HikVision Paranoia?

[Knochen]

Guten Morgen,

Da es hier einen langen Thread zu den HikVision Kameras gibt und ich mir 3 Kameras aus China liefern lies, habe ich in den letzten Tagen mein Kopfkino angeworfen und mir überlegt wieso die Dinger eigentlich so billig sind.
Bislang war ich kein Anhänger zu Verschwörungstheorien, die letzten Tage gaben mir aber ein wenig zu denken.

Im erinnere mich dunkel, dass es vor 2 Jahren eine Warnung gab, dass chinesische Securitycams nach Hause telefonieren.
Dabei wurde die IP Adresse, Benutzername/PW und der WLAN Schlüssel übertragen.

Hikvision bietet Apps für Android und eine "Player-Software" für Windows-PCs an.
Die HikVision App (EzViz) gibt es aber nicht im PlayStore. Man muss sie als nicht vertrauenswürdige App im Netz herunterladen.
Um die Webcam auf Windows7 im Browser anzuzeigen, genügt nicht der Flash-Player oder ein anderer in Windows integrierter Player.
Nein, es muss der eigene HikVision Player sein.
Wie es im iTunes App Store ist kann ich nicht sagen.

Wieso schreibe ich das.
Am Wochenende gab es aus China einen erfolgreichen(!) Versuch sich auf meinem Facebook Account anzumelden.
Die Anmeldung wurde aber gesperrt, da die zeitliche Anmeldung an 2 Orten für Facebook nicht plausibel war.
Viel mehr Sorge machte mir die Anmeldung bei meinem OnlineBanking. Zum Glück wurde auch hier die Anmeldungsplausabilität geprüft.
Ich habe fürs Online Banking 2 unterschiedliche Passwörter. Es wurde die Anmeldung mit meinem Android-PW versucht.
Sonstige nicht vertrauenswürdige Apps wurden nicht installiert.

Und jetzt kommt meinen große Verschwörungstheorie.
Kann es sein, dass die chinesische Regierung den Verkauf von chin. Securitycams preislich stützt um Zugang zu Daten inkl. Video in der ganzen Welt zu erhalten?
Haben kriminelle Personen Zugang zu diesen Daten?

Was meint ihr?
Martin

Nachtrag:
Grad gesehen, dass User "Hick" im Mega-Hikvision Thread vor 6 Minuten den selben Gedanken hatte.
EzViz gibt es jetzt anscheinend doch wieder im PlayStore als Download. Update wurde schon durchgeführt.

[BadSmiley]

Und jetzt hör dich mal selbst mit etwas Abstand: die chinesische Regierung investiert Millionen um an dein Facebook Konto und deine Bankdaten zu kommen und ist dann zu dämlich einen einfachen, Deutschen Proxy zu verwenden? Warum?!

[evolution]

Warum?!

...und der ganze Auswand, obwohl ich kein Facebook account habe. So ein Pech aber auch.

Bin gespannt wann die Chinesen das merken....

[MarcusF]

Die chinesische Regierung vielleicht nicht, aber ein Trojaner in der Firmware wäre für Onlinebetrüger sehr lukrativ und wahrscheinlich nicht mal besonders schwierig beim Hersteller der Kameras einzuschmuggeln. Wohl dem, der weiß wie man Wireshark bedient. Viren in Windows- und Androidsoftware ist auch nichts neues, gab ja schon Laptops mit vom Hersteller vorinstallierter Malware.

Dass die Kameras aus China so preiswert sind, dürfte eher daran liegen, dass Arbeits- und Umweltschutz dort keinerlei Kosten verursachen...

[EPIX]

deswegen habe ich auch immer einen Aluhut auf....

[evolution]

deswegen habe ich auch immer einen Aluhut auf....

Ich glaube ich bastel mir auch bald einen...

[Knochen]

Jaja, habts ja recht.
Vielleicht bin ich etwas übers Ziel hinaus geschossen.
Trotzdem sollte man manchmal hinterfragen was wir uns alles auf den Rechner installieren.
Mir ist immer noch nicht ganz klar, wieso man am PC ein eigenes WebPlugin installieren muss?
Wenn ich beim Geheimdienst wäre, würde ich die Kameras verschenken.
Da gabs angeblich sogar einmal eine Pinky and the Brain - Folge wo sie genauso die W............. :-)

Die Kameras die vor 2 Jahren zahlreiche Daten nach China übermittelt haben waren Foscams.

[qwasyx]

Daher die Kameras am besten in ein eigenes VLAN packen, und dort dann entsprechende Zugriffsregeln in der Firewall forcieren (Zugriff nur auf LAN-Adressen). Löst natürlich nicht das Problem, dass das WebPlugin eventuell den eigenen Rechner verseucht... aber lassen sich nicht auch bei den Hikvisions die Videostreams per RTSP oder MJPEG-URL, sprich ohne WebPlugin, abrufen?

[MarcusF]

deswegen habe ich auch immer einen Aluhut auf....

Naja, in 14000 Android-Apps ist ne dicke chinesische Backdoor drin. Man sollte schon ein wenig aufpassen, was man sich so installiert.

[KNXMane]

... aber lassen sich nicht auch bei den Hikvisions die Videostreams per RTSP oder MJPEG-URL, sprich ohne WebPlugin, abrufen?

Ja das geht.

Markus

[evolution]

... aber lassen sich nicht auch bei den Hikvisions die Videostreams per RTSP oder MJPEG-URL, sprich ohne WebPlugin, abrufen?

Sicher. Das WebPlugin benutze ich gar nicht und halte es auch nicht für notwendig.

[KNXMane]

Daher die Kameras am besten in ein eigenes VLAN packen, und dort dann entsprechende Zugriffsregeln in der Firewall forcieren (Zugriff nur auf LAN-Adressen). Löst natürlich nicht das Problem, dass das WebPlugin eventuell den eigenen Rechner verseucht... aber lassen sich nicht auch bei den Hikvisions die Videostreams per RTSP oder MJPEG-URL, sprich ohne WebPlugin, abrufen?

Hallo

Kurze Frage da ich mich mit VLAN nicht so auskenne. Wenn ich die Kameras in ein VLAN packe verhinder ich noch nur den internen Datenverkehr im LAN. Aber nicht, dass sie nach aussen senden oder? Was muss ich da noch tun?

Ich habe für die Kameras mal den Verkehr nach aussen über die Fritzbox gesperrt. Dann konnte ich aber auch nicht per VPN auf die Kameras zugreifen. Ich dachte, wenn ich mich per VPN einwähle, bin ich im LAN.

Kann mich da jemand aufschlauen?

Markus

[qwasyx]

Wenn ich die Kameras in ein VLAN packe verhinder ich noch nur den internen Datenverkehr im LAN. Aber nicht, dass sie nach aussen senden oder? Was muss ich da noch tun?

Naja, alles eine Sache der Konfiguration :-) Dein VLAN-fähiger Switch hängt ja letztendlich an einem Router oder, noch besser, einer richtigen Firewall. In eben dieser musst du dann den Zugriff VLAN X --> WAN verbieten. Eine FritzBox hat leider keine integrierte VLAN-Unterstützung...

Ich habe für die Kameras mal den Verkehr nach aussen über die Fritzbox gesperrt. Dann konnte ich aber auch nicht per VPN auf die Kameras zugreifen. Ich dachte, wenn ich mich per VPN einwähle, bin ich im LAN.

Hm, kann ich jetzt leider auch nicht adhoc sagen, woran das liegen könnte. Das Verbieten von ausgehendem Verkehr sollte den Zugriff über VPN eigentlich nicht einschränken... vielleicht nutzt hier ja jemand anders eine FritzBox und weiß weiter...

[coliflower]

Was ist ein guter VLAN-fähiger Switch bzw. gute Fire-Wall ?

[qwasyx]

Switch: zum Beispiel der hier. Relativ günstig (8 Ports für 35€) und unterstützt VLANs (802.1Q) (allerdings nicht fortgeschrittene Dinge wie bspw. RADIUS-Authentifizierung oder IGMP v3-Snooping...)

Firewall: Nun, hier gehen die Meinungen sicherleich auseinander. Manche hier im Forum schwören auf Geräte von MikroTik (klick), da diese sicherlich mit das beste Preis-/Leistungsverhältnis am Markt haben. Sie bieten eine wirklich unglaubliche Menge an Settings und Knöpfchen... besitzen daher aber auch eine eher steile Lernkurve und setzen tiefgehendere Netzwerkkenntnisse voraus.

Alternativ kann ich die Kisten von PCEngines empfehlen, hier sei besonders die APU1D4 genannt (klick, kaufen z.B. hier). Kostet allerdings auch schon über 200€... da könnte man dann pfSense installieren, was wohl so ziemlich alle Funktionen, die man Zuhause gebrauchen wird (DHCP, VLANs, IPsec, OpenVPN, iptables, NAT-Regeln, Proxy, ...), auf einer überschaubaren Web-GUI zur Verfügung stellt.