IPカメラはハッカーにも監視されている

IoTセキュリティニュース

starcam-ip-camera.jpg

モノのインターネット(IoT)が普及する一方で、セキュリティレベルの規制が整っていないため、脆弱性を持つ機器によって家庭全体が危険にさらされています。セキュリティのために作られたものであるはずが、多くのIPカメラはハッカーに悪用される欠点を備えてしまっています。調査員が2つの監視カメラ製品、ロフテック(Loftek)社のCXS 2200、ブイスターカム(VStarcam)社のC7837WIPをテストした結果、20以上のセキュリティ上のバグが見つかりました。(ブイスターカム社のカメラは日本でもアマゾン等で販売されています。)

この2つのカメラで見つかったファームウェア*1の問題によって、攻撃者が音声やビデオを盗み見する、ネットワーク上の他の機器をコントロールする、Dos攻撃を仕掛けるためにIPカメラをボット*2にしてしまうなどの可能性があります。チェックマークス(Checkmarx)社の調査員が無線のIPカメラを評価し、消費者に警告を出して、低価格の製品に対して注意を呼びかけています。

IoT製品に共通する脆弱性はTelnet通信です。以前遠隔のコンピュータに接続するために使われていましたが、安全ではない通信です。Telnet接続はブイスターカム社のC7837WIPというカメラでも使用されていますが、説明書には明記されていません。これは調査員が発見し、悪用された最初の問題の1つでした。

ロフテック 社のCXS 2200の場合、ハッカーがリクエスト強要(CSRF)*3 の脆弱性を利用し、カメラに様々なコマンド(命令)を送信することができてしまいます。管理者権限のユーザを作ることもその一つです。さらに、ユーザ名に空白(スペース)の16進数表記で"20%"と名前をつけ、初期パスワードのままにしておくことで、カメラの管理画面には表示されないユーザを作成可能であることも明らかになりました。

ブイスターカムについては、カメラを使用不可にする方法をセキュリティの専門家が考案しました。再度起動させるには、手動でリセットを行い、オプションの再設定も必要になります。16進数表記でユーザ名を設定するという、同様の仕掛けを使って再現させました。「ブイスターカムはJavaScriptのコードを使っていて、特殊文字の使用を制限しています。しかし、ブラウザインスペクタを使って制限を無効化し、文字を追加することが出来てしまう可能性がある」と報告書はまとめています。個人の資産を監視するために設置している製品なので、なぜ攻撃者が監視をやめさせたいのかも容易に理解できるでしょう。

チェックマークス社によると、ロフテックやブイスターカム製品に使用されているファームウェアは、他メーカーのカメラにも搭載されているということです。Bitdefenderの最近の研究でも明らかになっています。調査員は、オンラインのカメラで脆弱性があるものは100万個を超えると予想しています。

Bitdefender はロフテックとブイスターカムへ脆弱性の情報開示を要求しましたが、まだ応答はありません。またIPカメラ向けのファームウェアアップデートも発表されていません。

この状況では、常時利用している人への危険を減らすことは困難です。ファームウェアは別のベンダーの製品でも動作するので、ロフテックやブイスターカム製品にも適用することが出来るかもしれません。ただし、完全互換ではなく、すべての機能をサポートしていない可能性があります。

*1 ファームウェア:電子機器を制御するために組み込まれているソフトウェア

*2 ボット:コンピュータを外部から遠隔操作するためのコンピュータウイルス

*3 リクエスト強要(CSRF:Cross-site Request Forgery):別のサイトに用意したコンテンツ上の罠のリンクを踏ませること等をきっかけとして、インターネットショッピングの最終決済や退会等Webアプリケーションの重要な処理を呼び出すようユーザを誘導する攻撃。

画像著作権:ブイスターカム