La société de vidéosurveillance basée sur le cloud Cloudview a publié de nouvelles recherches montrant que si la plupart des systèmes de vidéosurveillance peuvent protéger les actifs physiques d’une organisation, ils offrent une porte ouverte aux cyber-attaquants.
Recherche menée par le consultant indépendant Andrew Tierney pour le compte de Cloudview et publiée dans un nouveau livre blanc « Votre système de vidéosurveillance est-il protégé des cyberattaques ? » ont découvert des vulnérabilités importantes à la fois dans les systèmes de vidéosurveillance traditionnels basés sur DVR et dans les systèmes vidéo basés sur le cloud. Les failles de sécurité inhérentes à presque tous les systèmes de vidéosurveillance permettent aux intrus de détourner trop facilement les connexions à l’adresse IP de l’appareil, mettant en danger les personnes, les biens, les données et des entreprises entières, laissant les opérateurs en violation des réglementations sur la protection des données.
Au cours de la recherche, cinq routeurs, DVR et caméras IP avec les derniers logiciels ont été placés sur Internet ouvert. Un appareil a été piraté en quelques minutes et en 24 heures, deux étaient sous le contrôle d’un attaquant inconnu, tandis qu’un troisième était laissé dans un état instable et complètement inutilisable.
Les vulnérabilités des systèmes DVR traditionnels allaient de l’utilisation de la redirection de port et du DNS dynamique au manque de mises à jour du micrologiciel et à l’existence de « portes dérobées » du fabricant qui sont souvent révélées sur Internet. Étant donné que les DVR ont des capacités similaires à celles d’un petit serveur Web, ils peuvent facilement être utilisés pour lancer une attaque sur le reste du réseau ou pour extraire de grandes quantités de données une fois qu’un attaquant a obtenu l’accès.
De nombreuses solutions vidéo cloud utilisent également la redirection de port pour permettre l’accès aux flux vidéo RTSP, ce qui les rend aussi vulnérables que les systèmes basés sur DVR. D’autres problèmes incluent le manque d’utilisation efficace des protocoles sécurisés, le manque de cryptage, la mauvaise sécurité des cookies et la gestion non sécurisée des utilisateurs et des informations d’identification.
« Tout appareil embarqué non sécurisé connecté à Internet est une cible potentielle d’attaques, mais les organisations ne semblent pas se rendre compte que cela inclut leur système de vidéosurveillance », a déclaré Andrew Tierney, le consultant indépendant qui a mené la recherche. « Il peut facilement fournir une passerelle vers l’ensemble du réseau, permettant à quiconque ayant une intention malveillante de corrompre tous ses systèmes ou d’extraire d’énormes quantités de données. »
« Des attaques par déni de service distribué (DDoS) sont désormais déclenchées via CCTV, démontrant que les cybercriminels les ont identifiés comme vulnérables », a ajouté James Wickes, co-fondateur et PDG de Cloudview. . «Les organisations peuvent instantanément augmenter leur sécurité en changeant leurs noms d’utilisateur et mots de passe par défaut en quelque chose de sécurisé, et elles doivent suivre les directives du bureau du commissaire à l’information et du commissaire aux caméras de surveillance en cryptant toutes leurs données de vidéosurveillance à la fois en transit et pendant le stockage. J’aimerais également voir le développement d’un « KiteMark » pour donner aux utilisateurs la confiance que leur fournisseur de vidéosurveillance a pensé à la sécurité. »
Le livre blanc complet peut être téléchargé ici : http://bit.ly/1YrKhXu.