница между такой ситуацией и, например, вооруженным ограблением.

Теперь поговорим о пользователях камеры. Они не изменили пароль, который был установлен по умолчанию. Вероятно, производитель порекомендовал это сделать (ну, вы знаете: на странице 57, мелким шрифтом), но кто читает руководство пользователя у устройств, которые «и так работают»?! Производители веб-камер делают максимально простые в использовании устройства, и нередко ради этой простоты они пренебрегают некоторыми аспектами безопасности. Если бы камера запросила изменить пароль при установке (это очень просто реализуется — буквально пара строчек кода), проблема с безопасностью могла бы вообще не возникнуть.

[vine url=»https://vine.co/v/OhuleT0dzB3″ width=600 height=600]

А что же сделали поставщики? Они, конечно, обвинили «хакеров», а также собственных клиентов, не поменявших пароль. Но мы в этом вопросе на стороне потребителей. Мы считаем, что любой продукт, предназначенный для использования в Интернете, необходимо разрабатывать и производить, принимая во внимание соображения безопасности. Мы также считаем, что поставщики должны простыми словами объяснять клиентам важность соблюдения требований безопасности. А лучше просто сделать так, чтобы у пользователя не было шанса этими требованиями пренебречь.

Добро пожаловать в удивительный мир компьютеров!

В «Лаборатории Касперского» мы пишем о многих новых случаях нарушения безопасности, потому что для пользователей многие устройства — это просто гаджеты, выполняющие одну-две функции (к примеру, передающие потоковое видео или обеспечивающие доступ к сети Wi-Fi).

Ваш домашний маршрутизатор сейчас раздает Wi-Fi, но его потенциала достаточно для управления космическим кораблем

На самом деле все намного сложнее, чем кажется. Многие камеры, домашние маршрутизаторы, телевизоры с функцией Smart TV, телевизионные приставки и музыкальные плееры — это настоящие компьютеры, которые могут выполнять намного больше задач, чем мы предполагаем.

Это связано с тем, что производителям проще и дешевле использовать универсальное «железо» и универсальные программные платформы, которое более-менее одинаковы для всей электроники — от роутера до суперкомпьютера. Грубо говоря, ваш домашний маршрутизатор сейчас раздает Wi-Fi, но его потенциала достаточно для управления космическим кораблем. Этим-то и пользуются преступники.

Советы

Поскольку не все производители аппаратного и программного обеспечения и поставщики веб-услуг заботятся о безопасности в достаточной мере, мы должны взять дело в свои руки. Есть два варианта. Первый — больше узнать о компьютерах, программном обеспечении, разработке ПО, о сетях, анализировать уязвимости и разобраться в протоколах передачи данных. В этом случае вы сможете правильно настроить систему для защиты от всех видов угроз.

Второй вариант — положиться на профессионалов. Для пользователей ПК, смартфонов и планшетов это не составит проблемы — они могут пользоваться Kaspersky Internet Security для всех устройств. Однако такие устройства, как веб-камеры, маршрутизаторы и умные телевизоры, слишком специфичны, а производители не допускают сторонних экспертов для независимой оценки безопасности. В результате разработка единого решения для их защиты становится практически невозможной. Поэтому вам стоит прочесть инструкцию и позвонить знакомому «айтишнику», чтобы он помог правильно настроить параметры безопасности. Помните, что пароль вы должны выбрать и ввести сами!

Если вам интересно узнать больше о подобных взломах, обратите внимание на подробное исследование, проведенное одним из экспертов «Лаборатории Касперского» Дэвидом Якоби: «Как я взломал свой дом«.

Хорошая новость: через два дня после того, как отгремели новости, веб-сайт закрыли. Плохая новость: до этого момента он успел проработать как минимум шесть месяцев. Еще более плохая новость: информация о неправильной настройке камер, позволявшая организовать весь этот беспорядок, была опубликована еще в начале августа 2013 года на одном из российских сайтов о технологиях (а преступники могли использовать ее и еще раньше).

В целом то, что сайт закрыли, вовсе не означает, что скомпрометированные веб-камеры стали безопасными. Злоумышленники по-прежнему могут найти их с помощью несложных манипуляций. Единственно правильным решением в этой ситуации будет смена пароля, по умолчанию установленного в вашей камере. Уже точно известно, что устройства как минимум одного производителя (Foscam) были скомпрометированы.