Hikvision DS-2CD2032-I - gute Outdoor Überwachungskamera

[dreamy1]

Sagt mal habt Ihr gestern CSI Cyber geschaut oder wie ist Eure Angst real begründet? :-)

Ich mache mir viel mehr Sorgen über Apps und die ganzen Hintergrunddaten und Spuren, die man so digital hinterlässt...mit etwas Geschick findet man da leicht heraus, ob der Hausbesitzer gerade in Urlaub ist, wann jemand zuhause ist usw.....das finde ich viel bedenklicher wenn es um das Thema Einbruch/Datenklau geht.

Selbst wenn sich einer bei mir ins LAN hackt: und dann? Im schlimmsten Fall kommt er an ein paar Daten über freigegebene NAS-Verzeichnisse. Und selbst wenn er die zerstört oder löscht, habe ich ein Backup der wichtigen Daten auf USB-Platte außerhalb des Hauses (das mache ich eh unabhängig von diesem Szenario wegen HDD-Crash/Feuer etc)....

[Andreas1]

Hi,

ich habe einen kleinen Raspi bei mir laufen. Der übernimmt diverse Serverdienste wie Kalender und Kontakte (caldav/cardav), Dateisynchronisierung (seafile) und Jabber (prosody). Diese Dienste müssen aus dem Internet erreichbar sein. Deshalb habe ich bei mir ein eigenes VLAN. In dieses VLAN werde ich zukünftig auch die Cams hängen.

Der Aufwand benötigt bei mir kein Watt mehr Strom. Mein DSL-Router ist ein ASUS RT-N66U mit Tomato-Firmware (shibby). Der Router hat 4 LAN-Ports. Über die GUI lassen sich diese Ports in unterschiedliche VLANs legen. Als Switch kann man jetzt entweder für das extra VLAN einen kleinen POE-Switch nehmen oder einen VLAN-fähigen Switch für alles zusammen.

Die beiden VLANs können erstmal nicht miteinander reden. Der Router gewährt beiden VLANs Zugriff ins Internet. Auf Wunsch routet er auch zwischen den beiden VLANs, so ist bei mir eine Verbindung vom normalen VLAN ins "gefährliche" VLAN möglich, aber andersrum nicht.

Diese Lösung ist für mich ein guter Kompromiss.

Viele Grüße
Andreas

[mfd]

Also eigentlich wie oben von mir beschrieben

1. habe die notwendige Hardware dafür ohnehin schon am Laufen oder
2. führe mein LAN nach draußen - ohne größere Bedenken
3. lege mir die notwendige Hardware für VLAN+Routing etc. zu

Wäre evtl. nicht eine WLan-Kamera zu nehmen und konventionell mit Strom zu versorgen - solange es bei einer oder wenigen Kameras bleibt - eine Alternative?
IMHO dürfte das vom Stromverbrauch eine ebenso gute oder bessere Bilanz geben und das WLan als "separates" Netz ist ohnehin vorhanden und auch bei allen Routern out of the box sicherheitstechnisch konfigurierbar...

[nipponichi]

Von Edimax gibt es auch eine Kamera IC-9110W mit abgesetztem WLAN/LAN-Teil, die Verbindung geht über dünnes Kabel mit Rundstecker, ist aber nicht verlängerbar. Für Paranoide wäre das vielleicht auch was.

[dreamy1]

Nochmal die Frage: was ist das Szenario?

Glaubt Ihr wirklich, da schraubt jemand die Kamera ab (und wird ja dabei eben gefilmt!), um an das LAN-Kabel derselben dranzukommen?

Davon abgesehen wäre das ggf. noch ein Grund, einen NVR mit POE einzusetzen: der spannt über den internen Switch ein eigenes LAN auf (mit anderem IP-Bereich) und man hat nur noch ein einziges LAN-Kabel des NVR zum Anschluss ans Heimnetz. Da laufen dann auch nur Daten drüber, wenn man aktiv auf den NVR zugreift (d.h. es wird auch nur dann Bandbreite auf dem Heimnetz benötigt). Ich bin kein IT-Profi, aber wäre dadurch nicht schon sowas wie eine "Firewall" realisiert? An die Cams kommt man jedenfalls übers Heimnetz dann nicht mehr ohne Weiteres dran - dazu muss am NVR erst die sog. "Virtual Host"-Funktion aktiviert werden, nur dann ist ein Zugriff aufs Webinterface einer Kamera möglich. Ist dann umgekehrt vermutlich genauso....

Bezüglich WLAN: das wäre für mich die letzte Möglichkeit. Wenn man das "sicher" als getrenntes Netz betriebt, kommt man an den Stream der CAMs ja auch nicht mehr so einfach dran, oder? Würde ja nicht wirklich Sinn machen, außer man benötigt kein Livebild.

[mfd]

nipponichi das Edimax Konzept ist ein interessanter Ansatz. Wäre schön wenn das andere Hersteller auch so anbieten würden. Bei (ordentlichen) KNX-Wetterstationen bspw. ist das ja ähnlich aufgebaut. Zweidraht o.ä. zur Inneneinheit und dann auf den Bus.

dreamy1 Szenarien gäbe es viele, aber über die Wahrscheinlichkeit läßt sich selbstverständlich streiten. Das betrifft aber nicht nur Netzwerkkameras, gleiches gilt auch für Türsprechanlagen usw. s.o.
Mit dem WLAN Vorschlag meine ich nicht, dass ich es als separates Netz betreiben möchte, sondern lediglich, dass dafür ohnehin Sicherheitsmaßnahmen existieren und im Router konfigurierbar sind. Sprich: WLAN ist konfigurierbar, dass nicht jeder sofort Zugriff hat wenn er sich in Reichweite befindet.
LAN im Außenbereich stellt einfach ein weiteres offenes Tor dar das nicht sein muss.

[honkytonkguy]

Nun ja, ins WLAN kommt man mit recht einfachen Mitteln und dann auch noch unauffällig aus einem parkenden Auto. Für LAN-Hacking braucht man mehr klassische kriminelle Energie, eine Leiter, Werkzeug... Unter 2,50 m würde ich aber kein leicht zugängliches Kabel legen, Problem besteht also vor allem im Eingangsbereich.

[seppm]

WLAN ist ja nun nicht WLAN.

Bin kein wirklicher Spezialist aber WPA2 gilt durchaus als sicher. Von einer NSA Backdoor die es ggf. hat rede ich jetzt mal nicht.

WEP ist zu unsicher. WPA soll auch nicht ideal sein, WPS Konfig hat angeblich Lücken, aber mit WPA2 fühle ich mich bisher sicher.
Es hängt aber stark von einem sicheren Passwort ab. Meines ist SEHR lang und SEHR kryptisch, da mache ich mir nun keine Sorgen.

Und ja, gar nichts ist absolut sicher. Dann bleibt aber auch nur den Stecker zum Internet aus dem Router zu ziehen. Und alle Geräte mit Funk natürlich aus.

Social Engineering ist eh überall aussen vor, denn die meisten Angriffe werden durch doofe User ermöglicht. Da ist die Backdoor quasi gleich im Hirn integriert ;-)

Cheers Sepp

[Andreas1]

Nun ja, ins WLAN kommt man mit recht einfachen Mitteln und dann auch noch unauffällig aus einem parkenden Auto.

Also wenn bei mir ein fremdes Auto vor der Tür parkt und dann die nächten 10 Jahre dort steht, dann fällt mir das schon auf.

[lukluk]

hallo.kenn von euch jemand eine möglichkeit den stream auf einem freenas-system aufzuzeichnen, und die Datei nach bestimmter zeit automatisch zu löschen?

[Andreas1]

Hi,

hallo.kenn von euch jemand eine möglichkeit den stream auf einem freenas-system aufzuzeichnen, und die Datei nach bestimmter zeit automatisch zu löschen?

du könntest entweder einen rtsp h.264-Stream aufzeichen, benötigst dafür aber ziemlich sicher zusätzliche Software. Oder du stellst per FreeNAS einen NFS- oder CIFS-Share bereit und lässt die Kamera dort aufnehmen. Das was du dort dann findest ist aber nicht gerade übersichtlich.

Viele Grüße
Andreas

[Andreas1]

Hi,

Hi Andreas,
das hin und herspringen (wenn Uhrzeit nicht gesetzt) kannst auch unter Tags erreichen. Es hängt vom Montageort ab, den eingestellten Lux Werten und auch ob der Standort massiver auf das Wetter (z.B. Wolken) reagiert. Das aber nur mal als Erfahrungswert. Im letzteren Fall wird es außer Einstellungen und dem Uhrzeitthema keine Möglichkeiten geben.

wenn es eine LogicEngine gibt, dann gibt es bei den Hikvision eine weitere Möglichkeit, frei nach dem Motto, die beste Automatik ist die, die man abschalten kann. Wir bauen uns eine eigene.

Ich beschäftige mich gerade mit der Hikvision-API und bin schwer begeistert. Damit ließe sich der IRCut-Filter einfach bei Sonnenauf- und -untergang umschalten.

Du erstellst zwei XML-Dateien, eine zum Einschalten und eine zum Ausschalten:

IrcutFilterExt-Day.xml:

<?xml version="1.0" encoding="UTF-8"?>
<IrcutFilterExt version="1.0" xmlns="http://www.hikvision.com/ver10/XMLSchema">
<IrcutFilterType>day</IrcutFilterType>
<nightToDayFilterLevel>normal</nightToDayFilterLevel>
<nightToDayFilterTime>5</nightToDayFilterTime>
</IrcutFilterExt>

IrcutFilterExt-Night.xml:

<?xml version="1.0" encoding="UTF-8"?>
<IrcutFilterExt version="1.0" xmlns="http://www.hikvision.com/ver10/XMLSchema">
<IrcutFilterType>night</IrcutFilterType>
<nightToDayFilterLevel>normal</nightToDayFilterLevel>
<nightToDayFilterTime>5</nightToDayFilterTime>
</IrcutFilterExt>

Auf Tag umschalten:

curl http://<HIK-USER>:<HIK-PASSWORD>@<HIK-IP>/Image/channels/101/IrcutFilterExt --upload-file IrcutFilterExt-Day.xml

Auf Nacht umschalten:

curl http://<HIK-USER>:<HIK-PASSWORD>@<HIK-IP>/Image/channels/101/IrcutFilterExt --upload-file IrcutFilterExt-Night.xml

Das ganze dann eben in die LogicEngine integrieren, bei Linknx z.B. so:

    <!-- Hikvision zwischen Tag ung Nacht umschalten -->
    <rule id="Hikvision_ModeChange" init="true">
      <condition type="timer" trigger="true" >
        <at type='sunrise' offset="5"/>
        <until type='sunset' offset="5"/>
      </condition>
      <actionlist type="on-true">
        <action type="shell-cmd" cmd="curl http://<HIK-USER>:<HIK-PASSWORD>@<HIK-IP>/Image/channels/101/IrcutFilterExt --upload-file IrcutFilterExt-Day.xml" />
      </actionlist>
      <actionlist type="on-false">
        <action type="shell-cmd" cmd="curl http://<HIK-USER>:<HIK-PASSWORD>@<HIK-IP>/Image/channels/101/IrcutFilterExt --upload-file IrcutFilterExt-Night.xml" />
      </actionlist>
    </rule>

Viele Grüße
Andreas

[seppm]

Hi Andreas,

ich hab bisher keine curl-Befehle abgesetzt.

Gefunden hab ich dies dazu:

Zu den praktischsten Kommandos an einem Linux- und Mac-Computer zählt der Befehl „curl“, mit denen sich Web-Anfragen jeder Art an Webserver senden lassen. In Windows ist dieser Befehl normalerweise nicht verfügbar. Man kann ihn allerdings nachinstallieren.
Einige Entwicklertools installieren den curl-Befehl automatisch. Ob er auf dem eigenen Computer eingerichtet ist, findet man heraus, indem zunächst gleichzeitig [Win]+[R] gedrückt, dann cmd eingetippt und auf „OK“ geklickt wird. In der Eingabeaufforderung dann einfach curl [Enter] eintippen.
Sieht man dann nur eine Fehlermeldung, kann man curl von der Website http://www.confusedbycode.com/curl/ gratis herunterladen. Nach dem Download wird der MSI-Installer per Doppelklick gestartet und richtet dann curl systemweit als Befehl ein.

Man würde also mit "seiner Logik-Engine" den curl ... Befehl absetzen eben zB in der gewünschten Abhängigkeit von Sonnenauf/untergang.
Praktisch! Ich selbst steig in der mächtigen Hikvison API noch nicht durch, aber auch das lässt sich mit zB Deiner Vorlage, Zeit und Lust realisieren.

Cheers Sepp

[Andreas1]

Hi Sepp,

es geht nur darum das XML per HTTP-PUT an die REST-API der Hikvision zu übertragen. Das kannst du machen wie du magst, mit curl gehts eben sehr einfach, aber es gibt noch 3000 andere Wege. ;-)

Die API ist wirklich "nett". Was du dort hinschicken musst/kannst verrät dir direkt die Kamera.

Am Beispiel IrCutFilter:
stelle alles über die Oberfläche so ein, wie du es möchtest, dann in einem anderen Browser-Tab folgende URL aufrufen:

http://<HIK-USER>:<HIK-PASSWORD>@<HIK-IP>/Image/channels/101/IrcutFilterExt

und staunen was da kommt. ;-)

Dein Browser hat jetzt einen GET-Request gemacht. Mit PUT kannst du an die gleiche Schnittstelle das geänderte XML wieder hochladen.

Viele Grüße
Andreas

[lukluk]

Hi,



du könntest entweder einen rtsp h.264-Stream aufzeichen, benötigst dafür aber ziemlich sicher zusätzliche Software. Oder du stellst per FreeNAS einen NFS- oder CIFS-Share bereit und lässt die Kamera dort aufnehmen. Das was du dort dann findest ist aber nicht gerade übersichtlich.

Viele Grüße
Andreas

kennst du eine gute freeware software, die das erledigen könnte? am besten mit Bewegungserkennung. die interne Erkennung funktioniert nicht besonders gut.