cámaras de seguridad
En la actualidad, tanto los gobiernos como las fuerzas de seguridad dependen de las redes de cámaras de vigilancia para monitorear las áreas urbanas más densamente pobladas. La ciudad de Londres es un ejemplo claro de “vigilancia urbana”. En esta metrópoli, hay una cámara de seguridad por cada 11 residentes. Una realidad bastante irónica, si se tiene en cuenta la profética novela de George Orwell 1984, publicada hace más de 65 años.
No es sorprendente que muchas de estas cámaras, en Londres y en otros lugares, estén conectadas a Internet de forma inalámbrica para ser controladas a distancia por la policía. Muchas de estas conexiones no son seguras. Como resultado, a pesar de que estas cámaras están destinadas a combatir la delincuencia, los criminales no sólo tienen la capacidad de controlarlas, sino que también pueden inyectar código en sus redes, proporcionando material falso o neutralizando completamente los sistemas.
Vasilios Hioureas, analista de malware de Kaspersky Lab, contó que una vez se subió a una gran fuente en un lugar público y se encontró con un altavoz que le decía amablemente pero con firmeza que salga inmediatamente de allí. La voz, por supuesto, había sido alertada a través de las imágenes de las cámaras de vigilancia. A partir de entonces, Hioureas emprendió una investigación para determinar la postura de seguridad de las cámaras desplegadas en ciudades de todo el mundo. Sus hallazgos fueron en igual medida preocupantes y alentadores.
Hioureas viajó por una ciudad sin nombre, examinando los equipos utilizados en las infraestructuras de cámaras de vigilancia. Gran parte de lo que encontró se puede resumir en la siguiente imagen, que representa un nodo dentro de un sistema de cámaras de seguridad más amplio:
Muchas de las configuraciones, muestran los nombres y números de modelo de los equipos desplegados en toda la red. Esto hizo que fuera fácil para Hioureas y su colega investigador Thomas Kinsey recrear esta red en un entorno de laboratorio. Todo lo que tenían que hacer era conectarse a Internet y echar un vistazo a las especificaciones de los distintos equipos utilizados, encontrar algunas vulnerabilidades conocidas públicamente y sus respectivos exploits y, listo, ya podían hackear fácilmente los equipos.
Para ser claros, ellos no hackearon el sistema de vigilancia en el mundo real, sino que analizaron sus protocolos de hardware y sus comunicaciones y construyeron un modelo a escala
Para ser claros, ellos no hackearon el sistema de vigilancia del mundo real; lo que hicieron fue analizar el hardware y los protocolos de comunicación y construyeron un modelo a escala. También, echaron un vistazo a los paquetes de datos que pasaban a través de la red inalámbrica y descubrieron que éstos no estaban encriptados.
En otras palabras: fueron capaces de ver todos los datos en la red – en este caso, secuencias de video y otros datos de comunicación – en texto plano.
¿La buena noticia? La dupla de investigadores determinó que el equipo contenía controles de seguridad sólidos. La mala es que los controles no estaban siendo usados en entornos reales.
En las redes domésticas, los dispositivos que se conectan a Internet lo hacen entre sí a través de un router. Cualquier dispositivo conectado al router podría potencialmente engañar a otros dispositivos haciéndose pasar por él y controlar o cambiar los datos mediante la realización de lo que llamamos un ataque man-in-the-middle.
El examen de la red de cámaras de vigilancia que hicieron Hioureas y Kinsey fue más complicado que el de una red doméstica, debido a los datos viajaban distancias más largas. En pocas palabras: el tráfico de la red de vigilancia viaja desde cualquier cámara por medio de una serie de nodos que eventualmente conducen de nuevo a un concentrador, que llamaremos “la estación policial”. El tráfico siguió una especie de camino de menor resistencia en el que cada nodo (o cámara) pudo comunicarse con varios otros y elegir, así, el camino más fácil hacia la estación.
Muchos sistemas de #vigilancia son pobres en cuanto a #seguridad, según una investigación de Kaspersky
Tweet
Hioureas y Kinsey construyeron una serie de nodos falsos que pretendían ofrecer una línea directa de comunicación con una estación de policía simulada. Dado que conocían todos los protocolos utilizados en la red, fueron capaces de crear nodo man-in-the-middle que parecía ofrecer menor resistencia, haciendo que los reales transmitieran su tráfico a través de los nodos dañinos que ellos mismos establecieron.
Who is to blame for “hacked” private cameras? https://t.co/WItQAZKAbU #security #webcams pic.twitter.com/k7LcRXH6vX
— Kaspersky (@kaspersky) November 21, 2014
La consecuencia de este ataque se parece a una escena de Hollywood, donde los cibercriminales falsifican la locación de la estación de policía, lo que genera un aparente incidente que requiere una respuesta de emergencia en un solo lugar con el fin de distraer a la policía de lo que pasa cuando, en realidad, ocurre en un lugar distinto.
Más allá de eso, y de los problemas de privacidad asociados, los actores maliciosos podrían seguir a las personas, monitoreando la información de vigilancia o encaminando el tráfico a una estación de falsificación, y provocando que la policía no reciba ningún material de archivo real.
Los investigadores alcanzaron al equipo de soporte técnico de la red sobre la que moldearon su experimento y están trabajando para arreglar sus problemas de seguridad. Del mismo modo, los sistemas situados deben implementar la encriptación WPA protegida con una contraseña fuerte en sus redes, retirar la etiqueta del producto para que sea difícil determinar los modelos específicos y encriptar imágenes de vídeo mientras se mueven de las cámaras de la estación policial.
Traducido por: Guillermo Vidal Quinteiro y Maximiliano De Benedetto
Consejos