Sistema videosorveglianza Uniview: vedo altre telecamere!

PietroM · 2023-11-12T00:33:18+00:00

Ciao a tutti. Circa mezz'ora fa ho avuto una brutta sopresa, una di quelle che ti fa tremare i polsi (a dir la verità ancora tremano...): dall'app (EZView) d...

PietroM

astrolabio Conosco il locale! È in un paese limitrofo al mio.
Mettere mia email/numero è impossibile, non avrebbe senso.
L’unica cosa a cui sto pensando è che questi NVR hanno un QR cose per associarli all’account in cloud, forse potrebbe essere andato qualcosa storto.

crsystems Io, leggendo anche varie notizie, avevo sempre il timore che sarebbe potuto accadere prima o poi, e infatti…
Quali accorgimenti devo osservare per connettermi alle telecamere in remoto tramite IP pubblico?

[cancellato]

PietroM

A meno di non conoscere bene il proprietario eviterei di segnalarglielo - non sai come reagirebbe - ma farei la segnalazione direttamente al produttore, sperando che faccia qualcosa.

PietroM L’unica cosa a cui sto pensando è che questi NVR hanno un QR cose per associarli all’account in cloud, forse potrebbe essere andato qualcosa storto.

Qualcunoha risparmiato e riutilizzato lo stesso QR?

PietroM Quali accorgimenti devo osservare per connettermi alle telecamere in remoto tramite IP pubblico?

Usa una VPN per connetterti alla tua rete, e poi ci accedi come se fossi in rete locale.

PietroM

[cancellato]

[cancellato] A meno di non conoscere bene il proprietario eviterei di segnalarglielo - non sai come reagirebbe - ma farei la segnalazione direttamente al produttore, sperando che faccia qualcosa.

No, non credo sia il caso, sopratutto se si beccano persone “ignoranti” (nel senso buono eh) in materia, immagina cosa potrebbero pensare…

[cancellato] Qualcunoha risparmiato e riutilizzato lo stesso QR?

Non ne ho idea; so solo che è un qualcosa di assurdamente strano.
Ora che sto facendo mente locale (davvero, credetemi, da ieri sera mi ci sto scervellando), io quel locale lo frequento e mi collego alla Wi-Fi; quest’app potrebbe aver rilevato automaticamente in LAN l’impianto?

[cancellato] Usa una VPN per connetterti alla tua rete, e poi ci accedi come se fossi in rete locale.

L’app dà la possibilità di configurare manualmente il dispositivo inserendo IP (pubblico a questo punto), utente e password.

[cancellato]

PietroM io quel locale lo frequento e mi collego alla Wi-Fi; quest’app potrebbe aver rilevato automaticamente in LAN l’impianto?

Può essere, ma non averebbe dovuto darti l'accesso senza le credenziali adeguate - la cosa potrebbe far pensare che ci sia qualcosa di default che ti ha permesso l'accesso. O altro, bisognerebbe verificare come funziona. Va bene il QR code, ma usa credenziali generate automaticamente all'installazione o usa credenziali standard?
Per motivi come questi io consiglio sempre di mettere domotica, sorveglianza e IoT vari su reti separate e non accessibili da chiunque, la loro sicurezza spesso è un colabrodo.

PietroM L’app dà la possibilità di configurare manualmente il dispositivo inserendo IP (pubblico a questo punto), utente e password.

Vista la sicurezza, eviterei di pubblicare quel sistema direttamente. Usa una VPN - è il metodo più sicuro, mantiene il sistema di sorveglianza privato e solo chi ha accesso alla VPN può accedervi.

PietroM

[cancellato] Oggi, avendo un po' di tempo, ho cercato di sistemare la situazione;
doverosa premessa, la situazione è la seguente:

Ho quindi provveduto, seguendo il tuo consiglio, a configurare una VPN; ho utilizzato il NAS e OpenVPN, il protocollo L2TP non ho potuto usarlo perchè, come si evince dallo schema, è già usato per la configurazione della VPN in ufficio e il router "base" già inoltra le porte necessarie (o almeno, le mie competenze non lo hanno permesso). OpenVPN richiede l'apertura di una porta diversa, che ho provveduto ad aprire ed inoltrare sia sul router #1 che #2; anche il NAS viene inoltrato sul router #2, altrimenti non sarebbe raggiungibile dall'edificio #1 e men che meno funzionerebbe questo setup. Ho attivato la funzione che permette di rendere accessibile la LAN alle connessioni remote (che offre il setup di OpenVPN su Sinology), a questo punto, connettendomi alla VPN da rete mobile, ho configurato nell'app del NVR il dispositivo aggiungendolo tramite indirizzo locale e porta 80 (proposta dal wizard dell'app) e relativo nome utente e password: tutto funzionante.
Questo setup dovrebbe garantirmi un ottimo livello di sicurezza, sbaglio?
Attendo vostri eventuali suggerimenti.

[cancellato]

PietroM Questo setup dovrebbe garantirmi un ottimo livello di sicurezza, sbaglio?

È già un buon passo avanti - se l'app si connette su porta 80 mi fa pensare che internamente alla LAN il traffico non si crittografato, ma almeno lo è sulla VPN. Comunque da quello che vedo immagino che il secondo router impedisca alla rete dell'ufficio di arrivare facilmente a quella di casa, NAS a parte. Non so che rischio rappresenti per te la rete dell'ufficio (e viceversa, che rischi ha l'ufficio dalla rete di casa), è probabile che si possa cifrare, ma a te vedere se il gioco vale la candela.

Mi assicurerei che la parte di videosorveglianza non comunichi più con l'esterno, se necessario anche tramite opportune regole di firewall. Io in genere sono per tenere sistemi di videosorveglianza/allarme e simili su una rete separata ben protetta, vista la criticità del sistema, ma ci vuole anche l'hardware adatto.

PietroM

SPower

PietroM mi spiace. Ho letto alla fine cloud cinese. No comment. Dico solo che sicuramente con assoluta certezza le immagini delle tue telecamere sono finite e probabilmente lo sono tutt'ora in qualche sito accessibile da chiunque online. Male, malissimo!!! Soluzione? Non saprei consigliare marchi e prodotti però di sicuro fai sparire tutte quelle telecamere cinesi compreso il cloud cinese. Fallo subito, senza neanche pensare a quanto hai speso.

ho letto l'ultimo post e non mi è chiara una cosa, le telecamere come le fai a vedere? Ti ci colleghi direttamente tramite il nas che le rende raggiungibili evitando totalmente l'uso del cloud cinese? Avevo una camera cinese tempo fa e funzionava solo tramite cloud, e anzi, se la volevo usare direttamente da lan il cloud doveva rimanere attivo comunque.

PietroM

SPower
Alla fine ho optato, come riportato nel penultimo post, per un accesso alla LAN tramite VPN. In questo modo le registrazioni e le live non sono esposte sul loro cloud.

SPower ho letto l'ultimo post e non mi è chiara una cosa, le telecamere come le fai a vedere? Ti ci colleghi direttamente tramite il nas che le rende raggiungibili evitando totalmente l'uso del cloud cinese? Avevo una camera cinese tempo fa e funzionava solo tramite cloud, e anzi, se la volevo usare direttamente da lan il cloud doveva rimanere attivo comunque.

Da remoto mi collego alla VPN configurata su NAS, OpenVPN permette in configurazione di settare l'accesso alla LAN in cui si trova il NAS, quindi dall'app EZView (fornita da Uniview) ho configurato l'NVR con l'indirizzo locale e questo mi permette di vedere le live, escludendo totalmente EZCloud; l'NVR permette di escludere totalmente il cloud.
Per quanto comunque questo impianto sia di origine cinese, in giro per l'italia ne ho visto a bizeffe, in strutture sanitarie, luoghi pubblici ecc...Ecco perchè in un certo senso mi fidavo.

Ministry

OT: non c'entra nulla ma ricordo che un giorno di taaanti anni fa, collegandomi al mio home banking, invece di visualizzare il mio conto mi è stato presentato quello di una persona terza a me totalmente estranea. Potevo vedere tutti i dettagli ma ovviamente non dare disposizioni perché era necessaria una chiavetta con il token.
Segnalato il problema in filiale hanno risolto nel giro di brevissimo, ma io ho cambiato immediatamente banca

PietroM

Ministry 😵

PietroM

[cancellato] Sì, il traffico non è crittografato all’interno della LAN ma credo pochi importi, l’importante è crittografare dall’esterno.
Ho preferito mantenere separate le due LAN, ufficio e casa, rendendo raggiungibile dall’ufficio il NAS attraverso il port forwarding, questo perché il server effettua ogni notte il backup sul NAS dislocato.

Più che altro, basta la configurazione “base” di OpenVpn per un buon livello di sicurezza? Ad esempio, non sto usando un certificato esterno.

[cancellato]

PietroM Ad esempio, non sto usando un certificato esterno.

Con OpenVPN ha meno importanza, basta che tu sia sicuro che la CA è la tua, e comunque dovresti poi far generare anche i certificati per i client. Poi c'è modo per fare una configurazione più blindata di OpenVPN, selezionando opportunamente algoritmi di cifratura, lunghezza delle chiavi e altri parametri, bisogna vedere cosa supporta il server, e che capacità di elaborazione ha.

PietroM

[cancellato] Ho configurato OpenVPN su NAS Sinology con l'app proprietaria VPN Server:
Crittografia: AES-256-CBC
Autenticazione: SHA512
A fine wizard viene prodotto un file con la configurazione in cui, editandolo, ho impostato il mio IP pubblico statico e l'inoltro di tutto il traffico tramite VPN.
Ho importato questo file nel client software OpenVPN dei miei disp. mobili e proceduto alla conessione.
E' migliorabile?

Marco25

PietroM Crittografia: AES-256-CBC
Autenticazione: SHA512

Solo queste le opzioni per OpenVPN? AES-256-CBC è leggermente meno sicuro e efficiente di AES-256-GCM, se disponibile. SHA512 è esagerato, puoi scendere a SHA256 aumentando leggermente le prestazioni. Puoi anche ridurre a AES-128-GCM se le la velocità non dovesse saturare la banda disponibile, ma non dovrebbe accadere se hai le istruzioni AES nella CPU.

PietroM

Marco25 Per quanto riguarda crittografia e autenticazione sì, anche se ci sono diverse opzioni nei menu a tendina in merito ma non c’è GCM, che volevo usare.
Poi ho deselezionato la compressione, ho selezionato l’accesso alla LAN, come già detto, e ho selezionato la verifica della TLS key.

Pagina successiva »

Informativa privacy - Informativa cookie - Termini e condizioni - Regolamento - Disclaimer - 🏳️‍🌈
P.I. IT16712091004 - info@fibraclick.it

♻️ Il server di questo sito è alimentato al 100% con energia rinnovabile