Babyfoonfabrikanten leren niet van fouten

Nieuwe modellen net zo goed te hacken.

Ondanks dat afgelopen jaren verschillende malen is aangetoond dat videobabyfoons en met internet verbonden babymonitoren eenvoudig te hacken zijn, hebben fabrikanten weinig tot niets gedaan om dit in de toekomst te voorkomen.

Uit onderzoek van beveiliger Rapid7 blijkt dat negen nieuwe populaire apparaten om je kind in de gaten te houden nog steeds boordevol securitygaten zitten. Dat maakt dat hackers kunnen meekijken, meeluisteren en zelfs terugpraten. Feeds zijn kwetsbaar voor aftappen en 8 van de 9 devices kunnen worden volledig worden overgenomen.




In het whitepaper (pdf) dat Rapid7 deze week naar aanleiding van het onderzoek uitbracht, worden 8 apparaten met de laagst mogelijke beoordeling beloond. De apparaten maken zich schuldig aan het werken met hardgecodeerde inloggegevens voor SSH en Telnet, onversleutelde videostreams en API's die niet beschermd zijn.

Zo is de Philips In.Sight B120 verbonden met een back-end webserver op internet die als proxy werkt voor weergave van een live camerafeed. In die verbinding vindt geen authenticatie of encryptie plaats, terwijl iedere camera vanuit een vastgestelde range een hostname en poortnummer toegewezen krijgt. Hackers kunnen door brute-forcing eenvoudig alle aangesloten camera's benaderen en instellingen wijzigen, schrijven de onderzoekers.

Weer een andere camera, de iBaby M6, slaat alle video-opnamen op in een onbeveiligde cloud. Een hacker hoeft alleen een serienummer te weten om toegang te verkrijgen. En het model 'Summer Infant Baby Zoom' verbindt met een remote webservice waarbij gasten kunnen worden toegevoegd zonder dat zij een wachtwoord of autorisatiesleutel nodig hebben. De fabrikanten hebben beterschap beloofd.