監視カメラに不正アクセス-キヤノン製、60台以上被害……キヤノン云々の前に……: なんとなく綴ってみた

2018年05月07日

監視カメラに不正アクセス-キヤノン製、60台以上被害……キヤノン云々の前に……

共同通信社（47NEWS）の記事である。キヤノン製だから脆弱性攻撃なのか？とおもったが、記事を読む限りは、そうではなく単にデフォルトパスワード攻撃であった。

何故、未だにパスワードがデフォルトなのか？の方が問題であり、CANON製だからではないだろう。こういう記事は、もう少し、セキュリティを学んだ人が書かないとダメだろう。まあ、メーカーも考えなければならない点があるのは確かだが……古い機種だと難しい。ユーザーの対策不足をメーカー側のせいのように免責させては対応はどんどん後手に回るのだから。もちろん、メーカーが脆弱性を隠していたとか、そういう事実があれば別だろうが、そういう記事ではない辺り、記事を書いた本人がそれを分かっていないのだろう。
https://this.kiji.is/365958155265655905?c=39546741839462401

＜デフォルトクラック（ハック>の基本＞

何故、同じメーカーが狙われやすいのか？その実態は、その製品に応答確認を行う際の管理画面の差にある。
例えば、以下はNECのAtermルータ製品のログインだが、ログインにAtermと表示が出る。それがどうしたと思うかもしれないが、これで、ハードウェアメーカーはNEC製品であると分かる。Atermのデフォルトパスワードリストを探して、それを使って攻撃すれば攻撃が成立する可能性が出てくる。

最近のNEC製品は、最初にパスワードの変更を求められるので、デフォルトで使う人はいないが、古い機種だと、デフォルトが設定されている製品もあった。

これがどういう意味を持つのかというと、簡単に言えばロボット攻撃やロボットによるリスト作成が出来るということを意味する。自動でネットワーク上の無作為なアドレスに対して、ping等によるアドレス確定を行い、アドレスがある場合、そこにtelnetやHTTP、ftpなどでアクセスする。

すると、何らかのメッセージが返ってくる。その際に、製品名やメーカーに関する情報が含まれていれば、それに照らした、パスワードリストを使い攻撃を掛けて乗っ取る。

やろうと思えば、攻撃者がパスワードを変更することも可能だろうし、上記の記事のように動作に割り込みを行うことも出来る。

どうせここのカメラは触られたところで、作業員ぐらいしか映らないなどと高をくくると、結果的にカメラそのもののファームがカメラとしての機能を失うように改変されても、文句は言えなくなる。

だから、購入後に真っ先に行うべきはパスワードを難読なもの（十二文字以上、英数字、大文字小文字、特殊文字が使えるなら特殊文字を加える）に変更する必要がある。また、それを管理していた人間が、退職などで離れるときには、次の担当者がまずパスワードを変更するという作業も忘れてはいけない。