Abo
  • Services:
Anzeige
"Paparazzi over IP": Sicherheitslücken in Kameras mit Netzwerkfunktionen
(Bild: Canon)

"Paparazzi over IP": Sicherheitslücken in Kameras mit Netzwerkfunktionen

"Paparazzi over IP": Sicherheitslücken in Kameras mit Netzwerkfunktionen
(Bild: Canon)

Aktuelle Kameras bringen Netzwerkfunktionen mit. Sie lassen sich deshalb leicht hacken und in Überwachungsgeräte verwandeln.

Fotografen können die Netzwerkfunktionen in aktuellen Kameras nutzen, um ihre Arbeit schneller zu verrichten: Fotos werden direkt auf den FTP-Server ihres Auftraggebers übertragen oder die Kamera lässt sich über das Netz fernsteuern. Die Netzwerkkommunikation lässt sich aber auch leicht überwachen. Dabei können Hacker die Fotos nicht nur abgreifen, sondern auch stattdessen ihre eigenen übertragen. Mühelos lässt sich die Videofunktion aber auch für eine Liveübertragung nutzen und die Kamera so in ein Überwachungsgerät verwandeln.

Anzeige

Noch fehle der Ton im Live-Betrieb, aber der lasse sich sicherlich ebenfalls aktivieren, sagen die beiden Experten Daniel Mende und Pascal Turbing von der Sicherheitsfirma ERNW. Dass sie die Kamera übernehmen und dann Videos mit Ton aufzeichnen können, sei bislang nur ein "Workaround". Demonstriert haben sie ihren Hack "Paparazzi over IP" auf der Sicherheitskonferenz Troopers13.

Viele Funktionen, kaum Sicherheit

Am Beispiel der DSLR EOS-1D X zeigen die beiden Experten, wie wenig Kamerahersteller in die Sicherheit ihrer Geräte investiert haben. Die Kamera lässt sich über eine Ethernet-Buchse, aber auch über WLAN im Netzwerk verbinden. Bilder können automatisch über FTP oder DLNA verteilt werden. Außerdem ist ein kleiner Webserver in der Software der Kamera, der zur Konfiguration oder Fernsteuerung verwendet werden kann. Während FTP und DLNA per se schon unsicher sind, hat Canon den Webserver und den entfernten Zugriff von Rechnern ebenfalls nur minimal abgesichert.

Als "langweilig" bezeichnen die beiden Sicherheitsforscher die möglichen DDoS-Angriffe auf die Kamera: Mit lediglich 100 ARP-Paketen pro Sekunden kann sie lahmgelegt werden. Dass Fotos über unverschlüsseltes FTP übertragen werden, sei ein nicht neuer, aber sicherlich interessanter Angriffsvektor. Canons DSLR EOS-1D X erlaubt es, aufgenommene Fotos sofort auf einen FTP-Server zu übertragen. Mit einfachen Mitteln kann sich ein Angreifer einklinken, die Fotos abgreifen oder möglicherweise durch manipulierte ersetzen. Über DLNA können ebenfalls auf sämtliche Fotos und Videos auf der Kamera zugegriffen werden - ohne Authentifizierung.

Zugriff auf den integrierten Webserver

"Nutzen Sie einen Webbrowser um Bilder zu machen, anzusehen oder Fotos herunterzuladen." So bewirbt Canon eine weitere Funktion, die in die Kamerasoftware integriert wurde. Es handele sich dabei um einen kleinen Webserver, der eine Ajax-basierte Benutzeroberfläche bereitstellt, berichten Mende und Turbing. Auch hier habe Canon auf das sichere HTTPS-Protokoll verzichtet. Die Authentifizierung erfolge zudem über HTTP Basic statt dem etwas sichereren Digest, so dass ein Angreifer die Zugangsdaten oder die Session-ID in einem unsicheren Netz auslesen könnte. Die Authentifizierung erfolge nur einmalig. Dabei werde eine Session-ID vergeben. Diese Session-ID bestehe aus nur vier Bytes. Sie lasse sich in wenigen Minuten per Brute-Force ermitteln. Damit habe ein erfolgreicher Angreifer Zugriff auf die auf der Kamera gespeicherten Fotos und die Kameraeinstellungen. Außerdem habe der Angreifer auch Zugang zu den über den Sucher übertragenen Live-Bilder. Somit lasse sich die Canon EOS-1D X als Überwachungsgerät nutzen.

Pwned per PTP/IP 

eye home zur Startseite
ursfoum14 17. Mär 2013

Es ist mir neu, dass das inzwischen doch geht. Habe ich einen Trend zu einem sicheren...

motzerator 17. Mär 2013

Die Frage ist ja, ob der WLAN DDOS auch funktioniert wenn das deaktiviert ist :)

posix 17. Mär 2013

Cloud is an sich nichtmal problematisch, doch aus Sicherheitsgründen würde ich alles was...




Anzeige

Stellenmarkt
  1. Groz-Beckert KG, Albstadt
  2. Weischer.Regio GmbH & Co. KG, Hamburg
  3. Deutsche Hypothekenbank AG, Hannover
  4. Bechtle Onsite Services GmbH, Stuttgart


Anzeige
Top-Angebote
  1. (heute u. a. Seagate 2-TB-HDD extern 56€, Samsung Galaxy S8 661,00€, Samsung 55 Zoll Curved TV...
  2. (u. a. Playstation VR 299,90€, €iPhone SE 32 GB für 303,00€, Intenso externe 4-TB-HDD für...
  3. Xbox One S - Alle 500 GB Bundles stark reduziert, z. B. Xbox One S inkl. Forza Horizon 3 nur 179...

Folgen Sie uns
       


  1. Bake in Space

    Bloß keine Krümel auf der ISS

  2. Sicherheitslücke

    Fortinet vergisst, Admin-Passwort zu prüfen

  3. Angry Birds

    Rovio verbucht Quartalsverlust nach Börsenstart

  4. Erneuerbare Energien

    Tesla baut in drei Monaten einen Netzspeicher in Australien

  5. Netzwerkdurchsetzungsgesetz

    Zweites Löschzentrum von Facebook startet in Essen

  6. Raumfahrtpionier

    Der Mann, der lange vor SpaceX günstige Raketen entwickelte

  7. Auch Italien

    Amazon-Streik am Black Friday an sechs Standorten

  8. Urteil

    Winsim-Preiserhöhung von Drillisch ist hinfällig

  9. Automatisierung

    Hillary Clinton warnt vor den Folgen künstlicher Intelligenz

  10. Gutachten

    Quote für E-Autos und Stop der Diesel-Subventionen gefordert



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Gaming-Smartphone im Test: Man muss kein Gamer sein, um das Razer Phone zu mögen
Gaming-Smartphone im Test
Man muss kein Gamer sein, um das Razer Phone zu mögen
  1. Razer Phone im Hands on Razers 120-Hertz-Smartphone für Gamer kostet 750 Euro
  2. Kiyo und Seiren X Razer bringt Ringlicht-Webcam für Streamer
  3. Razer-CEO Tan Gaming-Gerät für mobile Spiele soll noch dieses Jahr kommen

Firefox 57: Viel mehr als nur ein Quäntchen schneller
Firefox 57
Viel mehr als nur ein Quäntchen schneller
  1. Mozilla Wenn Experimente besser sind als Produkte
  2. Firefox 57 Firebug wird nicht mehr weiterentwickelt
  3. Mozilla Firefox 56 macht Hintergrund-Tabs stumm

Fire TV (2017) im Test: Das Streaminggerät, das kaum einer braucht
Fire TV (2017) im Test
Das Streaminggerät, das kaum einer braucht
  1. Neuer Fire TV Amazons Streaming-Gerät bietet HDR für 80 Euro
  2. Streaming Update für Fire TV bringt Lupenfunktion
  3. Streaming Amazon will Fire TV und Echo Dot vereinen

  1. Re: Grundeinkommen

    III | 12:31

  2. Re: Systemupdates unter Windows

    gadthrawn | 12:30

  3. Re: nicht krümelnde Brötchen liebe ich...

    Killerkeks | 12:27

  4. Re: In einer so Fortgeschrittenen Gesellschaft...

    C4landra | 12:26

  5. Re: Wieviel haette man gespart

    gadthrawn | 12:26


  1. 12:00

  2. 11:47

  3. 11:25

  4. 10:56

  5. 10:40

  6. 10:28

  7. 10:27

  8. 10:03


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel