TECHNIEK  
New Security Magazine 146 – april 2018

Is uw beveiligingssysteem zelf wel beveiligd?

Traditionele beveiligingssystemen dienen aan strenge eisen te voldoen om gegarandeerde betrouwbaarheid te bieden. De tijden veranderen echter. Klanten vinden moderne snufjes tegenwoordig veel belangrijker dan beproefde degelijkheid. Dat dit nieuwe risico’s met zich meebrengt zal duidelijk zijn. Wat is daar zoal tegen te doen?

Vooral particulieren lopen het risico dat hun beveiligingssysteem zich juist tegen hen keert. Zij schaffen camera’s aan om hun huis te bewaken en in plaats daarvan verschijnt hun huiselijke sfeer op de Russische website insecam.org, die beelden van slecht beveiligde camerasystemen openbaar maakt. Het betreft dan veelal camera’s en recorders waarvan het fabriekswachtwoord niet is veranderd. Een beetje hacker heeft wel een lijstje met bij bekende fabrikanten behorende fabriekswachtwoorden en er zijn op internet veel handige tooltjes te vinden, waarmee online aangesloten camera’s zijn te vinden. Zo makkelijk als het is om de beelden te onderscheppen, zo makkelijk is het ook om het systeem op afstand uit te schakelen of beelden te manipuleren, als men wil inbreken zonder dat dit op video wordt vastgelegd.

Niet alleen particulieren

Wat geldt voor camerasystemen, geldt evenzeer voor systemen voor inbraakdetectie en toegangscontrole. Ook zijn het beslist niet alleen particulieren die zich zorgen hoeven te maken over tegen beveiligingssystemen gerichte cybercrime. In luxe woningen vindt men het prettig als met een app op afstand de beveiliging kan worden ingesteld, maar ook wil men op deze wijze de verlichting, de zonneschermen en andere huisinstallaties bedienen. In bedrijven is dat weinig anders. Ook daar stijgt de behoefte om alle technologie te integreren tot één op afstand te beheren systeem. Zo ontstaan netwerken waarin ook apparaten worden opgenomen, waarvan het onwaarschijnlijk is dat hackers het daarop hebben voorzien, zoals slimme koelkasten en verwarmingsketels. Hackers zullen er inderdaad weinig aardigheid in hebben om een koelkast uit te schakelen, maar het apparaat kan ze wel goede mogelijkheden bieden om op het netwerk binnen te komen. Het is dan nog een koud kunstje om het alarm op afstand uit te schakelen en de elektronisch beveiligde voordeur te openen.

Openbaar

Beveiligingssystemen werken als een magneet op hackers. Niet altijd vanwege criminele intenties overigens. Het wordt ook wel als sport gezien om juist op systemen in te breken, waarvan men zou mogen verwachten dat dit heel moeilijk wordt gemaakt. Als het lukt hebben de meeste hackers de gewoonte om hun bevindingen openbaar te maken. Dat naar eigen zeggen om gebruikers van de technologie te waarschuwen voor hun kwetsbaarheid. Soms proberen ze eerst de fabrikant van de technologie zover te krijgen dat die de beveiliging verbetert en ervoor zorgt dat die verbetering ook bij bestaande gebruikers wordt doorgevoerd. Maar als die fabrikant niet of niet tijdig reageert, gaat de informatie online en kunnen ook criminelen er dankbaar gebruik van maken. Wie denkt dat dit alleen met IP-systemen kan gebeuren, zal vroeg of laat tot schade en schande ondervinden dat dit niet het geval is. Er is zelfs een hackersgroep die mechanische sloten kraakt (toool.org). En een paar jaar geleden werd de beveiliging van een alarmprotocol voor hogere risico’s gekraakt.

Geen Fort Knox nodig

Het is waar dat als een hacker koste wat kost zijn doel wil bereiken, dat bijna altijd wel lukt. Maar net zoals het niet nodig is om een winkel tot Fort Knox te verbouwen om verschoond te blijven van criminaliteit, zo zijn ook niet 25 continu gemonitorde firewalls nodig om te voorkomen dat een alarmsysteem door een onbevoegde wordt uitgeschakeld of dat iemand meekijkt met de bewakingscamera’s.

Effectieve beveiliging begint met de keuze van een goed wachtwoord. Veel particulieren, maar zeker ook bedrijven zijn al blij als een camerasysteem werkt. En dat doet het als voor het gemak de fabrieksinstellingen onveranderd blijven. Dat het vervolgens gemiddeld nog geen minuut duurt, voordat het systeem door internetrobots is gedetecteerd en hackers de controle kunnen overnemen, is een risico dat makkelijk over het hoofd wordt gezien. Zeker als men in eerste instantie niets merkt van de inbreuk. Wij zullen geen merknamen noemen, maar de vier grootste cameramerken gebruikten tot voor kort als gebruikersnaam en wachtwoord respectievelijk service/service, admin/admin, admin/12345 en Root/Pass. Enkele merken dwingen nu bij installatie het wachtwoord te veranderen, maar veel oudere camera’s blijven kwetsbaar voor inbreuk.

Sabotage

Het wachtwoord mag ook niet te makkelijk te raden zijn. Het hoeft doorgaans maar één keer ingevoerd te worden, dus dan is het een relatief kleine moeite om een sterk wachtwoord te kiezen. Evenzeer is een goed wachtwoord voor de router en het netwerk vereist. Het heeft sterk de voorkeur als de toegang beveiligd is tegen zogenaamde ‘brute force’-aanvallen, waarbij een computer razendsnel miljoenen mogelijke wachtwoorden uitprobeert. Beveiliging hiertegen zorgt ervoor dat na bijvoorbeeld drie pogingen de toegang vijf minuten geheel geblokkeerd wordt. Bij een draadloos netwerk dient erop gelet te worden dat de communicatie versleuteld wordt. Het WPA2-protocol volstaat voor de meeste risico’s. Bij draadloze systemen kan echter wel vrij makkelijk sabotage worden gepleegd. De hiervoor benodigde ‘jammers’ zijn vrij in de handel te koop. De betere, draadloze beveiligingssystemen zijn berekend op een dergelijke sabotage, maar het kan geen kwaad dat te controleren.

Terughoudendheid

Hoewel het heel handig kan zijn om allerlei apparaten op hetzelfde netwerk aan te sluiten als dat van de beveiligingsapparatuur, is enige terughoudendheid op haar plaats. Er komen steeds meer alarmsystemen op de markt, waarmee ook de verlichting en de verwarming zijn aan te sturen. Dat is niet per definitie onveilig, maar het maakt het alarmsysteem wel kwetsbaarder als de aangesloten apparatuur niet afdoende is beveiligd. Ook een verwarmingsketel mag niet met het fabriekswachtwoord op het netwerk worden aangesloten. De Amerikaanse winkelketen Target werd in 2014 via het klimaatbeheersingsysteem gehackt, waardoor de creditcardgegevens van 40 miljoen klanten op straat kwamen te liggen. Ook de smartphone of tablet, waarmee het beveiligingssysteem op afstand wordt bediend, kan een zwakke schakel zijn als deze niet is voorzien van een deugdelijke toegangsbeveiliging en antivirussoftware met detectie van verdachte activiteiten. Het is ook beter om deze apparaten nooit via een openbaar wifi-netwerk te laten communiceren, omdat op die manier ook inloggegevens voor de beveiligingssystemen kunnen worden gestolen. De beveiligingssystemen op afstand bedienen via een openbaar wifi-netwerk staat ongeveer gelijk aan het rondstrooien van huissleutels met adreslabel.

Alle waar naar zijn geld

Camerasystemen waarvan de beelden via een app zijn te bekijken en die met een pushbericht alarm met beeld doorsturen, maken een grote opmars door. De verleiding is groot om voor enkele tientallen euro’s zo’n systeem in China te bestellen. Maar alle waar is naar zijn geld. Veelal zal blijken dat de beveiliging niet apart is in te stellen en dat signalen onversleuteld worden overgedragen. Dat is niet fijn als (privacy)gevoelige beelden worden vastgelegd. Beter is het om gewoon in een goede NVR te investeren, waarvan onder andere de IP-geschiedenis is te bekijken om er achter te komen of onbevoegden proberen in te loggen. Wijzig ook daarvan regelmatig het wachtwoord. Mochten hackers het hebben kunnen raden, dan hebben zij daar in ieder geval niet lang plezier van. Ook verdient het sterk de voorkeur om in bekabeling van de componenten te investeren. Draadloze systemen zijn te makkelijk te manipuleren. Mocht bekabeling echt niet mogelijk zijn, gebruik dan een systeem met een app die automatisch waarschuwt als het draadloze signaal wordt verstoord.

Tot slot geldt net als voor computers: zorg altijd voor automatische updates van de software en firmware. Er komt altijd wel een moment dat hackers een kwetsbaarheid in een systeem ontdekken. De betere fabrikanten zullen dan direct tegenmaatregelen treffen, maar daar heeft de gebruiker niets aan als deze van zijn systemen niet regelmatig de firmware actualiseert. Bij een geslaagde inbraak valt de fabrikant van het beveiligingssysteem dan niets te verwijten.