On 27.11.2020 08:00, heby wrote:
> PiVNP. Kupujesz Raspberry pi w wersji Zero. Dodajesz kartę SD 2GB.
> Instalujesz na niej PiVPN. Odpalasz, konfiguracja robi się "sama",
> podajesz tylko hasło do wifi. Po zakończeniu należy dodać ręcznie
> klienta (przygotować zestaw certyfikatów, kluczy itd). Można też dostęp
> usuwać w przypadku kradzieży urządzenia bez naruszania dostępu innych.

Ale do tego serwera VPN to trzeba się jakoś dobić z zewnątrz. Albo w
drugą stronę - do telefonu - jeżeli jakiś mechanizm DDNS tutaj działa.

A tak w ogóle, to samo postawienie VPN to taniej wyjdzie zakup za
40zł+przesyłka jakiegoś EasyBoxa z OpenWRT z alle.

--
Pozdrawiam,
Mateusz Bogusz

do góry

> To *BARDZO* zły pomysł w przypadku kamer bezpośrednio.
>
> Po pierwsze dlatego, że działa dla 1 kamery.
no... nie. jeden, dwa, albo nawet trzy porty każdą z kamer. jak masz
nianie, albo dwie, to masz parę potrów
> Po drugie, bo kamera nic nie wie o przekierowaniach i detekcja
> automatyczna nie działa.
Też mam inne zdanie. To funkcja kamery nie intnernetu.
> Po trzecie, kamery mają bugi. Czasami graniczące z absurdem. Mogą być/są
> wektorem ataku na sieć.
tak, zdaję sobie sprawę. ale jak sobie wyobrażasz taki atak na sieć? W
sensie - można podglądać kamery bez hasła - to oczywiste. ale czy kamera
może dalej funkcjonując zacząć wykonywać jakieś inne szkodliwe działania?
> Nie wolno tak żałosnych kamer przekierowywać
żałosnych? cały aliexpres i pół allegro, jest na sofcie z tej fabryki,
więc mają te same "dziury". To nie jest problem kilku kamer; Kilka kamer
jest wolnych od tego problemu. jeśli mógłbyś wskazać tanie kamery które
nie mają problemu z bezpieczeństwem a oferują onvif i rtsp z dziwękiem -
daj znać. tanie!
>

> PiVNP. Kupujesz Raspberry pi w wersji Zero. Dodajesz kartę SD 2GB.
(...)
Serdecznie dziękuję za wyjaśnienia. jak nie ogarnę to doczytam.
z tym że nie widzę sensu stosowania.
> Istotne w VPN jest to że *zawsze* przekierowany jest tylko jeden port
> VPN. Bez względu na rodzaj softu pracującego w sieci, mam do niego
> pełny, zaufany dostep tak, jak gdybym był w tej samej sieci, w domu.

to trochę wyjaśnia, ale dalej nie wiem jaki to ma sens, albo przewagę
nad rejestratorem, który może jeszcze rejestrować i wydaje się być
tańszy. przy stosowaniu softu producenta kamery na smartfony - chyba
żadnego. W przypadku korzystania z onvif i rtsp.... może pomóc. Jak to
jest po stronie odbierającej, czy trzeba mieć jakiś program do "bycia w
tej samej sieci" w ktorej jest PiVPN?

>
> [1] https://www.youtube.com/watch?v=LaI0xjeefpg
nie wiem czy wszystko zrozumiałem, ale przez 33 minuty gość tłumaczy ze
na większość kamer można się dostać bez hasła. Pokazał że dzięki pozna
hasła do banku czy nie?

ToMasz

do góry

On 27/11/2020 08:42, Mateusz Bogusz wrote:
> Ale do tego serwera VPN to trzeba się jakoś dobić z zewnątrz.

To ju kwestia konkretnego łacza internetowego.

> Albo w
> drugą stronę - do telefonu - jeżeli jakiś mechanizm DDNS tutaj działa.

Wiele routerów, nawet dla suwerena, ma wbudowane mechanizmy DDNS.

> A tak w ogóle, to samo postawienie VPN to taniej wyjdzie zakup za
> 40zł+przesyłka jakiegoś EasyBoxa z OpenWRT z alle.

O ile dasz radé poprawnie zestawić VPN na OpenWRT. Zaznaczam: to nie
jest trywialne.

do góry

On 27/11/2020 08:52, ToMasz wrote:
>> Po pierwsze dlatego, że działa dla 1 kamery.
> no... nie. jeden, dwa, albo nawet trzy porty każdą z kamer. jak masz
> nianie, albo dwie, to masz parę potrów

Ale nie masz detekcji bo nie działaja już na standardowych.

>> Po trzecie, kamery mają bugi. Czasami graniczące z absurdem. Mogą
>> być/są wektorem ataku na sieć.
> tak, zdaję sobie sprawę. ale jak sobie wyobrażasz taki atak na sieć?

Puszczasz skan. Znajdujesz otwarty port na którym pracuje http. Znając
zestaw podatności, po chwili znajdujesz wejście na roota. W efekcie tego
dostajesz dostęp do *wewnętrznej* sieci LAN właściciela. Przy odrobinie
wprawy możesz teraz wyszukać inne podatności wewnątrzm, włacznie z routerem.

> sensie - można podglądać kamery bez hasła - to oczywiste. ale czy kamera
> może dalej funkcjonując zacząć wykonywać jakieś inne szkodliwe działania?

Tak. Jak masz na niej roota (a masz, pokazane to na prezentacji) to
możesz wszystko. Od liczenia bitcoinów przez atak na inne urządzenia w LAN.

Do tego nie trzeba nawet białka. Są automaty realizujące takie ataki.

>> Nie wolno tak żałosnych kamer przekierowywać
> żałosnych?

Tak. Na prezenacji zobaczysz że poziom bezpieczeństwa nie sięga nawet
przedszkola. To jest wręcz poniżające dla reszty informatyki, jak
zabezpiecznone są urzadznia embedded, nie dotyczy to tylko kamer. Rynek
security w embedded tkwi mentalnie w latach 70tych. Fabryczne backdory,
popsute konfiguracje, magiczne cisteczka, co tylko sobie wymyslisz,
znajdziesz w kamerach, od tych najtańszych po najdroższe.

> więc mają te same "dziury". To nie jest problem kilku kamer; Kilka kamer
> jest wolnych od tego problemu. jeśli mógłbyś wskazać tanie kamery które
> nie mają problemu z bezpieczeństwem a oferują onvif i rtsp z dziwękiem -
> daj znać. tanie!

Najprościej ich *NIE* wystawiać. To uniwersalna zasadna. Właśnie po to
masz VPN. On jest bezpieczny bo *TY* kontrolujesz to bezpieczeństwo a
nie chińczyk który nie ogarnia podstaw security.

>> PiVNP. Kupujesz Raspberry pi w wersji Zero. Dodajesz kartę SD 2GB.
> (...)
> Serdecznie dziękuję za wyjaśnienia. jak nie ogarnę to doczytam.
> z tym że nie widzę sensu stosowania.

Widzisz sens wystawiania poputego firmware kamery do interentu a nie
widzisz używania bezpiecznego VPN? Ok, co zrobić.

> to trochę wyjaśnia, ale dalej nie wiem jaki to ma sens, albo przewagę
> nad rejestratorem, który może jeszcze rejestrować i wydaje się być
> tańszy.

Bezpieczeństwo. Jeśli wystawisz ten rejestrator do sieci to zakłądam że
ufasz jakosci oprogramowania na nim. Ufasz? Czy zakładasz że ktos się
tym zajmie?

Mam "tani rejestrator" w domu. Tydzień po zakupie zanalazłem na necie
exploita przez www. Bez znajomości hasła. Nie ma update. Wystarczył
przekierowany port. Witaj w realnym świecie. Kupiłem złom którego nie
mogę wykorzystać tak jak planowałem.

> jest po stronie odbierającej, czy trzeba mieć jakiś program do "bycia w
> tej samej sieci" w ktorej jest PiVPN?

Na urządzeniu docelowym masz klienta OpenVPN. Od tego jest to wszystko
jest skonfigurowane zależy odpowiedź na to pytanie. Z grubsza: w
domyślnej konfiguracji PiVPN dostaniesz inną sieć, ale z działajacym
routingiem do Twojego LAN. Wbrew pozorom to jest wystarczające dla ONViF
i w miarę bezpieczne dla osoby nie rozumiejącej detali na tym poziomie
sieci. Możesz to zmieniać, choć już wymaga rzeźby.

>> [1] https://www.youtube.com/watch?v=LaI0xjeefpg
> nie wiem czy wszystko zrozumiałem, ale przez 33 minuty gość tłumaczy ze
> na większość kamer można się dostać bez hasła. Pokazał że dzięki pozna
> hasła do banku czy nie?

Bo jak się dostaniesz do kamery i zrobisz w niej roota to od tego puktu
masz *NASTĘPNE* filmy pokazujące jak z poziomu dowolnego urządzenia w
sieci LAN kompromitować dalej. Szczególnie jak dalej jest 6-letni D-Link
w którym można podmienić www.mojbak.pl na coś innego.

Koleś pokazuje jak poniżająco dziadowskie jest oprogramowanie w kamerach
i jakie stanowi zagrożenie wystwianie tego złomu do internetu. W
momencie kiedy jest w stanie zdalnie wykonać update firmware na kamerze
powinieneś mieć pełne gacie kiedy myślisz o własnej sieci LAN. Bo to
będzie tylko początek.

do góry

czwartek, 26 listopada 2020 o 21:27:56 UTC-6 ToMasz napisał(a):
> W dniu 26.11.2020 o 19:22, heby pisze:
> > On 26/11/2020 18:47, Mateusz Bogusz wrote:
> >> On 26.11.2020 10:12, heby wrote:
> >>> PiVPN + troche wiedzy z zakresu sieci.
> >> Ale że to mu zapewni zewnętrzny adres IP czy dynamiczny DNS?
> >
> > Nie, ale sytuacji bez takowego wyjścia jest niewiele, w przypadku łącz
> > stałych.
> >
> >> zabezpieczenie transmisji to sprawa wtóra
> >
> > Tu VPN nie służy do zabezpieczania transmisji, tylko zajmuje się
> > routingiem pomiędzy siecią domową a na przykład telefonem w ręku,
> > automatycznym zestawianiem połaczenia, dbaniem o detale itd itp. W
> > efekcie możesz mieć w telefonie na stałe uruchomionego klienta i
> > sztuczki jak to działa przestają Cie interesować. Zabezpieczenie tak,
> > ale przede wszystkim wygoda używania gotowego rozwiązania bo i serwer
> > jest gotowy i klienta można pobrać na telefon czy komputer.
> >
> >> Najpierw trzeba wyjść z domu.
> >
> > I dlatego trzeba troche się znać na sieciach. Ale nie jest to jakoś
> > specjalnie trudne, przypadki gdzie się nie da są w mniejszosci.
>
> cytuję całość, bo nie wiem o czym piszecie.

Tak, potwierdzam, nie wiesz. I ponizej piszesz farmazony.

> z życia wygląda to tak:
> MAsz kamerę, masz do niej soft. pewne dane lecą przez serwer w chinach,
> ale nie obraz jak to się niektórym wydaje. nic w sieci domowej nie
> trzeba ustawiać.

Leci do chin. Jak jestes poza domem i apke odpalisz i podglad jest to leci przez
chiny.
Bardzo niewiele kamerek umie sobie dynamicznie wystawiac porty na routerze. Wiekszosc
tuneluje on demand przez chiny (w praktyce jakis aws owy serwer)

> ta sama kamera, moze nie musi, "dawać" onfiv, rtsp, na 554 34567, 5050,
> 8899. jak masz stałe ip, przeforwardujesz te porty na zewnątrz, to

Taaaa, jak juz ci napisali, to zly pomysl. Choc troche czaisz.

> "dobijesz" się każdym programem (z zewnątrz) typu oniver, tinycam itp.
> Bez chińskego serwera, ale problem w tym, ze najczęściej bez hasła.

I bez hasla i bez zabezpieczenia i czesto jest to rtsp gdzie mozna nieco do kamery
przeslac i przejac nad nia kontrole.
Nie pomagaj ludziom siejac takie farmazony.

> Teraz prośba. jeśli masz proste tanie rozwiązanie, jak wystawić kamery
> na "zewnątrz" (sieci domowej) ale jakoś je zabezpieczyć - pisz szczegóły

Juz ci napisali, dyndns, plus vpn. I jakis maly serwerek w domu robiacy za hub vpn.
Tak jest tanio.
Lepiej to miec VM-ke np w ovh, (maja promocje za 8pln/msc teraz wiec mozna kupic na
rok za 100pln) i tam sobie vpn zestawic.
Wtedy wszystko moze laczyc sie przez ten hub i jest sporo wiecej mozliwosci.

> proszę. ja jak muszę, to kamerom nie daję wyjścia na zewnątrz, ale łącze
> je w rejestratorze który jest w miarę bezpieczny; rejestrator ma wyjście
> na zewnątrz. nie drogie - proste.

Tak ci sie wydaje. Sprzety z dolnej polki maja bezpieczenstwo na poziomie zerowym. Te
ze sredniej to juz koszt 10 lat abonamentu w ovh.
Zysk taki ze maja zazwyczaj juz jakiegos dyska...

do góry

piątek, 27 listopada 2020 o 02:10:26 UTC-6 heby napisał(a):
(...) dzieki za pomoc w wyjasnieniu co i jak.

Od siebie dodam ze kamerki onvifowe jakie kupilem sa od sasa do lasa i maja takie czy
inne niedorobki. W efekcie do domu sobie zmontowalem raspberry W zero plus picamere.
Cena w okolicy 150-200pln a mam kontrole co ma sie dziac z obrazem i gdzie go wysylac
i kiedy.


Ale niestety nieco trzeba nadlubac. Ale ja se chwale.

do góry

> I bez hasla i bez zabezpieczenia i czesto jest to rtsp gdzie mozna nieco do kamery
przeslac i przejac nad nia kontrole.
> Nie pomagaj ludziom siejac takie farmazony.

nie unoś się, ale udało Ci się już kiedys takie włamanie? Może zrobimy
jakiś test?
Pozdrawiam
ToMasz

do góry

Pan ToMasz napisał:

>> I bez hasla i bez zabezpieczenia i czesto jest to rtsp gdzie
>> mozna nieco do kamery przeslac i przejac nad nia kontrole.
>> Nie pomagaj ludziom siejac takie farmazony.
>
> nie unoś się, ale udało Ci się już kiedys takie włamanie?
> Może zrobimy jakiś test?

To w ogóle jest dość zabawne. Ludzie instalują sobie kamery,
żeby zapobiec włamaniom. Aż tu nakle chętnych włamywaczy
przybywa.

--
Jarek

do góry

Pan ToMasz napisał:

>> I bez hasla i bez zabezpieczenia i czesto jest to rtsp gdzie
>> mozna nieco do kamery przeslac i przejac nad nia kontrole.
>> Nie pomagaj ludziom siejac takie farmazony.
>
> nie unoś się, ale udało Ci się już kiedys takie włamanie?
> Może zrobimy jakiś test?

To w ogóle jest dość zabawne. Ludzie instalują sobie kamery,
żeby zapobiec włamaniom. Aż tu nagle chętnych włamywaczy
przybywa.

--
Jarek

do góry

Pan ToMasz napisał:

>> I bez hasla i bez zabezpieczenia i czesto jest to rtsp gdzie
>> mozna nieco do kamery przeslac i przejac nad nia kontrole.
>> Nie pomagaj ludziom siejac takie farmazony.
>
> nie unoś się, ale udało Ci się już kiedys takie włamanie?
> Może zrobimy jakiś test?

To w ogóle jest dość zabawne. Ludzie instalują sobie kamery,
żeby zapobiec włamaniom. Aż tu nagle chętnych włamywaczy
przybywa.

--
Jarek

do góry