Le videocamere di sorveglianza possono diventare un’arma a doppio taglio se il dispositivo soffre di una vulnerabilità di sicurezza che espone le registrazioni ad occhi indiscreti. È quanto è successo, come dimostrato dai ricercatori di ESET, alla videocamera digitale D-Link DCS-2132L, che consente ai criminali informatici di accedervi.
Nello specifico, è possibile intercettare e visualizzare un video registrato, ma anche di manipolare il firmware del dispositivo. Il problema più serio è la trasmissione non crittografata del flusso video su entrambe le connessioni, ovvero tra la videocamera e il cloud e tra il cloud e l’app lato client, che fornisce terreno per attacchi man-in-the-middle.
D-Link DCS-2132L, la videocamera che nasce per la sicurezza ma che in realtà permette di spiarvi
Un altro problema importante riscontrato in questa videocamera è nascosto nel plug-in del browser “myDlink services”, che gestisce il traffico dei dati e la riproduzione del video dal vivo nel browser del client, ma è anche incaricato di inoltrare le richieste per i flussi di dati video e audio attraverso un protocollo di tunneling.
La vulnerabilità del plug-in è particolarmente insidiosa per la sicurezza della videocamera, poiché permette ai criminali informatici di sostituire il firmware legittimo con la propria versione corrotta o contenente una back-door. Sfruttando questo tunnel è possibile accedere all’intero sistema operativo.
Basta una semplice richiesta (solo durante lo streaming video live) a hxxp: //127.0.0.1: RANDOM_PORT /. Non è necessaria alcuna autorizzazione poiché le richieste HTTP al server Web della telecamera vengono automaticamente elevate al livello di amministrazione quando si accede da un IP localhost.
ESET ha segnalato tutte le vulnerabilità rilevate al produttore e alcune di queste sono state risolte mentre persistono problemi con la trasmissione non crittografata. Il dispositivo D-Link DCS-2132L è ancora disponibile sul mercato e i proprietari sono invitati a verificare che la porta 80 non sia esposta a Internet e riconsiderare l’uso dell’accesso remoto.
Se la telecamera viene impiegata per il controllo di aree altamente sensibili della propria abitazione o della propria azienda.