Dotaz: mobilne aplikacie pre IP kamery a bezpecnost

[jojo]

Vezmime si napr. IP kamery od hikvision (ale vo vseobecnosti by sa malo jednat o kazdy typ IP kamery na ktoru je aj mobilna aplikacia).

Ak by som na komunikaciu s IP kamerou pouzival len webovy prehliadac a povolil by som len porty 80, resp. 443 plus cielovu IP adresu z ktorou moze IP kamera komunikovat, tak by sa to javilo ako dost bezpecne spojenie.

Neviem presne ako funguju aplikacie v mobile. Hikvision ma aplikaciu hikconnect. Tieto aplikacie funguju vacsinou tak, ze po nas chcu hned nejaku registraciu, vytvorenie nejakeho konta, pridanie zariadeni na akomsi cloude, naskenovanie QR kodu zo zariadenia a potom nam to vsetko krasne funguje aj bez verejnej IP adresy. Z toho vypliva, ze ak v sieti kde je IP kamera nie je verejna IP adresa (ci uz priamo na IP kamere, alebo za NATom, nad ktorym mame kontrolu), tak sa vsetky data odosielaju na cloud prevadzkovatela tejto sluzby (resp. aplikacia komunikuje s IP kamerou cez cloud prevadzkovatela). Cize nad nasimi zariadeniami ma plnu kontrolu aj prevadzkovatel sluzby.

Ked som si nainstaloval hikconnect, tak som sa nikde neregistroval, IP kameru som si pridal rucne a funguje to dobre. Pozadujem sledovanie online videa, prehravanie zaznamu a to funguje dobre. Samozrejme notifikacie, prip. vzdialena sprava uz nefunguje (zrejme to chce registraciu).

Ako by som mohol zistit, co vsetko a kde odosiela aplikacia hikconnect ?

Odpovědi

[Max]

Zjistíš to tak, že sniffneš komunikaci. Tu sniffneš tak, že použiješ třeba Mikrotik jako wifi AP a v Mikrotiku si můžeš traffic z konkrétního interface posílat rovnou do Wiresharku a online vidíš, co se tam děje.
Reálně ale podle mě nic neobjevíš, komunikace bude šifrovaná a tu jen tak nerozlouskneš. Uvidíš tedy jen to, že se to občas někam připojí, ale to je podle mě tak všechno. Nebudeš vědět, zda je to kontrola nové verze, nějaký counter, který říká, že to používá další uživatel atd.
Aby jsi se dozvěděl něco víc, tak musíš mít zkušenosti s takovým louskáním. A je pak i dost možné, že i se zkušenostmi to nedáš.
Rada na závěr je tedy taková, že pokud nějaké aplikaci nevěříš, tak jí nepoužívej a použij nějakou, které věříš. alternativních řešení je hodně. Kvalitních Opensource ale už moc ne. Já osobně jsem se svěřil Rusku a používám Xeomu.
Zdar Max

[jojo]

pouzivam pfsense, takze teoreticky by som mohol pouzit tcpdump, ale z tych logov by som asi fakt vela nezistil.

Aha, tak to som nevedel, ze mozem pouzit aj inu aplikaciu. Celkom ma to zaujma. Myslel som si, ze na hikvision mozem pouzit v mobile len hikconnect prip. inu aplikaciu od hikvision.

Je mozne nejako zabezpecit aby IP kamery nekomunikovali zo servermi hikvision ?

Pomohlo by, keby boli kamery len v LAN a ak by som sa chcel na nich dostat z WAN, tak by som siel napr. cez openvpn. Alebo je to jedno a aj ked budu kamery v LAN, tak stale budu komunikavat z hikvision servermi ? Prip. by som pre kamery vyclenil jednu VLAN, ktora by nemala pristup na internet

[Max]

Tak standardně by měly být kamery v oddělené síti bez přístupu na internet. Jen kamerový server nebo DVR by mělo být přístupné z venku.
Já nepoužívám DVR, ale kamerový systém Xeoma, ke kterému lze připojit jakoukoli kameru.
Pokud máš DVR od Hikvision a nemůžeš použít vlastní kamerový server, tak k DVR Hikvision můžeš přistupovat k jednotlivým kamerám přes RTSP. Aspoň tak nám to funguje v jedné lokalitě, kde potřebujeme realtime obraz pro řidiče stroje (= kouká přes HDMI přímo na DVR) a zároveň chceme mít centrální zálohu obrazu do našeho současného kamerového systému. A to řešíme právě tak, že v DVR Hikvision nemáme disk a přes RTSP to posíláme do našeho cam serveru, kde se řeší archivace záznamu. Hikvision DVR pak jen slouží jako zobrazovadlo pro řidiče a bridge pro náš cam system.
Zdar Max

[jojo]

Mam NVR a 3 kamery. Cez hikconnect sa viem z vonka pripojit ku kazdej kamere zvlast, ale aj k NVR kde vidim vsetky kamery (mam to zatial riesene cez forward portov na verejnej IP adrese). To vsak nepovazujem za bezpecne riesenie aj ked tam su silne hesla a nestandardne vysoke porty.

Ak by to malo fungovat cisto cez webovy prehliadac, tak by sa dala kamera pekne skryt pred servermi hikvision (kameru proste nepustit mimo LAN a z vonka sa pripajat cez webovy prehliadac).

Avsak aplikacia hikconnect je dost nevyhnutna pre rychle zobrazenie online videa, alebo prehravanie zaznamov z NVRka.

Tym Xeoma dokazes nahradit HikConnect (pouzivam android)?

[Max]

Pokud nechceš mít vystavené DVR do netu a zároveň nechceš používat cloudové služby, tak jedinou možností je vlastní vpn, kterou se z mobilu připojíš do své lokální sítě a pak aplikací od Hikvision přímo na dvr.
Xeoma je kamerový systém, tj. náhrada Hikvision DVR s tím, že podobně jako u Hikvision musíš mít zřízený přístup z venku, aby jsi se na to dostal z mobilu. Jinými slovy, v tvém případě to nic neřeší.
Jediným řešením je tedy vpn do lokální sítě. To ale předpokládá, aby ti doma něco běželo, co ti to vpn zařídí, stačí i obyčejné RPi4, kde si rozjedeš nějaké vpn řešení (oblíbený a jedoduchý je v dnešní době WireGuard).
Zdar Max

[jojo]

Zriadenie VPN neni problem. Doma mam verejnu IPv4 a 100 mbps upload + pfsense v KVM. Aj ked viem, ze z wireguard na pfsense bol nejaky problem a v 2.5.0 bol odstraneny, ale radsej by som siel do openvpn.

Na pripajanie sa na NVR/kamery pouzivam hikconnect. Obavam sa, ze ta aplikacia okrem toho ze sluzi pre mna, tak bude sluzit aj pre hikvision servery a urcite bude zo servermi nejako komunikovat a odosielat im nejake data z mojho mobilu. Toho by som sa chcel zbavit. Prip. by som hikconnect nahradil nejakou inou aplikaciou, len neviem ci je to mozne.

[X]

Pokud je kamera rozumne otervrena a podporuje standard ONVIF zadny software treti strany nepotrebujes a reseni si muzes postavit sam napriklad nad protokolem RTSP..