Policejní kamery jsou téměř nezabezpečené proti útokům hackerů
17.8.2018, Milan Šurkala, aktualita
Na letošní hackerské konferenci DefCon se objevilo i téma policejních kamer, které mají policisté na těle a zaznamenávají jejich akci. Zjistilo se, že zabezpečení dat je nejenže nedostatečné, je doslova tragické.
Záznamy z policejních kamer, které mají policisté na těle, jsou nezřídka používány jako důkazy. Problémem však je, že se těmto záznamům nedá moc věřit. Jak totiž prezentoval bezpečnostní konzultant Josh Mitchell, zabezpečení dat těchto kamer je naprosto tragické. Výrobci si s bezpečností vůbec nelámou hlavu a v mnoha případech to už snad ani nemůže být horší. Vyzkoušel totiž kamery pěti výrobců (Vievu, Patrol Eyes, Fire Cam, Digital Ally a CeeSc) a u všech našel různě závažné nedostatky, nejlépe vyšla asi ta od Digital Ally. Smazat záznamy, upravit metadata (např. čas a místo pořízení) nebo vzdáleně sledovat policii, to vše se ukázalo být překvapivě snadným úkolem.
autor: North Charleston [CC BY-SA 2.0 (https://creativecommons.org/licenses/by-sa/2.0/)], přes Flickr
Naprosto žádná z kamer tak např. nešifrovala data a ani nijak nekontrolovala, zda nedošlo k nějaké změně dat. Poněvadž videosekvence nejsou digitálně podepsány a není použit žádný systém kontroly jejich integrity, hackeři sem klidně mohou nahrát jiné video z jiné kamery, aniž by si někdo všiml, že sem nepatří. S výjimkou modelu od CeeSc mají všechny kamerky Wi-Fi připojení, které opět není nijak výrazněji chráněno a Mitchellovi se tak dařilo pomocí bezdrátového připojení monitorovat pohyb policistů. Kamera Vievu dokonce nabízí funkci Wi-Fi hotspotu a opět bylo až nebývale jednoduché se na něj připojit a video dokonce i streamovat.
Díky snadnosti přístupu není ani problém na kamery nainstalovat nějaký malware. Jedno ze zařízení mělo dokonce úplně otevřený root přístup přes telnet bez jakéhokoli hesla. Pomocí FTP se tak v podstatě bez jakéhokoli náročnějšího hackování dala mazat nebo nahrazovat videa. Další ze zařízení sice chránilo soubory heslem, ale to mělo stejnou podobu, jako byl název souboru.
