פריצה למצלמות אבטחה: איך סוגרים את הפרצות

רוב הפריצות למצלמות אבטחה לא דורשות האקר מבריק. הן מנצלות סיסמת ברירת מחדל שלא הוחלפה, קושחה ישנה ופורט שפתוח לאינטרנט בלי שום סיבה. את שלושת אלה סוגרים בשעה עבודה, בלי להחליף ציוד.

למה מצלמות IP נפרצות בכלל

מצלמת רשת היא מחשב קטן עם כתובת IP, ממשק ניהול וחשבון משתמש. ברגע שהיא מחוברת לאינטרנט, גם היא חשופה לכל מה שמחשב חשוף לו. הבעיה היא שרוב המתקינים מחברים אותה ישר לראוטר הביתי, מדליקים גישה מרחוק “כדי שיהיה אפשר לראות מהטלפון”, ומשאירים את ההגדרות כמו שהגיעו מהמפעל.

התוצאה: המצלמה זמינה מבחוץ, עם שם משתמש וסיסמה שמופיעים במדריך של הדגם. מי שסורק את הרשת מוצא אותה בתוך דקות. זה לא תרחיש נדיר, זו ברירת המחדל של התקנה חפוזה.

הנזק בפועל הוא לא רק שמישהו רואה אתכם. מצלמה שנפרצה יכולה לשמש כנקודת כניסה לרשת הביתית כולה, ואם יש לה מיקרופון ורמקול — גם להאזין ולדבר.

אבטחת מצלמות IP: ארבעה צעדים בסדר הנכון

הסדר חשוב, כי כל צעד מקטין את שטח התקיפה של הבא אחריו.

1. סיסמה למצלמת אבטחה — לא של המפעל

הדבר הראשון, לפני הכל. כל מצלמה מגיעה עם חשבון ברירת מחדל. החליפו אותו.

מה שנחשב סיסמה טובה כאן:

• שילוב אותיות גדולות וקטנות, ספרות וסימן אחד.
• לא שם של בן משפחה, לא תאריך לידה, לא רצף ספרות פשוט, ולא מילה נפוצה כמו admin.
• שונה מהסיסמה של הראוטר ושל הרשת הביתית. אם אחת מהן דולפת — השנייה נשארת סגורה.
• נשמרת במקום שאתם מוצאים. סיסמה שנשכחה גוררת איפוס מלא של המצלמה.

אם יש כמה מצלמות — לא אותה סיסמה לכולן. מצלמה אחת שנחשפה לא אמורה לפתוח את כל השאר.

חשוב לבדוק גם את ממשק הניהול של המצלמה עצמה, לא רק את האפליקציה. לפעמים האפליקציה מבקשת סיסמה חדשה אבל ממשק ה-Web נשאר עם ברירת המחדל.

2. עדכון קושחה

קושחה היא מערכת ההפעלה של המצלמה. יצרנים משחררים עדכונים שתוקנים חורי אבטחה שהתגלו. מצלמה שלא עודכנה שנתיים רצה עם חורים ידועים שכולם מכירים.

איך עושים את זה נכון:

• נכנסים לממשק הניהול של המצלמה, מוצאים את מסך הגרסה, ורושמים מה מותקן.
• בודקים באתר היצרן אם יש גרסה חדשה לדגם המדויק. לא לדגם דומה — לדגם המדויק.
• מורידים את הקובץ, מעלים דרך הממשק, ממתינים. המצלמה תכבה ותדלק מחדש. אל תנתקו חשמל באמצע.
• אחרי העדכון, חלק מההגדרות מתאפסות. עברו שוב על הסיסמה ועל הגדרות הרשת.

אם המתקין התקין לכם מערכת עם מקליט (NVR), גם לו יש קושחה משלו. מצלמה מעודכנת שמחוברת למקליט מיושן לא סגורה.

3. גישה מרחוק — לכבות מה שלא בשימוש

רוב האנשים לא צריכים גישה ישירה למצלמה מהאינטרנט. הם צריכים לראות את התמונה. זה לא אותו דבר.

מה לבדוק:

• פתיחת פורטים (Port Forwarding) — אם עשו לכם את זה בראוטר כדי לראות מבחוץ, זו החשיפה הגדולה ביותר. כל מי שמגיע לכתובת שלכם מגיע למסך הכניסה של המצלמה.
• UPnP — פיצ’ר בראוטר שפותח פורטים אוטומטית לפי בקשה של מכשירים ברשת. נוח, אבל הוא פותח גם בשביל המצלמה בלי שתדעו. כבו אותו בראוטר.
• גישה מהאפליקציה — אם אתם רואים את המצלמה מהטלפון, בדקו דרך מה זה עובר. אם דרך צד שלישי שמתווך בין המצלמה לטלפון בלי לפתוח פורטים — זו הדרך המועדפת.
• חשבונות צפייה — אם נתתם למישהו סיסמה לצפייה, ודאו שיש לו הרשאת צפייה בלבד, בלי אפשרות לשנות הגדרות.

אם אין לכם צורך בגישה מרחוק בכלל — כבו אותה. מצלמה שלא חשופה לאינטרנט לא נפרצת מהאינטרנט.

4. רשת נפרדת למצלמות

הצעד הזה מפריד בין המצלמות לשאר הבית. גם אם מצלמה אחת נחשפת, היא לא נותנת גישה למחשב עם הקבצים ולטלפונים.

האפשרויות, מהפשוטה למורכבת:

לרוב הבתים, רשת אורחים היא הפתרון המעשי. היא לא מושלמת, אבל היא מפרידה את המצלמות מהמחשבים בלי לקנות ציוד.

איך נראית התקנה גרועה

כשמתקין עושה עבודה חפוזה, זה לא נראה בהתחלה. זה נראה אחר כך, בשלושה שלבים.

בהקלטה הראשונה — אתם נכנסים לראות מה קרה אתמול, ומגלים שהמצלמה מקליטה בזווית שלא מכסה את הכניסה. או שהתמונה מטושטשת בגלל תאורה נגדית מהחלון. או שהמצלמה ממוקמת גבוה מדי, ואתם רואים כיפות ראשים ולא פנים. אלה לא תקלות — אלה החלטות מיקום שנעשו בלי לבדוק את התמונה בזמן אמת.

עוד סימן: הגדרות ברירת מחדל. אם המתקין לא שינה סיסמה, לא סימן לכם איפה רואים את גרסת הקושחה, ולא הסביר מה פתוח מהאינטרנט — הוא גם לא יתקן את זה אחר כך.

בלילה — מצלמה בלי ראיית לילה אמיתית נותנת תמונה שחורה או מטושטשת. אם יש תאורה סמוכה, ייתכן שהמצלמה מסנוורת את עצמה ומחזירה הבזק לבן. זה קורה כשמתקינים מצלמה מול קיר או מול פנס בלי לבדוק את התמונה בחושך. בדיקה של עשר דקות בלילה חוסכת חודשים של תסכול.

אחרי החורף הראשון — כאן מתגלות הבעיות האמיתיות. חדירת מים לתושבת, כבל שלא הוכנס לתוך שרוול, חיבור שלא נאטם. הסימנים: ערפל בתוך העדשה, תמונה שמהבהבת, מצלמה שמתנתקת כל פעם שיורד גשם. מצלמה חיצונית חייבת דירוג IP66 או IP67. מצלמה בלי דירוג כזה לא מיועדת לחוץ, גם אם היא נראית אטומה.

עוד סימן מחשיד: כבל רשת חשוף שעובר על הקיר בלי תעלה. הוא יתפורר בשמש, וכל מי שעובר לידו יכול לנתק אתכם.

מה חייב להופיע בהצעת מחיר

הצעת מחיר טובה מאפשרת להשוות בין מתקינים בלי לנחש. אם חסר אחד מהסעיפים האלה — תבקשו אותו בכתב לפני שמאשרים.

• רשימת הדגמים המדויקת — כמה מצלמות, איזה דגם, רזולוציה, ודירוג IP למצלמות חיצוניות.
• סוג הכבילה — כבל רשת או אלחוטי, ואיפה עובר כל כבל. כבל רשת מעביר אות בלי מגבר עד כ-100 מטר, וזה אומר שמרחק המצלמה מהמקליט קובע אם צריך נקודת חשמל נוספת בדרך.
• PoE או שקע נפרד — PoE מעביר חשמל ונתונים באותו כבל, ולכן אין צורך בשקע ליד המצלמה. אם ההצעה לא כוללת PoE, צריך לראות איפה יש שקע ואיך מגיעים אליו.
• גודל הדיסק וזמן השמירה — כמה ימים של הקלטה נשמרים, ובאיזו רזולוציה. זמן השמירה תלוי בגודל הדיסק, במספר המצלמות, ברזולוציה, ובהקלטה רציפה מול הקלטה בתנועה בלבד. דחיסת H.265 חוסכת עד כחצי מהנפח לעומת H.264 באיכות דומה, ולכן מאריכה את זמן השמירה באותו דיסק.
• מה כלול בגישה מרחוק — איזו אפליקציה, האם נפתח פורט בראוטר, והאם ההגדרה הזו נסגרת בסוף ההתקנה.
• מי מגדיר את הסיסמאות — האם המתקין משאיר לכם סיסמה שאתם קובעים, או שהוא קובע ואתם לא יודעים אותה.
• אחריות ותקופת תמיכה — מה מכוסה וכמה זמן.
• לוח זמנים — כמה שעות או ימים, ומה קורה אם התשתית מתגלה כבעייתית באמצע.

מחירים להתקנת מצלמות אבטחה נעים בטווח רחב ומשתנים לפי מספר המצלמות, סוג הציוד, אורך הכבילה, סוג המבנה ורמת הגימור. תבקשו הצעת מחיר מפורטת בכתב לפני שמתחילים — היא גם כלי להשוואה וגם מסמך שאפשר לחזור אליו.

סדר פעולות נכון להתקנה

הסדר הזה הוא לא פורמליות. כל שלב חוסך עבודה בשלב שאחריו.

1. בדיקת הצורך והאתר — לפני שקונים ציוד. איפה צריך לראות, מה התאורה שם, מאיפה מגיע חשמל, לאן אפשר למתוח כבל. מצלמה שממוקמת נכון חוסכת מצלמה נוספת.
2. הצעת מחיר מפורטת בכתב — עם הדגמים, הכבילה, הדיסק וזמן השמירה. לא לאשר לפני שהכל כתוב.
3. הנחת תשתית — כבלים ותעלות לפני התקנת המצלמות. אחר כך זה כבר חציבה מיותרת.
4. התקנה פיזית וכיוון — כל מצלמה מכוונת לפי התמונה שהיא נותנת, לא לפי מה שנוח לתלות.
5. הגדרת רשת ואבטחה — סיסמאות ייחודיות, עדכון קושחה, כיבוי גישה מרחוק שלא בשימוש, הפרדת רשת. זה השלב שאסור לוותר עליו.
6. בדיקת לילה — פעם אחת בחושך, לפני שהמתקין עוזב.
7. מסירה והסבר — איפה רואים את גרסת הקושחה, איך מחליפים סיסמה, מה פתוח מהאינטרנט ואיך סוגרים.

מה לא כדאי לעשות

לא לחבר מצלמה ישר לראוטר עם פתיחת פורטים “כי ככה רואים מהטלפון”. זו הדרך הקצרה ביותר לחשיפה, ויש דרכים אחרות לראות מרחוק.

לא להשאיר את הסיסמה של המפעל “עד מחר”. אין מחר.

לא להסתמך על כך שהמצלמה נמצאת ברשת פנימית ולכן לא חשופה. אם הראוטר שלכם לא הוגדר נכון, גם רשת פנימית יכולה להיות נגישה.

ולא לבחור מתקין רק לפי המחיר הזול. התקנה זולה שמשאירה את המצלמות פתוחות, או שמתגלה כבעייתית אחרי החורף, עולה יותר בתיקון.

מתי כדאי להזמין מתקין

אם יש לכם מצלמות מותקנות ואתם לא יודעים מה הסיסמה שלהן, או לא בטוחים מה פתוח מהאינטרנט — זו נקודה טובה לבדיקה. גם אם ההתקנה עובדת, היא יכולה להיות פתוחה.

בבניינים משותפים ובמקומות עבודה יש כללים לצילום שקשורים לחוק הגנת הפרטיות, ולכן כדאי לבדוק את זה לפני שמתקינים, לא אחרי. מי שמתקין באופן קבוע במבנים כאלה מכיר את הנושא ויידע להגיד לכם מה מתאים.

אם אתם מתקינים מערכת חדשה בבית או בעסק, שווה לבקש שההתקנה תכלול גם את שלב הגדרת האבטחה, לא רק את התלייה של המצלמות. זה ההבדל בין מערכת שעובדת לבין מערכת שעובדת ואטומה.