Um pesquisador de segurança, que se identifica apenas como “Z Balazs”, descobriu que uma câmera IP que possui um “canal secreto” de administração cuja senha não pode ser mudada pelo usuário: 123456. Caso um invasor possa acessar a câmera em questão pela rede, a câmera pode ser invadida a partir desse acesso. A análise do problema foi publicada no sábado (26) no blog “Jump ESP, Jump”.
Câmeras IP são filmadoras cujo acesso ao vídeo e configuração são realizados pela rede. É um considerado um equipamento de “internet das coisas”. O pesquisador não revelou o modelo e a marca da câmera, porque disse que ainda vai aguardar uma resposta do fabricante. Há ainda a possibilidade de o problema existir em outras câmeras, inclusive de marcas diferentes, pois vários equipamentos usam tecnologia semelhante em seu desenvolvimento.
O canal secreto de controle da câmera funciona por meio do protocolo “telnet”. O pesquisador tentou várias senhas comuns para entrar nesse canal, mas acabou desistindo.
A senha foi descoberta quando o pesquisador tentou usar um recurso da câmera que permite o envio de dados a um servidor de arquivos FTP. O recurso não funcionou, porque a senha do FTP tinha o caractere “$”. Esse caractere não é corretamente processado pela câmera, permitindo então que a senha do FTP com “$” torne-se uma via para a execução de comandos.
Com isso, o pesquisador conseguiu enviar um comando para alterar a senha da câmera. Uma vez dentro, ele identificou que a senha original era simplesmente “123456”.
Para o pesquisador, esse canal secreto desprotegido é uma “porta dos fundos”. Ele não está descrito no manual. A vulnerabilidade só não é maior porque a câmera não foi projetada para expor esse canal na internet. Mas, dependendo da configuração da rede, isso pode acontecer.
O uso da câmera em redes locais, como empresas, pode viabilizar um ataque a alguém que tenha acesso à mesma rede em que a câmera está. Isso pode acontecer, por exemplo, se uma empresa usa mesma rede para a câmera e para um Wi-Fi destinado a visitantes ou colaboradores.
No entanto, mesmo o painel normal da câmera – que é configurado para ficar exposto na internet – não tem uma segurança adequada, pois usa uma senha de apenas quatro números.
O blog Segurança Digital já alertou que dispositivos para a “internet das coisas” devem ser inteligentes e trazer uma boa configuração de segurança de fábrica. Infelizmente, casos como esse mostram que os fabricantes estão mais preocupados em reduzir custos do que desenvolver sistemas minimamente seguros.
origem: http://g1.globo.com/tecnologia/blog/seguranca-digital/post/pesquisador-de-seguranca-descobre-senha-123456-em-camera-ip.html
Sirlei Madruga de Oliveira
Editora do Guia do CFTV
Avalie esta notícia, mande seus comentários e sugestões. Encontrou alguma informação incorreta ou algum erro no texto?
Importante:
Todos os Conteúdos divulgados decorrem de informações provenientes das fontes aqui indicadas, jamais caberá ao Guia do CFTV qualquer responsabilidade pelo seu conteúdo, veracidade e exatidão. Tudo que é divulgado é de exclusiva responsabilidade do autor e ou fonte redatora.’
