A floridai hallgató felfedezi, hogy a csengőkamerákhoz való hozzáférés fenntartható még a jelszó megváltoztatása után is

Egy nemrégiben készült tanulmány kimutatta, hogy amikor az online fiókokról van szó, a felhasználók nem hajlandóak megváltoztatni jelszavaikat, még akkor is, ha bizonyítékok vannak arra, hogy bejelentkezési adataik veszélybe kerültek. Nyilvánvalóan nem ismerik különösebben az ezzel kapcsolatos potenciális veszélyeket, és sokan elfogadták a „velem nem fog megtörténni” mentalitást.

Ha azonban otthonaikba telepített biztonsági kamerákkal kapcsolatosak, akkor valószínűleg sokkal óvatosabbak lesznek. A személy magánéletére gyakorolt lehetséges hatás sokkal nyilvánvalóbb, és a felhasználók valószínűleg tudatában vannak a következményeknek, ami azt jelenti, hogy minden hozzáférés-vezérlő eszközt felhasználniuk fognak annak biztosítása érdekében, hogy kameráik nem érhetők el a kívülállók számára. Egy másik tudományos kutatási cikk azonban azt mutatja, hogy ez sokkal nehezebb lehet, mint amilyennek látszik.

Az IoT kamerák esetében a megváltozott jelszó nem feltétlenül jelenti a hozzáférés visszavonását

A tanulmányt Blake Janes, a Floridai Technológiai Intézet hallgatója végezte, és egy nagyon valószínű forgatókönyvre épül. Képzeljünk el egy Alice és Bob nevű házaspárt, akik egy házban vannak internetkapcsolattal ellátott biztonsági és csengőkamerákkal felszerelve. Mindkettő hozzáférhet a kamerákból származó élő adagoláshoz, és vezérelheti őket. Egyik pillanatban azonban a kettéosztódik, és Bob elköltözött. Alice azt akarja biztosítani, hogy Bob többé ne férhessen hozzá a megfigyelő eszközökhöz, ezért megváltoztatja a kamerák jelszavait, vagy más elérhető eszközöket használ annak biztosítására, hogy csak ő látja a patakot. Blake Janes rájött, hogy sok modern kamerával Bob még a jelszó megváltoztatása után is hozzáférhet a video streamhez.

Janes a tavalyi legnépszerűbb internetkapcsolatú fényképezőgép 19 fényképezőgépét készítette, és nem egy, hanem két kísérletet végzett. Először megpróbálta a kamerákhoz való hozzáférést a jelszavak megváltoztatásával korlátozni, de rájött, hogy a 19 eszköz közül csak három azonnal zárja el Bobot. A videofolyamok némelyike a jelszó megváltoztatása után több mint 30 percig állt rendelkezésre, és 4 kamera még Bob számára is adminisztratív jogokat hagyott a készülékek vezérlésére.

A második forgatókönyv Bob fiókjának teljes visszavonását jelentette. A 19 kamera közül 13 támogatja a több fiókot, és mindegyiknek nem sikerült azonnal megszakítania Bob hozzáférését a feedhez. Nyolc közülük nyitva maradt több mint 30 percig.

Ez nem sebezhetőség, hanem tervezési hiba

Ezekkel az eszközökkel a hitelesítési mechanizmus meglehetősen összetett. Amikor Bob bejelentkezik a fiókjába, csatlakozik a gyártó API-szerveréhez. Innentől kap egy tokent, amely lehetővé teszi számára, hogy hozzáférjen a kamera streaméhez, amelyet egy másik szerveren tárolnak. Amikor Alice megváltoztatja a kamera jelszavát vagy visszavonja Bob fiókját, megszakítja a hozzáférést az API szerverhez, ami azt jelenti, hogy Bob nem kaphat új tokent. Van azonban már egy, és bizonyos esetekben ez egy ideje továbbra is érvényes.

A fő probléma a token hosszú lejáratával kapcsolatos, bár Blake Janes más kérdésekre is rámutat, például az értesítés hiányára, amikor arról szól, hogy ki fér hozzá az eszközökhöz, és maguknak a kiszolgálóknak a nyugodt hozzáférési ellenőrzési politikája. A kísérlet azt mutatta, hogy a Google Nest fényképezőgépei ugyanazokat a problémákat szenvedik, ezért Janes valamivel több mint 3000 dollárt kapott a keresőmotor óriásának bug bounty programjának részeként.

A kutatási cikk elolvasásakor azonban azt a benyomást kelti, hogy ez nem hiba, hanem tudatos tervezési döntés. A token hosszadalmas lejárata némi nyomást gyakorol a szerverekre, és így nem kell minden esetben beírnia a felhasználóneveket és a jelszavakat. A cikk szerint az alkalmazások nem jelenítenek meg állandó hozzáférési értesítéseket annak érdekében, hogy csökkentsék a figyelmeztető fáradtságot. Más szavakkal, ezek a hibák a gyártók azon kísérletének az eredményei, amelyek célja az eszközök felhasználóbarátabbá tétele.

Ez a biztonság feletti használhatóság újabb diadala. Ezúttal azonban azokra az eszközökre vonatkozik, amelyek állítólag minket és magánéletünket biztonságban tartják, ezért egyes gyártók már dolgoznak a Blake Janes kutatásainak kiemelt problémáin. Reméljük, hogy hamarosan megoldásokat találnak.