智能摄像头安全风险分析及对策研究 – 作者:jiweianquan

不久前,《财经》杂志刊登《失控的摄像头》和央视频道播出的《第一时间》针对基于智能摄像头引发的安全问题作了详细报道。越来越多的实际案例在提醒大众,用作安全防护的智能摄像头若自身出现安全问题将反倒变成“偷窥神器”,变成安防入口的风险点之一,安防入口的第一道防线加固迫在眉睫。

随着技术的发展、产业的逐步成熟,物联网市场规模持续稳步增长,物联网应用更是渗透工作和生活的方方面面。智能摄像头作为身份认证和安防等重要环节,在家居、汽车、无人机、机器人、AR 等已有广泛使用。为构建安防领域视频信息入口第一道防线,国家出台了一系列规范标准和指导意见,相关科研机构和企业也在积极进行安全加固技术和方案研究。几维安全作为专注于移动安全与物联网安全的技术型企业,也结合自身技术和实践经验,对智能摄像头的风险漏洞及防护策略进行了探索和分析。 

基于智能摄像头的主要应用及发展态势

中国经济信息社发布了《2017—2018年中国物联网发展年度报告》分析认为,2017年以来,全球物联网设备规模、普及率和企业级应用项目呈爆发式增长,全球物联网市场有望在十年内实现大规模普及,到2025年市场规模或将成长至3.9-11.1万亿美元。

智能摄像头安全风险分析-1.png

2017年以来,物联网在交通、物流、环保、医疗、安防、电力等领域逐渐

得到规模化验证,“物联网+行业应用”的细分市场开始出现分化,智慧城市、工业物联网、车联网、智能家居成为四大主流细分市场。其中,作为实现身份认证、视频监控等安防功能基础硬件的智能摄像头部署也越来越多。据相关研究机构数据显示,目前世界上的摄像头总数约为14万亿个,到2022年,全球摄像头总量将达到44万亿部。

智能摄像头安全风险分析-2-gai.png

基于智能摄像头的安防应用主要包括:

  • 车辆分析 

基于车辆图像、视频采集等辅助进行交通违章监控、停车场车辆管理等;

  • 基础行为分析 

主要包括绊线、周界防范、物品遗留、物品丢失、人员聚集等;

  • 身份认证 

通过人脸检测和人脸对比,实现辅助计数和目标侦测、门禁权限控制、考勤、重要人物识别、身份识别等。

  • 人体分析

通过人物体态、人体特征等信息采集协助实现远程医疗等。

基于视频采集应用的安全隐患分析       

根据国家信息安全漏洞共享平台统计月报显示,漏洞主要集中在应用程序、Web应用、操作系统等方面,其中应用程序漏洞类型占到一半以上,以近两月统计数据为例,应用程序漏洞分别为59%、56%。

智能摄像头安全风险分析-3.png

从安防领域基于智能摄像头作为视频信息入口的基础环节进行分析,除摄像头硬件本身安全性以外,主要还包括视频信息传输的通道安全、云平台安全和终端安全三部分。

智能摄像头安全风险分析-4.png

针对功能实现的主要环节,其安全风险包括:

  • 以摄像头为跳板

通过摄像头的升级功能和Linux漏洞,加载非法程序,将摄像头做为跳板,攻击物联网系统或内网。 

  • 身份鉴别

目前智能摄像头系统广泛使用口令(弱口令、默认口令)的方式进行身份鉴别,只要输入密码正确,就可访问监控图像。 

  • 视频窃取

视频通过网络向视频监控服务商、网络服务商和运营商传输过程中,非法人员可以截取网络信号,获得视频。 

  • 远程控制

通过破解摄像头代码后仿照摄像头控制信号,随意控制摄像头。 

目前,智能摄像头支持通过授权App访问控制,但大多数App未经安全保护,成为黑客攻击的主要入口。 

  • 传输网络入侵

入侵视频传输网络,控制摄像头视频码流发送顺序,反复发送固定视频图像。 

  • 数据替换

改变视频源,达到替换视频的目的。 

  • 攻击云平台

通过传输网络入侵视频监控中心处理系统,控制后台视频服务器和存储设备,获得更多敏感信息。

《国内智能家庭摄像头安全状况评估》中对智能摄像头进行横向测评显示,大部分智能摄像头在人机识别、APP客户端加固、加密传输方面均存在安全问题。如:APP未作加固会导致破解难度的极大降低,入侵者可通过逆向分析得到摄像头源代码找到控制流程进行破解。腾讯社会研究中心和DCCI互联网数据研究中心联合发布的《网络隐私安全及网络欺诈行为研究分析报告》对1144款手机APP获取用户隐私权限情况进行统计,发现2018年上半年,获取“打开摄像头”权限的APP比例高达89.9%。

以监控失效和摄像头被控制利用风险为例进行攻击原理分析。目前智能摄像头主要采用实时联网,可通过终端(PC/APP)进行监控图像都访问,摄像头的业务处理可依靠摄像头内的固件程序,攻击者可能通过对摄像头固件进行逆向分析,分析摄像头固件对录视频功能业务处理的函数,发现存在某文件格式无法识别的风险点,编辑相关恶意程序,对处理函数传入无法识别的参数信息致使录视频处理函数卡死崩溃,最终导致视频监控卡屏造成监控失效。

攻击者还可对摄像头固件上传文件的逻辑代码进行逆向分析,通过发现客户端可以无凭证访问服务器漏洞,登录服务器查看任意摄像头的实时监控数据,进一步深入分析发现存在管理员的账号和密码,并进行硬编码且将明文保留在固件内,利用管理员账号导致摄像头被控制利用。 

入口安全守卫,国家政策       

近年来,除了在安防部署所在领域的政策、标准中明确、细化相关指导意见和要求,国家还出台了一系列专门针对信息安全、安防安全的政策、法规、规范指引安防行业的发展。如信息安全等保2.0、GB/T 18336《信息技术 安全技术 信息技术安全评估准则》、CSPSH-GF-001《信息安全技术 安防类智能联网产品网络安全技术规范》等。

2018年11月1日,GB35114-2017《公共安全视频监控联网信息安全技术要求》国家强制标准正式实施,并同步审批通过了《社会公共安全领域智能联网产品(网络安全) 自愿性认证》。

GB35114-2017对公共安全视频监控的信息安全提出明确规范要求,是全面加强公共安全视频监控领域信息安全的技术依据。该标准从5个方面解决当前公共安全视频监控存在的信息安全隐患问题:一是采用基于国密算法和部件的数字证书设备身份认证技术,有利于确定设备身份,解决设备替换和私接乱接问题;二是基于密钥的信令认证,解决摄像头被控制问题;三是基于数字签名技术,保障重要视频数据的真实性、完整性,解决视频证据的可信度问题;四是基于数字证书用户认证管理,解决未授权用户访问视频信息问题;五是采用基于视频帧的端到端视频加密保护,解决视频监控系统重要视频“裸奔”问题。   

智能摄像头安全防护部署策略分析   

针对智能摄像头面临的安全风险,几维安全采用前端代码安全保护+网络传输安全+移动应用安全加固,结合代码审计、渗透测试、安全接入和行为审计,全面保护以视频监控为核心的智能安防系统安全。

智能摄像头安全风险分析-5.png

几维安全智能摄像头安全防护方案

结  语       

随着人工智能、区块链、边缘计算等技术的迭代演进,以及安防行业在智慧城市、工业物联网、车联网、智能家居等领域的深入应用,安防行业迎来了新一轮技术革命。相对传统安防,智能摄像头作为关系到人、财、物安全的视频信息入口第一道防线,需要兼顾考虑终端设备、传输网络和云平台多环节整体构建,更需要结合行业、场景特征进行深度研究和安全防护。未来,几维安全将在国家政策的指导下,加大对物联网安防领域的探索和研究,为更多的物联网厂商提供安全服务。

来源:freebuf.com 2019-04-26 11:54:11 by: jiweianquan

© 版权声明
THE END
喜欢就支持一下吧
点赞0
分享
评论 抢沙发

请登录后发表评论