SpotCam IP-camera gehackt

IP-camera’s zijn een handige toevoeging in een beveiligingsinstallatie. Immers: je wilt de persoon die zonder toestemming je pand binnenkomt het liefst in volle glorie op beeld. Nu is er veel keuze in camera’s. Niet alleen op gebied van merk, maar ook op gebied van functies, services én … geld. Wij bekijken hier een wifi ip-camera van het merk SpotCam. Deze camera werkt via een cloudservice en is bedoeld voor mensen die gemakkelijk beelden willen bekijken vanuit de cloud. Geen gehannes met opslagsystemen.

Eén van de belangrijkste dingen bij een beveiligingsinstallatie is: veiligheid. Dat klinkt gek… maar we bedoelen hier dat het securitysysteem geen datalekjes heeft, of gemakkelijk te hacken is. Daarom zijn we in principe al niet voor wifi-camera’s. Wifi is gewoon niet heel veilig. Als we deze Spotcam installeren, gaan we dus eerst kijken hoe veilig deze is. En helaas: al snel komen we erachter dat deze camera op alle vlakken gewoon zo lek als een mandje is. Laten we dat eens toelichten.

Web interface

We proberen in eerste instantie in te loggen op de camera. We zoeken het adres in de dhcp-server en tikken dit adres vervolgens in. Nu krijgen we een ‘geen toegang’-scherm, maar als we vervolgens naar de ‘root’ van de webserver gaan, kunnen we daar gewoon in. Zonder username of wachtwoord. Ai… dat is niet goed. Als we vervolgens een paar pagina’s openen, zien we dat dit gewoon kan. Onversleuteld… We kunnen zo kinderlijk eenvoudig alle wifi-netwerken zien én zelfs de wachtwoorden achterhalen. Dat is niet goed.

Streams en foto’s

Nu is het bovenstaande al een serieuze veiligheidslek en reden om deze camera niet aan te schaffen. Het stopt hier echter niet.

Als we even de broncode van de my-spotcam website ingaan, zien we een link naar een foto. Dat maakt ons nieuwsgierig. We kopieren en plakken de link en waarempel: we zien een foto van de ruimte waar de camera staat. Geen wachtwoord nodig. Ai… dus niet beveiligd. En dus kan iedereen met een beetje programmeerkennis gewoon deze beelden opvissen.

Maar ook hier stopt het niet. We kunnen gewoon een stream starten. Als we het ip-adres invoeren in VLC start zonder mokken een live-stream. Kortom: weer een grote lek.

Hoe gevaarlijk is dit?

De vraag is: hoe gevaarlijk is dit? Het antwoord: heel gevaarlijk. In theorie kan iedereen deze camera hacken. Wie bijvoorbeeld een Pineapple Tetra heeft, kan het netwerk waarop de SpotCam is aangesloten nabootsen. Vervolgens is het af te dwingen dat de SpotCam met het nieuwe netwerk verbindt. U hebt nu dus direct toegang tot de camera en álle data: wifi, streams, foto’s… Zo gevaarlijk is het.

Advies

Ons advies is om IP-camera’s altijd met een kabel te verbinden. Op die manier is het al een stuk lastiger om een camera over te nemen van buitenaf. Immers: er is fysiek toegang nodig.

Daarnaast is het altijd aan te raden om van een degelijk, vertrouwd merk aan te schaffen. Zeker met beveiligingsapparatuur.