『あぶない』のクチコミ掲示板

[seiziro]

漏えいの危険があるのは、アイ・オー・データ機器製のネットワークカメラ６機種。

書込番号：17905017

[キハ65]

ニュースソースはこれですか。
http://www.yomiuri.co.jp/national/20140905-OYT1T50134.html

書込番号：17905053

[＿ﾉ乙(､ﾝ､)＿ …ｚｚＺ]

ええーー！

何台かこのネットワークカメラを知人に広めてしまいました。
教えてくれてありがとう。

機械音痴な友達に設定が簡単なのでこのカメラ教えてあげて、設定できたと喜んでいたのですが
勧めた友人全員パソコン全く分からない人種だから、ファームアップデートなんて出来るわけないです。
明日みんなに謝ってきます…
アップデートもいかないとなあ…近場は良いとして、新潟、広島、埼玉か。
詳しい人が近くにいるといいなあ…
IODATAさん、旅費出しとくれよ…

書込番号：17905515

[Customer-ID:u1nje3ra]

>>このカメラはネットにつなぐと、カメラごとにＵＲＬ（ネット上の住所）が割り当てられる。そのＵＲＬが分かれば、パスワードなどの情報を入力せずに第三者がカメラの映像を見ることが可能になる。

これはカメラから情報漏洩するんじゃないです。
URLという情報が、主に人間の操作ミスで外部漏洩しないかぎり、ほぼ１００％大丈夫です。
クレカを落としたら、不正使用されることもある、という程度の話です。
　
どちらかというと、「リテラシーの低い人対策＝Foolproof」のほうの問題ですね。



http://wired.jp/2009/06/01/%E4%B8%96%E7%95%8C%E5%90%84%E5%9C%B0%E3%81%AE%E7%9B%A3%E8%A6%96%E3%82%AB%E3%83%A1%E3%83%A9%E6%98%A0%E5%83%8F%E3%82%92%E3%80%8Eiphone%E3%80%8F%E3%81%A7%E8%A6%8B%E3%82%8B%E3%82%A2%E3%83%97%E3%83%AA/

世界各地の監視カメラ映像を『iPhone』で見るアプリ

書込番号：17905744

[SKY☆BLUE]

ファームウェアの更新すれば良いですよ。
パソコンでアクセスすればファームウェアの自動更新が始まります。

書込番号：17905847

[スーパカー消しゴム]

大切なことは冷静に対処することですよね。

詳しい手法を公開すると被害が拡大する可能性があるから公開されていないので、ユーザーでかつこのニュースを知った人はモヤモヤ感が出てしまうと思いますが、大人の対処でいくしかないですね。読売も取り上げ方がイヤラシいなと思いました。あの書き方だとインパクトがあるから認知度が広まるという効果は認めざるを得ませんが...

今回の問題は、URL情報だけで説明がありましたが、URLだけじゃなくて、もう一つのベーシック認証のユーザー名、パスワードも問題の一部だったと思います。

Qwatchシリーズ（少なくとも自分の持っている4モデル）では、外部からパソコンを使ってアクセスするためのURLが自動的に生成されます。（例）　http://wcam-1234567.iobb.net:54321　

このURLがわかれば、第三者がカメラ本体のファームウェアにアクセスできるので、あとはいろんな攻撃方法が考えられます。または単純にベーシック認証でユーザー名はadminでパスワードはカメラ本体のMACアドレスを入力すれば正しい手順で映像が見れます。カメラのMACアドレスを知る方法は何種類か考えられます。

URLを知られてしまう方法はそんなに難しくないのとそれ自体は問題ではないと思います。URLはDDNSサーバーのものであってカメラのファームウェアそのものアドレスではなく、今回のファームウェアアップデートで、DDNSサーバーが変更になるはずもなく、ここは今まで通りのはず。なので、今後ともURLまでのアクセスはされているし、可能なまま、そしてそれは問題ではないと思います。

カメラファームウェアにアクセスしたあとにコチョコチョするといたずらが出来てしまうというのが問題で、今回はコチョコチョされてもいたずら出来ないようにファームウェアを修正したということだと思います。カメラだけに限りませんが、ファームウェア修正をすべてのユーザーに実施してもらうのはなかなか大変な作業というか、100%は無理なので困ったもんです。

ちょっと知識ある人向けにはもう少し解説があったほうがいいと思いますが、複数人でいろんな可能性を討議したら、詳細な情報はださないということになるのでしょうね。

書込番号：17906287

[Customer-ID:u1nje3ra]

スーパカー消しゴムさんが言うことが問題なのであれば、ニュースソースの文章自体が問題ですね。
先ずベーシック認証を使ってる時点で、相当によわっちい感じがありますね。
またファームウェアにアクセスできるとありますが、これはつまり管理画面が見られるってことですかね。ルーターに良くあるやつ。
これも通常はWAN側からはアクセス出来ないのが普通だと思いますので、WANから繋ぐ事が出来るのであれば不味いですね。

書込番号：17906987

[スーパカー消しゴム]

Customer-ID:u1nje3raさん

コメントありがとうございます。

Qwatchシリーズは、iOSアプリ、Androidアプリの2つがアプリケーションとして用意されていますが、PC用はブラウザーを利用することになっています。で、ブラウザーは何をしているのかというとカメラのファームウェアにアクセスします。DDNSを利用してリモートからルーターのファームウェアにアクセスしているのと全く同じで、ファームウェアの中に「Live View」があって、それで映像を見る仕組みです。(添付画像参照ください）

URLたたいて、ルーターと同じくベーシック認証が出てきて、idは全員共通でadmin、パスワードはルーターだったらpasswordだったりしますが、さすがにカメラなのでパスワードにはMACアドレス12桁が使われています。12桁ですが、IOデータのMACアドレスの先頭は3476C固定で誰でも知る事ができる公開情報だから、パスワードの残りは6桁です。

さらに具体的にまずいなと思うのは、スマホアプリで自宅の犬とか様子をFacebookやブログにアップしている人の画面にカメラ名としてデフォルトでアプリが割り振る名前がCAM-1234となっており、この最後の4桁は実はMACアドレスの末尾4桁を使っています。

つまりIOデータ製カメラのパスワードは、3467C5XXYYYYで、最後のYYYYはFacebookなどにアップされた画像から判明するので、あとわからないのはXXの2桁だけです。

00からFFまで試せばいいので、なんか楽勝すぎる感じですね....

このパスワードが実質的に2桁しか有効でないという問題はファームウェアをアップデートしても直らないのでユーザーがすばやくデフォルトから変更することが必須です。でも、およそほとんどの人がデフォルトで使っているはずなので他人事ながらヒヤヒヤします。

書込番号：17907325