Aus dem Facharchiv: Elektropraxis
Praxistest Videokameras (2)
Die IT-Sicherheit aktueller Videokameras von drei Herstellern wurde untersucht. Die Betrachtung der Netzwerksicherheit hinterließ beim Testen durch die VZM GmbH und die Image Engineering GmbH einen gemischten Eindruck: Fast alle Kameras folgen nur zum Teil dem Prinzip „Security by Design“.
Immerhin erzwingen fast alle Kameras die Kennwortänderung bei Ersteinrichtung und nur die nötigsten Schnittstellen von außen sind geöffnet. Leider gibt es aber beim Thema IT-Sicherheit sonst nicht viel Konsens. So war nur bei der Bosch-Kamera die lokale Verschlüsselung auf der SD-Karte aktiv, dafür waren aber unnötigerweise Ports von IP-Diensten von außen in Richtung Kamera geöffnet, z. B. für internet Small Computer System Interface (iSCSI – ein Protokoll für die Anbindung von Netzwerkdatenträgern) und Remote Procedure Call (RPC – ein Protokoll zur Steuerung und Befehlsausführung auf entfernten Systemen).
Kontrolle der Ports
Generell sollten alle nicht zwingend erforderlichen Ports geschlossen sein und nur bei Bedarf geöffnet werden. Wenn die Kameras über ein Videomanagementsystem (VMS) gesteuert und verwaltet werden, ist z. B. iSCSI nicht erforderlich. Die Ablage der Daten erfolgt bei den meisten Videosystemen über eine von der Kamera aufgebaute Verbindung in Richtung VMS, worin auch die Videos abgespeichert werden. Ein von außen erlaubter Zugriff auf den iSCSI-Port auf die Kamera ist hier also nicht erforderlich und stellt damit eine unnötige Schwachstelle dar.
Die Anforderungen der Kameras von Geutebrück und Hikvision zur Webbrowser-Konfiguration entsprechen nicht mehr dem Stand der Technik. Denn nur der veraltete und schon lange abgekündigte Internet Explorer funktioniert hier uneingeschränkt. Das ist nicht akzeptabel, da sogar das BSI vor der Nutzung dieses als unsicher geltenden Browsers warnt. Hier sollten sich die beiden Hersteller an aktueller Software orientieren.
Anfällig für Attacken
Im durchgeführten Test waren alle Kameras anfällig für DoS-Attacken. Durch einen simplen Test mit hping-3 konnten alle Geräte gestört bzw. komplett „eingefroren“ werden. Hping-3 ist ein erweiterter Kommandozeilenbefehl (Ping-Befehl), den man benutzt, um abzufragen, ob Netzwerkgeräte erreichbar sind. Er hat allerdings einige zusätzliche Parameter, welche die Anfrage modifizieren können. Das Kommando lässt sich – ohne Spezialkenntnisse – auf jedem Linux-PC installieren. Entsprechende Tools gibt es auch für Windows. Wenn ein Angreifer Zugang zum Netzwerk bekommt (z. B. über einen aktiven Netzwerkanschluss), kann er die Kameras zeitweise ausschalten. Die wahrscheinliche Ursache hierfür ist, dass bei allen Systemen nicht vollständig durch Patches und Anpassungen „gehärtete“ (ältere) Linux-Kernel-Versionen verwendet werden. Auch für die Versionen bei einigen laufenden Diensten (besonders Webserver und RCP) sind bereits Exploits, also Schwachstellen, über die man angreifen kann, bekannt.
Wie schon erwähnt, werden bei den Geräten aller Hersteller außer bei Bosch die Daten unverschlüsselt auf der lokalen SD-Karte abgelegt. Wird die Kamera entwendet, kann auf die gespeicherten Bilddaten zugegriffen werden. Alle Hersteller setzen auf austauschbare SD-Karten, was zwar vorteilhaft bei Wartung und Reparatur ist, jedoch auch Möglichkeiten zur Manipulation bietet. Bei einigen Kameras ist die Karte mit etwas Geschick entfernbar. Vor dem Zurückstecken könnte sie dann ausgelesen bzw. manipuliert werden. Es muss also darauf geachtet werden, entsprechende Alarmmeldungen einzustellen (Manipulationsschutz und Speicherüberwachung). Unabhängig davon sollten sich die Kameras ohnehin gegenseitig im Blick haben.