gobierno
Los gobiernos locales y las autoridades están cada vez más supeditados a los sistemas de videovigilancia para monitorizar las áreas urbanas densamente pobladas. Londres es un claro ejemplo de vigilancia urbana, donde hay, según consta, una cámara por cada 11 residentes, una irónica realidad ya relatada en la profética 1984, la novela de George Orwell que fue publicada hace más de 65 años.
No es sorprendente que muchas de estas cámaras, en Londres y en otros lugares, estén conectadas a Internet de forma inalámbrica para que las autoridades puedan monitorizarlas por control remoto. Muchas de estas conexiones inalámbricas no son seguras. Por consiguiente, aunque su propósito sea el de combatir el crimen, los criminales no solo tienen la oportunidad de monitorizar pasivamente las grabaciones de las cámaras de seguridad, sino que también pueden introducir nuevo código en sus sistemas, creando imágenes falseadas o desconectando completamente de la red todos los sistemas.
Vasilios Hioureas, un analista de malware que forma parte del Kaspersky Lab, nos cuenta la historia de cómo una vez se subió a una fuente en un sitio público y al hacerlo oyó una voz estridente que le decía desde un altavoz, de forma amable pero firme, que se bajara de allí. Es evidente que la voz al otro lado del altavoz fue alertada por las imágenes de las cámaras de vigilancia. Así que, Hioureas emprendió una investigación para determinar la ubicación de las redes de cámaras de seguridad desplegadas por ciudades de todo el mundo. Sus hallazgos fueron tanto inquietantes como alentadores.
Hioureas viajó a una ciudad sin nombre, examinando el equipo usado como parte de su infraestructura de videovigilancia. Lo que descubrió fue algo similar a la siguiente fotografía, que representa un nódulo dentro del amplio sistema de cámaras de seguridad:
Muchos de las configuraciones, como la parte difuminadaindica, muestra de manera destacada los nombres y números de modelo de los equipos desplegados por toda la red. Esto les facilitó la tarea a Hioureas y su colega investigador, Thomas Kinsey de Exigent Systems Inc, para recrear esta red en un entorno de laboratorio. Todo lo que tenían que hacer fue conectarse a Internet y buscar las especificaciones de los distintos equipos desplegados, encontrar algunas vulnerabilidades conocidas públicamente y algunas proezas similares y podrían piratear fácilmente el equipo.
Como aclaración, ellos no piratearon los sistemas de vigilancia reales, en su lugar se han analizado su hardware y sus protocolos de comunicación y se ha construido un modelo a escala. Sin embargo, sí tuvieron la oportunidad de echar un vistazo a los paquetes de datos que pasan a través de la red inalámbrica y a los paquetes que no estaban cifrados.
En otras palabras, pudieron ver toda la información en la red, en este caso mediante secuencias de video y otros datos de comunicación, en texto plano.
La buena noticia que este par de investigadores determinaron, fue que el equipo usado contaba con unos controles de seguridad muy sólidos. La mala noticia fue que estos controles no estaban siendo usados en entornos reales.
En las redes domésticas, todos los dispositivos con capacidad para conectarse a Internet se conectan a la red y entre ellos mediante un router. Todas las conexiones a Internet u otros dispositivos se ejecutan mediante un router. Cualquier dispositivo conectado a ese router podría engañar al resto de dispositivos para que piensen que es el router y monitorizar o cambiar los datos mediante lo que llamamos “ataque man-in-the-middle“.
La red de cámaras de vigilancia examinada por Hioureas y Kinsey era más complicada que una red doméstica, ya que los datos tienen que recorrer distancias más largas. En pocas palabras, el tráfico de la red de vigilancia viajaría desde cualquier cámara a través de un conjunto de nodos que finalmente conducen a un núcleo, que llamaremos la comisaría de policía. El tráfico sigue una especie de camino de menor resistencia donde cada nódulo (o cámara) tiene la capacidad de comunicarse con varios otros y elige el camino más fácil de vuelta a la comisaría.
Muchos sistemas de #videovigilancia aplicados por las autoridades ofrecen muy poca #seguridad, de acuerdo con las investigaciones de @Kaspersky
Tweet
Hioureas y Kinsey construyeron una serie de falsos nódulos con la intención de ofrecer una línea de comunicación directa con una comisaría simulada. Como conocían todos los protocolos que se utilizan en la red, fueron capaces de crear un nódulo man-in-the-middle que parecía ofrecer el camino de menor resistencia, haciendo que los nódulos reales transmitieran su tráfico a través de la vía maliciosa que habían creado.
Who is to blame for “hacked” private cameras? https://t.co/WItQAZKAbU #security #webcams pic.twitter.com/k7LcRXH6vX
— Kaspersky (@kaspersky) November 21, 2014
Una consecuencia de este ataque es una especie de escenario hollywoodiense en el que los cibercriminales filtran imágenes a la comisaría de policía, pretendiendo ser un incidente que requiere de asistencia de emergencia que ocurre en un lugar concreto con el objetivo de distraer a las autoridades de un crimen real que ocurre en otra localización completamente distinta.
Aparte de esto y de los evidentes problemas de privacidad en juego, los actores malintencionados podrían realizar un seguimiento de las personas mediante la monitorización de los datos de vigilancia o incluso encaminar el tráfico a una falsa comisaría, con el objetivo de que las autoridades no reciban ningún material audiovisual.
Los investigadores contactaron con el equipo de mantenimiento de la red en la que se basó el experimento y actualmente trabajan en solventar sus problemas de seguridad. Los sistemas que presentan situaciones similares deberían implementar el cifrado WPA protegido por una contraseña segura en sus redes, retirar las etiquetas de los productos para dificultar la identificación de los equipos específicos y cifrar el material audiovisual mientras se está transmitiendo a las cámaras de la comisaría.
Consejos