カテゴリー: ネットワーク設定

IPカメラ、DVR（録画機）の脆弱性（セキュリティ）チェック方法2

TBK DVR4104、 DVR4216という種類のDVRについて2018年4月に報告された脆弱性

このDVRはOEMでいろんな会社のブランド名をつけて売られていて、現段階で有名どころは下記

Novo
CeNova
QSee
Pulnix
XVR 5 in 1 ←日本の会社の名前にリブランド見たことあり
Securus
Night OWL
DVR Login ←日本の会社の名前にリブランド見たことあり
HVR Login
MDVR Login

【脆弱性の確認方法】
まず、Macなどでターミナルを立ち上げる。
Windowsの場合にはteratermなどでOK

下記のコマンドをIPアドレスの箇所とポート番号だけ直して打ち込んでください。
例：192.168.1.10：80　（DVRのIPアドレスを192.168.1.10、公開しているポート番号を80にしている場合）

$> curl "http://192.168.***.***:ポート番号/device.rsp?opt=user&cmd=list" -H "Cookie: uid=admin"

もし、脆弱性のある機器であった場合、上記コマンドを実行するとjsonが返ってきて、
その中に下記のようなadminのパスワードが記載されています。

“uid”:”admin“,”pwd”:”パスワード”

パスワードをはいてしまうので、これでシステムにログインが可能になってしまうという脆弱性になります。

IPカメラ、DVR（録画機）の脆弱性（セキュリティ）チェック方法１

現在も販売されているのを見かけますが、特に2016年以前に販売されていたIPカメラ、
DVRには乗っ取られる(rootを取られる)非常に重大な脆弱性がある場合があります。

知らない間に、DDOS攻撃や犯罪のプロキシサーバーに利用されたりと

犯罪行為に加担してしまう可能性があるので、かなり深刻です。

内容については2016年、2017年に報道されてはいましたが、未だにその脆弱性がある防犯カメラ、DVRが一部の業者によって楽天やamazon、ヤフーショッピングなどで販売、流通しているようなので、下記の方法で確認してみてください。

使用している方も是非、この機会に確認してみてください。

ちなみに下記の写真のような画面の場合には、該当の可能性が非常に高いです。
問題のメーカーがリコール発表してから２年以上経っていることから、未だにそのDVRを販売しているような業者には要注意。

危険なDVRに多いGUIデザイン
中国XM社が作った深刻な脆弱性があったソフトウェア（CMS）が使われているDVRの管理画面

【脆弱性の確認方法】
まず、Macなどでターミナルを立ち上げる。
Windowsの場合にはteratermなどでOK

下記のコマンドをIPアドレスの箇所だけ直して打ち込んでください。
“telnet IPアドレス”　と打つだけなので簡単！

$ telnet 192.168.***.***（DVRのIPアドレス）
Trying 192.168.***.***...
Connected to 192.168.***.***.
Escape character is '^]'.
LocalHost login: root
Password:

ユーザー名に「root」
パスワードに「xc3511」

と入力してログインできてしまったらアウトです。

ログイン後に試しにlsコマンド打ってみた結果は下記のような感じになりました。

Welcome to Monitor Tech.
# ls
bin      etc      linuxrc  proc     share    usr
boot     home     mnt      root     slv      var
dev      lib      opt      sbin     sys

この脆弱性をわざわざ取り上げたのは、「直せない」脆弱性だからです。
理由は、ハードウェアにハードコーディングされているため

書き換える事が出来ません。
つまり、アップデートなどでの対処は不可能になります。

このようなDVR, IPカメラだった場合、保証期間内であれば
すぐにご購入の店鋪にクレームして交換してもらいましょう。
とはいっても、同じ脆弱性のDVRに交換しても意味がないので、
脆弱性が改善されたものか確認して交換してもらいましょう。

操作画面のデザイン（GUI）が同じだと、業者によっては
何も改善されていない同じものの可能性があります。

特にこの事を話してもはぐらかしてくる業者の場合に諦めざるをえない場合もあるでしょう。

そのような交換出来なかった場合、ルーターでポートを閉じる対策をし、
くれぐれも直接インターネットに繋ぐようなことは辞めましょう。

余裕のある方はVPNルーターを使用して、VPNでアクセスするなどの対策をとるとなおよしです。

よくわからないよという方は、インターネットとの接続を遮断してLANのみで利用するようにしましょう。
（一番安全です）

そうしないと、Miraiなどのウイルスに乗っ取られ
自分達の映像がダダ流れという事よりも、ボットネットを構成しDDOSなどの犯罪行為に加担する可能性があるので
脆弱性がわかった場合には、必ず何かしらの対応をとってください。

インターネットに繋げるという事は必ずリスクが伴います。
また、私も商品を作っている身なのでよくわかりますが、インターネットに繋げて利用する機器には
必ず何かしらの脆弱性が発生してしまいます。

それは、ユーザーにとっては便利な機能である場合もあります。
（ワンタッチで接続設定ができる！などのプラグ＆プレイ（PnP）機能が良い例です）

100％安全なものなんてないのです。

そういうものと想定して、便利さを享受できるよう知識をつけて対策をとっていけば
そこまで気にする問題にはなりませんので、ちょっと一手間対策をするようにしましょう。

上記の画面デザイン（GUI）のソフトウェア（CMS)は中国の大手セキュリティソフト会社の
XM社（Hangzhou Xiongmai Technology Co.,LTD.）が作ったものになります。

下記のようなデザインの格安中華DVR等にインストールされている事が多いので、
自分が使用しているDVRでデザインが似ていたら上記の脆弱性チェックをしてみるのをお勧めします。
（下記デザインの筐体は廉価版としてよく使われるもののため、中身の基板もそのようなものが使われることが多い）

下記の防犯カメラ録画機が、上記の脆弱性により日本国内で犯罪に加担していたということが、
2017年11月26日NHKスペシャル「あなたの家電が狙われている ～インターネットの新たな脅威～」
の回でも放送されていたので、オンデマンド等で番組を見れる方は、自分のものと違うか確認してみてください。

危険な脆弱性があるDVR

楽天やYahoo!ショッピング等で売られている「日本製」防犯カメラには騙されないで！

２～３年前くらいから楽天やYahoo!ショッピングで急に増えてきた
「日本製」
と銘を打った防犯カメラ達。

詳しい方であれば、すぐにこれが嘘であることはすぐにわかります。

楽天やYahoo!ショッピングで売られているものは、ほとんどが一般家庭で使用することを想定された
いわゆる民生用の防犯カメラ、録画機（ＤＶＲ）になります。

これらの構成材料にあたる電子基板であったりチップ（CPUやメモリ）等、ソフトウェアまでほぼ全てが
中国産　Made in CHINA
であるからです。

販売業者に聞けば、おそらく
輸入後に検査を日本で行ったから（実際はしてないけど）日本製なんだよ！
とか
組立は日本でやったから日本製なんだよ！
とかいろいろと理由つけて言い返してくるでしょうが、
原産地については下記のような国際的なルールがあります。
（輸出入やってる方ならHSコードは聞いたことあるよね！）

日本産商品の判断基準：
原産地証明書における物品の原産国が「JAPAN」であることの判断基準は、主に1,2のいずれかです。

1.日本で獲れる鉱物資源や動植物、魚介類（完全生産品）
2.日本において、産品の関税番号（HSコード）上4桁が、その材料のHSコード上４桁から変わる加工又は製造が行われたことにより、実質的な変更（加工・製造）を満たす産品であること。

東京商工会議所　原産国の判定基準
https://www.tokyo-cci.or.jp/shomei/preparation/country_of_origin/

経済産業省
http://www.meti.go.jp/policy/external_economy/trade_control/boekikanri/gensanchi/qa.html#q-18

ちなみに虚偽で日本製を語って販売した場合
景品表示法違反
なので、れっきとした犯罪です。

ですが、ここで一番いいたいのは
消費者に騙されないようにしてほしい、それがサイバー犯罪に加担することを防げるから
ということです。

このようにして販売されている商品は虚偽表示をしてでも売ろうということですから
販売者（販売企業）の遵法意識や顧客への意識やネットワークに対する知識は低いでしょう。

なので、すでに脆弱性が指摘されているものを販売することもあるでしょうし、
顧客も日本製という意味不明な安心感でセキュリティを徹底しないリスクもあるかもしれません。

現在の防犯カメラやネットワークカメラ、ベビーカメラなどはインターネットと繋がる機能を有しているため
ハッキングされて機械が乗っ取られるとサイバー犯罪に使われる可能性が非常に高いです。

これについてはニュースでもしばしば取り上げられているので知っている方もいるかとは思います。
もし、ご自分のDVRやネットワークカメラが乗っ取られていて、犯罪に利用されていて、突然警察が来たらどうしますか？

このような事を防ぐためにも、日本製と表示している数万円の防犯カメラ、録画機には注意してください。
本当に国際的なルールに乗っ取った日本製であれば、そもそも数万円で防犯カメラの録画機（DVR)は作れません。
（Raspberry pi使った簡易的な防犯カメラみたいなのは除く）

それでは、防犯カメラを導入しようとしている方は気を付けてくださいねー！
（防犯しようとして映像ダダ漏れで、サイバー犯罪加担していたら防犯しないほうがましになってしまう。。。）

DVRやＩＰカメラにネットからアクセスしたいがDDNS機能がないとき、使えない時

防犯カメラの録画機であるＤＶＲ（NVRやXVRとも呼ぶ）やＩＰカメラには
ほとんど全てといっていいほど、インターネットからのアクセス機能がついています。

外部からＤＶＲに接続する設定方法には、
UPnP(ユニバーサルプラグアンドプレイ）やDDNSが代表格になるかと思います。

ですが本ブログでも何度か言っていますが、セキュリティが良くわからない場合には
UPnPは使用しない事をお勧めします。
楽天やYahoo!,Amazon等で販売されている中華DVRの場合には絶対に使用しないことを強くお勧めします。
（業務用以外の日本市場で販売されている民生用DVRはほぼ全て中華DVRです）

よくあるのが
「QRコードが表示されて、ここにアクセスして少し設定するだけで簡単アクセス！」
的なふれこみがされているものになります。

このUPnPはポートマッピングを行って、ルーターのNAT越えをしP2P通信をしたり、
中国にあるDNSサーバーにアクセスすることで通信を確立させます。

確かにネットワークがわからない方にとっては、特に何も設定をしなくても
インターネット経由（アプリ等）で簡単に見られるようになるので、
知らずしらずに利用している方は多いようです。

ですが、

「カメラの画像が誰でもみられるようになっていたり」、

「機器自体が容易に乗っ取られて、他サーバーを攻撃していた」

という事も多々発生しております。

なので、まだDDNSとルーターの組み合わせのほうが比較的安全なので、
外部からアクセスして映像を見たい方は
DDNSの設定をしてみてはいかがでしょうか？
（ルーターのポートフォワーディング設定もしっかり行いましょう！！）

ただ、DDNSはDVR設置されている箇所のIPアドレスとURLを紐づけるため
インターネット経由で誰でも、DVRまでアクセスが可能です。

なので、できればVPN経由でしかアクセスできないようにしましょう。
最近VPN付のルーターの価格が数千円で買えるようになってきたため
できればVPN機能付きのルーターを使い、VPNでアクセスする設定しましょう。
※VPNルータと言っても民生用（tp-link等）は脆弱性が指摘されているため１００％安全というわけではありません
ただ、しないよりはだいぶマシです。

で、ここからが本題なのですが、タイトルにあるように
DDNSが自由に設定ができないDVRやIPカメラが売られている場合があります。

特に、アマゾンや楽天等で売られている格安モデルには、
DDNS欄によく知らない会社のドメインが指定されていて、
自分が使いたいDDNSサービス会社のドメインを指定できない場合があります。

つまり、使用できるDDNSサービス会社を限定されている場合です。

こういう場合お手上げかというと、そうでもありません。

バッファローやコレガ、エレコムなどがルーターという機器をだしておりますが
おそらくほぼ全てのご家庭で使用しているかと思います。
「えっ、使っていない！」
と思った方でも、ご家庭では無線ＬＡＮを使用していれば、
それが”ルーター”になります。（ＡＰ機能だけのものもありますが、その場合親ルーターがどこかにあるはず）

そのルーターに、DDNS機能が搭載されている機種が多くあります。
「ルーターのDDNS設定の箇所にDDNSサービス会社から指定されたご自分のURL、ユーザー名、パスワードを設定する」
だけでルーターが一定時間毎に自分のグローバルＩＰをDDNSサービス会社のDNSに通知するので、
DDNSアドレスにアクセスするだけで、そのルーターのあるネットワークにアクセスできるようになります。
（ルーターにDVRへのポートフォワーディング設定もしないと外部からは映像を見られません！）

これで、せっかく買ったIPカメラやDVRでDDNSが使えなくても、
ルーターのDDNS機能を使うことで外部から見る事ができるようになります。

防犯カメラ録画機DVRのネットワーク設定について　（インターネット接続しての遠隔監視）

DVRやNVRと言われる防犯カメラ録画機やIPカメラは
インターネットに接続して遠隔監視ができるものが多数販売されております。

弊社でも

顔認識ができるDVR（IPカメラとアナログカメラ両対応なので正しくはNVR)、

IPカメラ（PTZタイプや固定型タイプ）

を販売しており、これらはインターネットに接続して遠隔監視が可能です。

↓顔検出機能付DVR

↓IPカメラ

さて、これらで気を付けなければいけないのが、セキュリティです。

下記のNHKスペシャルでも放送されていましたが、家庭用防犯カメラ録画機(DVR)が乗っ取られて、

サイバー攻撃に加担していたという事が実際に起きています。

2017年にIoT機器を大量に乗っ取った「MIRAI」事件が有名ですね。

NHKスペシャル

あなたの家電が狙われている
～インターネットの新たな脅威～

2017年11月26日(日) 
午後9時00分～9時49分

http://www6.nhk.or.jp/special/detail/index.html?aid=20171126

 

まず、必ずルーターを設置⇒設定するようにしましょう。

DVRやIPカメラをダイレクトにモデムに繋ぎインターネット上にさらすことをしてはいけません。

もしくはルーターのDMZ設定で事実上インターネットに直接さらすような事は避けましょう。

 

インターネット経由での遠隔監視の設定手順

1.  インターネットから防犯カメラにアクセスできるようにルーターにポート開放設定（ポートフォワーディング）を行う

※家庭用ブロードバンドルーターを使用する事を前提にしています。企業向けルーターにはセキュリティ上好ましくないためポートフォワード機能が無い場合があります。

2. 開放するポート（例：7000番ポート）を開ける

※必要のないポートを開けないようにしましょう。必要のないポートは全て閉じられているか確認しましょう。

 

3. 開放した7000番ポート⇒LAN内の防犯カメラIPアドレス及び映像用ポート宛のポートフォワーディング設定

をルーターに行う

WAN側：ポート番号7000　⇒　LAN側：192.168.0.123（IPアドレス）：9000（ポート番号）

というような感じです。

これは、例えばDDNSサービス企業からドメイン名を取得していたと仮定して、

そのアドレスがipcamera.no-ip.comとすると、ブラウザアクセスする際には下記になります。

http://ipcamera.no-ip.com:7000

:7000というように書いてルーターのWAN側ポート番号を指定します。

そうするとルーターは、

ポート番号7000　⇒　LAN側：192.168.0.123（IPアドレス）：9000（ポート番号）

へと転送します。

 

5. スマホアプリ用のポートフォワーディング設定を行う（必要がある場合のみ）

DVRによってはスマホアプリで遠隔監視する場合に、別のポートにアクセスする必要がある場合があります。

例えばスマホアプリ向けに

DVR(もしくはIPカメラ）：192.168.0.123（IPアドレス）：5000（ポート番号）

にアクセスする必要がある場合、ルーターに下記ポートフォワーディング設定を追加します。

ポート番号5000　⇒　LAN側：192.168.0.123（IPアドレス）：5000（ポート番号）

※さきほどのポート番号7000と同じでWAN側の開放ポート番号は何でもいいです。

 

ルーターは全てのポートを閉じている状態が最も安全です。

ですので、今回のようにポートを開放するという事はセキュリティに穴を空ける事になります。

なので、明けたポート経由で防犯カメラが乗っ取られてしまった場合、

同じLANに接続するサーバーやコンピューターにアクセスし、データを外部に流すことも可能になります。

また、MIRAIのように踏み台として使われ、勝手に外部サーバーに大量のアクセスを行うことも可能になります。

 

このようなリスクをどのように防ぐか？

安上がりな家庭用ブロードバンドルーターでも対応できるのか？

簡単な対応方法に下記３点を例に挙げておきます

 

①ルーターの２重（２個）化

モデム

↓

第１ネットワーク（ルーター１：192.168.1.0）⇒防犯カメラ（192.168.1.1）

↓

第２ネットワーク（ルーター２：WAN側192.168.1.2、LAN側192.168.2.0）⇒その他パソコン達（192.168.2.1）

というような二つのネットワーク構成にすれば、防犯カメラから第２ネットワークにはアクセスできないので、

第２ネットワークのパソコン達にももちろんアクセスできません。

これで、防犯カメラが乗っ取られても、LAN内のサーバーやPCへ被害が出ることは防げます。

ですが、ネットワーク内部から外部へのアクセス（アウトバウンド）を禁止しているわけではないため、MIRAIのように踏み台として使われる事を防ぐ事はできません。

 

企業でネットアクセス可能なDVRやIPカメラを利用する場合で、

家庭用ブロードバンドルーターを使用する場合には、上記のような２重ルーター設定にする事をお勧めします。

ただし、二重にすることで内部ネットワーク速度が遅くなるので、その点はご注意ください。

 

②指定したIPアドレス以外からのアクセスは拒否する「アクセス制限をかける」

これは、文字通り登録したIPアドレスからのアクセスはDVR側が全て拒否する、もしくはルーターが拒否するというもの。

しかし、これを行うには固定IPアドレスを取得する必要があります。

１ヶ月１０００円程度の利用料で取得できますので、企業利用であれば

監視カメラ以外の用途でも固定IPアドレスを取得することがあるかと思うので

利用しやすいかもしれませんね。

ちなみに弊社で販売している顔認識機能付DVRには

IPアドレスによるアクセス制限をする機能がついているので、

簡単にIPアドレスアクセス制限の実現が可能です！

※メインメニュー⇒ネットワーク⇒NetApply⇒IP設定⇒アクセスを許可するIPアドレスを登録（複数可能）

 

IPカメラ等を使う場合にはルーターの設定をしっかり行うようにしましょう。

プラグ&プレイ(UPnP)でのワンタッチ接続などは極力使わないようにし、DDNS等を使うようにしましょう。

※UPnPは自動でポート開放することになります。

 

③マルチセッションでネットワークを分ける

NTT東(西)のフレッツのサービスにある、

「1回線で2セッションの接続先を設定できるマルチセッション」

を利用する。これは１回線で２セッション、つまり２つのプロバイダに同時にPPPoE接続が可能です。

なので、防犯カメラ用のセッション、通常利用するパソコン用のセッションと分ける事が可能です。

ただ、この場合は２つのプロバイダ料金を払わなければなりません。

 

このようネットワークカメラは便利な反面、必ずセキュリティの問題が付いて回ります。

これは、どこの製品であってもインターネットに接続する以上しょうがない問題になります。

これを理解して、安全にネットワークカメラの運用をしていきましょう。