یکی از محققان امنیتی از یک راه نفوذ خطرناک جدید به فضای ابری (Cloud) هایک ویژن خبر داد. این راه نفوذ به مهاجمین اجازه می دهد بصورت ریموت به یک سرور دسترسی و بتواند بر روی داده های حساس کنترل داشته باشد. این در حالی است که این مساله پس از حوادث امنیتی سال 2015 به بعد رخ میدهد و هنوز توسط هایک ویژن درباره آنها توضیحی داده نشده است.
Iraklis Mathipoulos محققی است که خبر از این حفره امنیتی و راه نفوذ خبر داد و این موضوع را به شرکت هایک ویژن هم اطلاع داده است. در این باره وی به سایت IPVM در مورد این موضوعات اشارات مهمی داشته که در این گزارش توسط سی سی تی وی آنلاین ترجمه و در اختیارتان قرار می گیرد.
جزئیات کامل این نفوذ، آنالیز ضعف سرورهای هایک ویژن و نکات مهم امنیتی از این دست برای کاربران دوربینهای مداربسته هایک ویژن بر روی شبکه های داخلی، در این گزارش شرح داده شده است.
نگاه کلی به بحث نفوذپذیری
در پستی از Mathipoulos کاملا تشریح شده که چطور یک نفوذ XXE (XML External Entity) توسط مهاجم با ارسال دستوراتی به یک سرور صورت گرفته است است و توسط یک فایل XML به این شکل دستورالعملها پیش رفته اند. این فایل مشکوک و آلوده XML شامل دستوراتی است که سرور با تجزیه و اجرای دستورات داخل فایل، داده ها را به مهاجم ارسال می نماید.
برای بررسی این حملات، Mathipoulos یک سرور مجازی استفاده کرد تا اطلاعات دریافتی را جمع نماید. با استفاده از یک فایل XML مخرب، همانند یک دوربین مداربسته به سرور درخواست اتصال داده (مثلا با برند Elisa که OEM هایک ویژن است) و سپس فایل XML با Credential همسان با یک دوربین مداربسته به سرور Hikonline.com وصل شده و بصورت یک دوربین مداربسته دیده می شود. اما دستورات درون فایل از سرور هایک ویژن درخواست ارسال محتویات یک فایل را به سرور مجازی خواهد داشت(فایل یا محتویات مسیر /etc/hosts درخواست می شود.).
پاسخی که از سرور hikvision بر می گردد شامل محتویات یک فایل محلی است که در تصویر زیر نوع بازگشت پاسخ را مشاهده می نمایید :
این محقق توضیح داده است که یک مهاجم با استفاده از این راه نفوذ بصورت فزاینده به داده های کاربران که بر روی سرورها ذخیره شده است دست یافته و بصورت یک کاربر “root” می تواند از قابلیتهای سرور استفاده کرده و بطور کامل کنترل سرور را بدست آورد.
در مرحله بعدی این حملات تبدیل به راه دسترسی به دوربینهای مداربسته و به تصاویر ویدئویی ضبط شده بینجامد و یا حتی به حملات گسترده ای مثل هجوم ارتش Botnet های Mirai می شود.
بهره برداری از سرورهای hik-online.com به هکرها امکان نفوذ به آدرسهای IP و پورتهای دوربینهای مدار بسته هایک ویژن متصل به اینترنت را میسر می نماید تا با یک نام کاربری و رمز عبور مقبول براحتی به سرویسها و دوربینهای مدار بسته متصل شوند.
15 روز بی پاسخ
این محقق عنوان کرد هایک ویژن واکنش خوبی به این نفوذها نشان نداد و 15 روز که پس از 3 بار ارسال ایمیل به بخش بازاریابی و PR شرکت هایک ویژن بصورت زیر پاسخ درخوری دریافت نشد :
2016/08/25 : ارسال ایمیل اول به HSRC
2016/08/30 : ارسال دومین میل با ارسال مجدد
2016/09/06 : ارسال جدید به PR و Marketing
Mathipoulos بر روی سرویس امنیتی هایک ویژن هم کامنتی مطابق ریز گذاشت :
قوه پاسخگویی هایک ویژن کند عمل می نماید تا تشخیص بدهند که باید تیم امنیتی مستقلی داشته باشند.
بعد از سری مسائل و مشکلات امنیتی سایبری سال 2015 هایک ویژن بر روی نقش "مرکز پاسخگویی امنیتی هایک ویژن" یا HSRC تاکید داشت اما هیچ یک از ایمیلها پاسخی دریافت نکردند.
حل مشکلات یک روز پس از پاسخگویی هایک ویژن
بخش خوب ماجرا وقتی بود که هایک ویژن مسیر نفوذ را پس از دو روز از ایمیل ارسالی محقق به بخش PR و بازاریابی مسدود و مشکل را برطرف کرد(1 روز پس از تائید دریافت ایمیل).
Hikvision اشتباه کرد اما حرکتش مخرب نبود
هایک ویژن به ارسال اطلاعات از دستگاههای متصل به چین متهم شده است اما این نفوذ اخیر XXE یک تلاش خرابکارانه توسط هایک ویژن به حساب نمی آید و یک اشتباه در تنظیمات سرور می باشد. اما باید از این اقدامات پیشگیری به عمل بیاید. زمانی که از این موضوع پرس و جو کردیم محقق مذکور اینطور اعلام نظر کرد :
نفوذپذیری تشخیص داده شده می تواند توسط یک سری برنامه های امنیتی که شامل اسکنهای رایج نفوذپذیری است پیشگیری شود. بنظر می آید که بخش ویژه سیستمها یا از نظر امنیتی بررسی نشده یا اگر بررسی شده باشد بخوبی ترتیب اثر داده شده بود.
ارتباطات ابری کاربران را در خطر می اندازد
دستگاههای هایک ویژن روز به روز بیشتر به فضای موبایل و ارتباطات از راه دور مجهز می شوند که خطر را افزایش می دهد. برای حفاظت از فضای خصوصی کاربران و حفظ یکپارچگی دستگاهها، هایک ویژن باید از امنیت سرورها اطمینان یابد. نفوذپذیری XXE یک اشتباه اساسی به حساب می آید و روش پیشگیری از این نواقص در اسنادی در محصولات وابسته به سرورها ارائه می شوند.
شخص نفوذی یا مدت اتصال غیرمجاز نامشخص است !
هنوز مشخص نیست این نفوذپذیری از چه زمانی وجود داشته یا آیا کسی پیشتر از محقق یاد شده هم به تشکیلات و زیرساختهای هایک ویژن اتصال داشته یا خیر؟!
بی پاسخی به نگرانیهای امنیتی
ما مکررا از هایک ویژن در این مورد درخواست پاسخ کردیم اما هیچ جواب رسمی از هایک ویژن دریافت نکردیم. خبرگذاری ایالات متحده آمریکا نیز به این فقدان مسئولیت پذیری در مقالات اخیر اشاراتی داشتند.
Rapid7 شرکت بررسی کننده هایک ویژن بدون ورودی
هایک ویژن اعلام کرده Rapid7 که مسئولیت تشخیص این ریسکها را بر عهده دارد هنوز نتوانسته اطلاعاتی دیگر را در این باره بدست آورد. IPVM از هایک ویژن برای شفاف سازی بیشتر این موضوع درخواستهایی داشته است اما بی پاسخ باقی مانده است. با Rapid7 در قالب یک مشتری گفتگو کردیم اما بازهم بخاطر تعهدش به هایک ویژن اطلاعاتی از کاربران به ما ندادند.
احتمالا هنوز هم راههای نفوذ بیشتری وجود دارند
Mathiopoulos در پاسخ به این سوال که آیا هنوز هم ممکن است نقاط ضعف شناخته شده ای وجود داشته باشد، گفت که ممکن است هنوز مسائل امنیتی پنهانی وجود داشته باشد.
پاسخ این سوال بخاطر کمبود اطلاعات سخت است. اگر نظر من را بخواهید با توجه به نوع نفوذپذیری که بر روی Hikonline.com وجود دارد می گویم وجود مشکلات امنیتی روی سرورهای دیگر هایک ویژن هم می تواند محتمل باشد.
تاثیرات روی هایک ویژن
هایک ویژن در سال 2015 با دو مساله مهم روبرو بود :
کنترل دولت چین و مشکلات امنیتی که با مسائل حاشیه ای هم ترکیب شده بودند (در اخبار انگلستان و آمریکا هم منعکس شد). این موضوع بوضوح به دولت چین مربوط نمی شد اما به شدت به قابلیتهای عمومی امنیتی هایک ویژن مرتبط است.
پس از تلاشهای سال 2015 برای خروج از باتلاق ارتش Botnet های Mirai که به محصولات داهوا و هایک ویژن آسیب زدند، به این درک رسیدند که از نفوذپذیریهایی هم مثل فضای ابری پیشگیری و بهبود ارتباطات و افزایش اعتماد باید جزء اقدامات صورت گرفته باشند.