image

Camera-app voor kinderdagverblijven laat onbevoegden meekijken

zondag 14 februari 2021, 09:25 door Redactie, 5 reacties

Een camera-app voor kinderdagverblijven bevat verschillende kwetsbaarheden waardoor onbevoegden op afstand kunnen meekijken. De problemen blijken al zes jaar bekend te zijn. Dat ontdekte beveiligingsonderzoeker Andrew Tierney. De app in kwestie heet NurseryCam en maakt het mogelijk voor ouders om met de webcam van het kinderdagverblijf of de crèche van hun kind of kinderen mee te kijken.

De app zit echter vol met kwetsbaarheden, aldus Tierney. Zo maakt die geen gebruik van TLS-encryptie en worden gebruikersnaam en wachtwoord van de ouder in de url naar de camera verstuurd. Wanneer ouders inloggen ontvangen die een onversleutelde lijst met ip-adressen, poorten, gebruikersnamen en wachtwoorden om direct met het camerasysteem van het kinderdagverblijf verbinding te maken.

Daarnaast wordt er van een standaard adminwachtwoord gebruikgemaakt dat voor alle ouders met toegang tot het systeem hetzelfde is. Verder blijkt dat de toegangscontrole van de application programming interface (API) niet wordt gehandhaafd door het camerasysteem. Ouders van wie het account op het webplatform is ingetrokken kunnen zo nog steeds direct op het camerasysteem inloggen en meekijken.

De problemen zijn echter niet nieuw. Het bedrijf achter de camera-app, die stelt dat het systeem veiliger is dan internetbankieren, werd hier al in 2015 over ingelicht, meldt de beveiligingsonderzoeker. "De implementatie van dit systeem vormt een direct risico voor kinderen", waarschuwt Tierney. Hij riep de ontwikkelaar op om het systeem offline te halen, ervoor te zorgen dat kinderdagverblijven het camerawachtwoord wijzigen of ervoor zorgen dat het niet direct toegankelijk is via internet en als laatste ouders en kinderdagverblijven over de kwetsbaarheden te informeren. De ontwikkelaar laat via Twitter weten dat de onderzoeker morgen een reactie krijgt.

Image

Reacties (5)
14-02-2021, 09:55 door Anoniem
Als ze uberhaupt al beweren dat ze veiliger zijn dan een bank, heel snel wegrennen!

Er zijn hier ook wel erg veel slechte keuzes gemaakt.
14-02-2021, 12:51 door Anoniem
Kijk het is dus niet alleen de overheid / GGD.

Het is schering en inslag omdat de focus bij de verschillende partijen en de corrigerende krachten onderling elkaar niet in ballans houden.

Directeurtjes en minister presidenten persoonlijk aansprakelijk gaan houden. Dan wordt er beter bestuurd en worden de buisnesmodellen van de digidrang realistischer waarbij de verborgen kosten van beveiliging niet als risico op de burger eindigt maar in de board room daar waar het hoort en ook 'verdient' wordt.
14-02-2021, 12:55 door Anoniem
Door Anoniem: Als ze uberhaupt al beweren dat ze veiliger zijn dan een bank, heel snel wegrennen!

Er zijn hier ook wel erg veel slechte keuzes gemaakt.

In de afbeelding staat zelfs 'military operations'.

(onze minister twittert haar login-credentials, dus geef ze geen ongelijk)
15-02-2021, 09:30 door Anoniem
De vraag die bij mij vooral overheerst is nog veel fundamenteler dan de lekken in de app.
Waarom moeten ouders uberhaupt kunnen zien wat er in het kinderdagverblijf gebeurd. Als je het KDV niet vertrouwd, heb je het verkeerde KDV uitgekozen. Als je ze geen van allen vertrouwd, moet je voor een andere oplossing kiezen.
Of dit nu je kinderen tijdens werktijden naar (schoon)ouders, vrienden of familie brengen is, of een andere oplossing zoeken met je werk.
15-02-2021, 10:21 door Anoniem
Door Anoniem: De vraag die bij mij vooral overheerst is nog veel fundamenteler dan de lekken in de app.
Waarom moeten ouders uberhaupt kunnen zien wat er in het kinderdagverblijf gebeurd. Als je het KDV niet vertrouwd, heb je het verkeerde KDV uitgekozen. Als je ze geen van allen vertrouwd, moet je voor een andere oplossing kiezen.
Of dit nu je kinderen tijdens werktijden naar (schoon)ouders, vrienden of familie brengen is, of een andere oplossing zoeken met je werk.

Inderdaad is dit wel de fundamentele vraag. Daarbij is het ook nog een vorm van personeel-volgsysteem met het risico dat ouders verhaal halen bij een verzorger/-ster persoonlijk. Eng.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.