ドンキWiFiカメラハック(4) セキュリティ上の問題と、Linuxは使用されていなかった！ - honeylab's blog

【追記】改めて確認したところ、製造元及びドンキホーテはLinuxの使用を確認し、ソースコードの開示をはじめました。 ここまでの調査の結果、以下のような問題がわかりました。 このカメラ、とにかくWiFiにつないでクラウド経由で画像を表示することが目的で、ローカルのセキュリティはポンコツです。 アプリからはメールアドレスとパスワードで紐付けられたユーザしか利用できませんが、 telnetやRTSPはローカルに流れたままのため、このカメラが接続されたネットワーク環境内からは画像が自由に見れることになります。また、パスワードを設定することは不可能です。 そのため、このカメラを設置したネットワーク環境では、WiFiのパスワード管理を行ったり、知らない人にLANポートを貸したりしないようにしたほうがいいです。 先述の通り、telnet経由で自由にスクリプトを仕込むことができます。 定期間隔で、自分の専

[koyhoge]

「Linuxを使用していないので開示できるソースコードはない」なんか久しぶりのGPL違反案件だだw

[ysync]

「あんまり追い詰めるとこんなにおもしろいデバイスが安く買えなくなってしまいますのでそっとしておきましょう」

[nippondanji]

自分が何を使ってるか解ってないからザルセキュリティなんだろうなー。

[chintaro3]

そんなどっかの国の首相みたいな回答を許しちゃだめでしょｗ

[karkwind]

パスワード変更できないのかよ…orz

[okusa75]

引き出したシリアルじゃなくて、普通に繋いだLAN側もtelnetdがパスワード変更不可で開いてるのかぁ。ドン・キホーテおそるべし。

[puhitaku]

U-BootとLinuxのバイナリがあるのにLinux使ってない回答で大草原

[kuracom]

ドンキらしさが爆発してて趣深い…総務省の注意喚起の真逆を行くスタイル http://www.soumu.go.jp/menu_news/s-news/01cyber01_02000001_00011.html

[fashi]

「いわゆる中華カメラ製品にはよく見られるものです」具体的に販売ブランド名挙げてほしいな

[n_y_a_n_t_a]

マジカ……ドンキだけに

[itochan]

GPL 違反商品

[riawiththesam]

何から何までガバガバ

[karaage]

ロックなメーカー対応に笑ったw

[nezuku]

すげぇ開き直りっぷりはカメラのソフトもベンダ側の対応もか

[l83DK]

めも

[MonMonMon]

“「Linuxを使用していないので開示できるソースコードはない」” おいおいw

[junglejungle]

この商品、全く同じものがAliExplessなら半額で買えるよ。送料無料で。中華の知的財産への意識はこんなものだよね。アメリカが怒るのも無理は無い。

[urashimasan]

“telnetやRTSPはローカルに流れたままのため、このカメラが接続されたネットワーク環境内からは画像が自由に見れる”

[yutaka_maruoka]

うん、私は何も見てない。そっと閉じよう（市場の研究目的で買おうかな、カメラ）

[Wafer]

兵庫県警出番です

[zu2]

“このカメラ、とにかくWiFiにつないでクラウド経由で画像を表示することが目的で、ローカルのセキュリティはポンコツです”

[quick_past]

なんだこれ酷い(;´Д`)

[nobodyplace]

“なんと！Linuxは使用されていないとのことでした！”

[koba789]

天然由来のコードのみを使用しており、Linux 等の合成コードは一切使用していません、じゃん

[amemiyashiro]

さすがに今の時代、家庭用でもWAN側でTelnetのポート開けてるルータもないだろうし……ないよね？

[k2wanko]

安かろう悪かろうでよい

[testedquality]

これはだめだー、けどドンキにあるってだけで手に取る方多そうなのでぜひ使わないようにしてください。カメラのハッキングされ放題とか最悪です。

[IGA-OS]

面白いWebカメラ♪ ドンキホーテさんも面白いなー

[ryunosinfx]

予想通りのザル実装で受ける。まあセキュリティはネットワーク用にLinuxマシンをかますとかで良いんじゃないだろうか（グルグル）勿論セキュリティは有線LANで。あれ？

[dekaino]

意図せずゴミイメージがストレージに紛れ込んだわけでもなく間違いなく実行されているから、真っ黒けだな。ドンキのバイヤーが騙されているか騙されたふりをしているのかのどちらか

[murashit]

いい話

[cl-gaku]

何を売ってるかも理解はしてないのか

[napsucks]

黙ってbusyboxを使ってるとすんげえめんどいことになるんだけど大丈夫かな。無くならないうちに買い占めておかないと！

[t_f_m]

"ここまでの調査で、本体内にはu-bootやLinuxカーネル、busyboxのバイナリがあることがわかっていました"