Перейти к основному содержимому

05-05-04 Типовые риски и ошибки

05-05-04

Введение: безопасность как инженерная ответственность​

При проектировании и эксплуатации систем видеонаблюдения на базе ONVIF безопасность — это не просто «дополнительная функция», а неотъемлемая часть архитектуры. Хотя ONVIF предоставляет инструменты для аутентификации, шифрования и управления правами доступа, реальная безопасность системы во многом зависит от того, как эти инструменты применяются на практике.

Многие уязвимости возникают не из-за слабости самого стандарта, а из-за ошибок в конфигурации, игнорирования лучших практик или недооценки рисков на этапе проектирования. В этом разделе рассматриваются типичные ситуации, с которыми сталкиваются инженеры, и объясняется, как их можно избежать.

Распространённые риски при работе с ONVIF-устройствами​

1. Оставленные по умолчанию учетные данные​

Одна из самых частых и критичных ошибок — использование заводских логинов и паролей. Многие производители поставляют камеры с предустановленными учетными записями, например:

  • Логин: admin, пароль: admin
  • Логин: admin, пароль: пустой
  • Логин: root, пароль: 12345

Такие комбинации легко находятся в открытых базах данных и используются злоумышленниками для автоматизированных атак.

Пример: Представьте, что камера установлена на улице и подключена к публичной сети. Если учетные данные не изменены, злоумышленник может за несколько минут получить доступ к видео, перенастроить камеру или отключить её.

Решение:

  • Смена паролей — обязательный этап при вводе устройства в эксплуатацию.
  • Использование сложных паролей (минимум 8 символов, включая цифры и спецсимволы).
  • Отключение учетной записи по умолчанию, если система позволяет создавать новые.

2. Открытие ONVIF-портов в публичной сети​

ONVIF использует HTTP/HTTPS для обмена данными, а значит, для его работы требуется открытие портов (часто 80, 443, 8899 и другие). Проблема возникает, когда эти порты открыты напрямую в интернете без дополнительной защиты.

Визуализация:
Камера → Роутер → Интернет. Порт 80 проброшен на камеру → Любой в мире может попробовать подключиться.

Такая конфигурация делает устройство уязвимым к сканированию, брутфорсу и эксплойтам.

Решение:

  • Не открывать ONVIF-порты в публичной сети.
  • Использовать внутреннюю сеть с сегментацией (например, VLAN для камер).
  • При необходимости удалённого доступа — организовывать VPN-подключение или использовать безопасные шлюзы.

3. Отсутствие шифрования управления (HTTP вместо HTTPS)​

ONVIF поддерживает как HTTP, так и HTTPS. Однако многие устройства по умолчанию работают по незашифрованному HTTP, что означает, что все запросы и ответы (включая логины и пароли) передаются в открытом виде.

Пример:
Если злоумышленник находится в той же сети (например, через Wi-Fi в офисе), он может перехватить трафик с помощью инструментов вроде Wireshark и получить доступ к учетным данным.

Решение:

  • Всегда включать HTTPS при настройке ONVIF-устройства.
  • Убедиться, что используется действительный SSL-сертификат (самоподписанные сертификаты снижают безопасность, но всё же лучше, чем HTTP).
  • Настроить клиенты (например, VMS) на принудительное использование HTTPS.

4. Разделение аутентификации: управление vs. медиапоток​

Важный аспект безопасности — разные уровни доступа к управлению и к видео. ONVIF отвечает за аутентификацию при подключении к сервисам управления, но RTSP-поток может иметь отдельную систему аутентификации или вовсе не требовать пароля.

Пример:
Вы настроили ONVIF с логином и паролем, но RTSP-URL вида rtsp://192.168.1.50:554/stream1 работает без авторизации. Это означает, что даже без доступа к ONVIF можно получить видео.

Решение:

  • Проверить настройки RTSP-сервера на камере — включить аутентификацию.
  • Использовать единые учетные данные для ONVIF и RTSP, если возможно.
  • Ограничить доступ к RTSP-порту (554) на уровне сети (брандмауэр, VLAN).

5. Избыточные права доступа​

ONVIF поддерживает модель пользователей и ролей, но на практике часто все пользователи настраиваются с правами администратора. Это нарушает принцип минимальных привилегий.

Пример:
Охранник получает доступ к системе видеонаблюдения, но вместо роли «просмотр» ему дают роль «администратор». Теперь он может менять настройки камеры, удалять записи, добавлять пользователей.

Решение:

  • Использовать встроенные роли доступа (например, Administrator, Operator, Viewer).
  • Назначать права строго по необходимости.
  • Регулярно аудировать список пользователей и их привилегии.

6. Неправильная сегментация сети​

ONVIF-камеры — это полноценные сетевые устройства с операционной системой, веб-интерфейсом и сервисами. Если они находятся в той же сети, что и пользовательские ПК или серверы, это увеличивает поверхность атаки.

Решение:

  • Выделить отдельный сегмент сети для камер (например, VLAN 10).
  • Настроить межсетевые экраны между сегментами.
  • Разрешить доступ к ONVIF-портам только с доверенных IP-адресов (например, с IP-адреса VMS-сервера).

::: warn Обычно IP камеры имеют возможность подключения в облако. Большинство камер -- китайские, подключаются они на китайские серверы. Попробуйте в настройках камеры найти раздел P2P или Cloud -- там будет выключатель и где-то в информации о камере QR-код, чтобы настроить доступ со смартфона.

Надежный ли это канал -- можно только верить на слово. Там, где содержание видеопотоков уж точно не должно никуда попасть, такие сервисы использовать опасно.

:::

Сводная таблица рисков и рекомендаций​

РискПоследствияРекомендации
Учетные данные по умолчаниюПолный доступ к камереСмена паролей, отключение стандартных аккаунтов
Открытые ONVIF-порты в интернетеУдалённый доступ злоумышленникаНе открывать порты, использовать VPN
Использование HTTPПерехват логинов и данныхВключить HTTPS, использовать сертификаты
Отсутствие аутентификации RTSPДоступ к видео без пароляВключить аутентификацию RTSP, синхронизировать с ONVIF
Избыточные права пользователейНесанкционированные измененияИспользовать роли, применять принцип минимальных привилегий
Отсутствие сегментации сетиРаспространение угрозВыделить VLAN, настроить брандмауэр

Заключение: безопасность — это процесс, а не настройка​

Инженер, проектирующий систему видеонаблюдения, несёт ответственность за комплексный подход к безопасности. ONVIF предоставляет инструменты, но их эффективность зависит от правильного применения.

Ключевые принципы:

  • Никогда не оставляйте настройки по умолчанию.
  • Шифруйте всё, что можно — управление и медиапотоки.
  • Разграничивайте доступ по ролям и по сетевым сегментам.
  • Проверяйте конфигурацию на каждом этапе — при установке, обновлении, расширении системы.

Безопасность ONVIF-устройств — это не задача только IT-отдела. Это инженерная дисциплина, требующая внимания к деталям, системного мышления и понимания, что даже самая простая камера может стать точкой входа в сеть, если с ней обращаться небрежно.