Подтверждено наличие «задней дверцы» в камерах видеонаблюдения Hikvision

Группа реагирования на киберугрозы ICS-SERT при Департаменте внутренней безопасности США опубликовала официальное предупреждение об уязвимостях, найденных в обширном списке IP-камер китайской компании.

Как уже сообщалось в материале информационного агентства «Безопасность Сегодня», в начале марта этого года один из резидентов ресурса ipcаmtalk сообщил о найденной им уязвимости в ряде моделей оборудования указанной марки. Группа ICS-SERT, ссылаясь на скрытого под псевдонимом хакера, подтвердила наличие «задней дверцы», позволяющей злоумышленнику даже с начальным уровнем компьютерной грамотности получать дистанционный доступ к устройствам Hikvision и перехватывать права администрирования ими. Помимо этого, американские борцы с хакерами подтвердили предположение о том, что пароли доступа к оборудованию многострадального бренда хранятся в файлах конфигурации в незашифрованном виде.

Реакция производителя на первичную публикацию данных о найденной уязвимости, описанная во второй части статьи «Сюрпризы китайских прошивок», свелась к рекомендациям обновить прошивки более чем двух сотен моделей оборудования. Принимая во внимание объёмы производства камер, исчисляющиеся десятками миллионов, ресурс IРVM оценивает количество поставленных под угрозу устройств в несколько миллионов единиц. При этом практически все камеры, приобретённые в обход официальной дилерской сети, перепрошить заведомо не удастся, и они останутся незащищёнными на неопределённый срок.

На официальную публикацию от 4 мая китайская компания немедленно отреагировала новой рассылкой. Цитируем дословно: «Компания Hikvision считает за честь работать совместно с Национальным центром кибербезопасности и интеграции коммуникаций Департамента внутренней безопасности США, прилагая все усилия к распространению лучших практик информационной безопасности». О том, собирается ли производитель устранять уязвимость с открытым хранением пароля, и когда именно это произойдёт, информации не поступало.

Интересно, что в англоязычном пресс-релизе Hikvision от 5 января 2017 года от имени компании говорится буквально следующее: «Компания Hikvision никогда не имела, не имеет и не будет иметь отношения к намеренному оставлению «бэкдоров» в своих продуктах.» Иными словами, за все «задние дверцы», что уже обнаружены, проверяются в данный момент и будут найдены в будущем, производитель ответственности не несёт. Пользователям продуктов этой компании остаётся лишь посочувствовать.