Een door Kaspersky Lab uitgevoerd veiligheidsonderzoek op een werkend stedelijk videobewakingssysteem heeft aangetoond dat netwerken die zijn ontworpen om mensen te helpen beschermen tegen criminelen en terroristen door derden kunnen worden misbruikt voor het misbruiken van gebreken in de systeemconfiguratie.

Het is geen geheim dat politiediensten en overheden al jaren toezicht houden op straten in steden. Beveiligingscamera’s blijken daarbij van onschatbare waarde te zijn in misdaadonderzoek en -preventie. Deze systemen kunnen echter ook op schadelijke wijze worden gebruikt. Dit blijkt uit een onderzoek door Kaspersky Lab-onderzoeker Vasilios Hioureas en Thomas Kinsey van Exigent Systems Inc.

Als onderdeel van hun onderzoek onderzochten de auteurs het videobewakingsnetwerk in een bepaalde stad. De bewakingscamera’s waren verbonden via een mesh network – een type netwerk waarin gegevens (in dit specifieke geval een video feed) naar het regelcentrum worden verstuurd via met elkaar verbonden nodes. In plaats van een wifi-hotspot of bekabelde verbinding te gebruiken, verzenden de nodes in dergelijke netwerken gegevens eenvoudigweg naar de dichtstbijzijnde node, dat het vervolgens via andere nodes doorgeeft tot in het commandocentrum. Als een indringer verbinding weet te maken met slechts één node in het netwerk, kan deze de hierdoor verzonden data manipuleren.

Videosurveillancesystemen op basis van mesh networks zijn in het algemeen een goedkoop alternatief voor surveillancesystemen die ofwel meerdere hotspots vereisen in een stad, of kilometers kabel nodig hebben. De beveiliging van dergelijke netwerken is echter sterk afhankelijk van de opzet van het hele netwerk.

In het door de onderzoekers bekeken geval gebruikte het netwerk van camera’s geen enkele encryptie. Na aanschaf van vergelijkbare apparatuur zoals gebruikt in deze stad, ontdekten onderzoekers van Kaspersky Lab dat voldoende encryptiehulpmiddelen worden verstrekt, maar dat deze in dit geval niet correct werden gebruikt. Als gevolg hiervan werden niet versleutelde data verzonden via het netwerk en waren deze vrij beschikbaar voor iedereen die op het netwerk was aangesloten.

De onderzoekers realiseerden zich snel dat het creëren van hun eigen versie van de in het netwerk gebruikte software voldoende was om de via het netwerk verzonden gegevens te kunnen manipuleren. Na het nabootsen van het netwerk en de software in het lab konden ze de video feeds van elke node onderscheppen en deze ook wijzigen, bijvoorbeeld door de echte video van de camera te vervangen door een nepvideo.

De onderzoekers deelden hun bevindingen afgelopen zomer met het bedrijf dat verantwoordelijk was voor het opzetten van het surveillancenetwerk in de stad. Sindsdien zijn de noodzakelijke aanpassingen uitgevoerd aan het kwetsbare netwerk.

“We hebben dit onderzoek uitgevoerd om te benadrukken dat cyberbeveiliging ook van invloed is op fysieke beveiligingssystemen, in het bijzonder bij kritische publiekssystemen zoals videosurveillance. Bij het bouwen van een ‘smart city’ is het uiterst belangrijk om niet alleen na te denken over het comfort en de energie- en kostenefficiëntie die de nieuwe technologieën met zich meebrengen, maar ook over de cyberbeveiligingskwesties die kunnen optreden. Hoewel de uitkomsten van dit onderzoek afgelopen jaar in augustus werden gepresenteerd, hebben we redenen om aan te nemen dat de bevindingen nog steeds nuttig zijn voor stadsbesturen die van plan zijn om surveillancesystemen op basis van mesh networks te implementeren of deze al hebben geïmplementeerd”, zegt Vasilios Hioureas, Junior Malware Analyst bij Kaspersky Lab en mede-auteur van het onderzoek.

Om beveiligingsproblemen in verband met mesh networks te voorkomen, adviseert Kaspersky Lab de volgende maatregelen te treffen:

• Hoewel hacken nog steeds mogelijk blijft, is Wi-Fi Protected Access met een sterk wachtwoord de minimale vereiste om ervoor te zorgen dat het systeem niet langer een makkelijk doelwit vormt.
• Verborgen SSID’s (openbare namen van een draadloos netwerk) en MAC-filtering (dat gebruikers toestaat om een ??lijst te definiëren van toegestane apparaten op het wifi-netwerk) maakt het misbruiken moeilijker voor minder geoefende hackers.
• Zorg ervoor dat alle labels op apparatuur verborgen en afgesloten zijn, om aanvallers zonder voorkennis af te schrikken.
• Het beveiligen van videogegevens met behulp van public-key cryptografie (cryptografie met een publieke sleutel) maakt het vrijwel onmogelijk om videogegevens te manipuleren.

Het onderzoek werd oorspronkelijk gepresenteerd tijdens DefCon 2014. Het werd gepubliceerd als onderdeel van Kaspersky Labs bijdrage aan de kennisbank van Securing Smart Cities. Dit wereldwijde non-profit initiatief richt zich op het oplossen van bestaande en toekomstige cyberbeveiligingsproblemen van slimme steden. Het wil dit bereiken door middel van een samenwerking tussen bedrijven, overheden, media, non-profit initiatieven en individuen over de hele wereld.

De volledige tekst van het onderzoek is beschikbaar op Securelist.com.