Camera-app voor kinderdagverblijven laat onbevoegden meekijken
Een camera-app voor kinderdagverblijven bevat verschillende kwetsbaarheden waardoor onbevoegden op afstand kunnen meekijken. De problemen blijken al zes jaar bekend te zijn. Dat ontdekte beveiligingsonderzoeker Andrew Tierney. De app in kwestie heet NurseryCam en maakt het mogelijk voor ouders om met de webcam van het kinderdagverblijf of de crèche van hun kind of kinderen mee te kijken.
De app zit echter vol met kwetsbaarheden, aldus Tierney. Zo maakt die geen gebruik van TLS-encryptie en worden gebruikersnaam en wachtwoord van de ouder in de url naar de camera verstuurd. Wanneer ouders inloggen ontvangen die een onversleutelde lijst met ip-adressen, poorten, gebruikersnamen en wachtwoorden om direct met het camerasysteem van het kinderdagverblijf verbinding te maken.
Daarnaast wordt er van een standaard adminwachtwoord gebruikgemaakt dat voor alle ouders met toegang tot het systeem hetzelfde is. Verder blijkt dat de toegangscontrole van de application programming interface (API) niet wordt gehandhaafd door het camerasysteem. Ouders van wie het account op het webplatform is ingetrokken kunnen zo nog steeds direct op het camerasysteem inloggen en meekijken.
De problemen zijn echter niet nieuw. Het bedrijf achter de camera-app, die stelt dat het systeem veiliger is dan internetbankieren, werd hier al in 2015 over ingelicht, meldt de beveiligingsonderzoeker. "De implementatie van dit systeem vormt een direct risico voor kinderen", waarschuwt Tierney. Hij riep de ontwikkelaar op om het systeem offline te halen, ervoor te zorgen dat kinderdagverblijven het camerawachtwoord wijzigen of ervoor zorgen dat het niet direct toegankelijk is via internet en als laatste ouders en kinderdagverblijven over de kwetsbaarheden te informeren. De ontwikkelaar laat via Twitter weten dat de onderzoeker morgen een reactie krijgt.
Er zijn hier ook wel erg veel slechte keuzes gemaakt.
Het is schering en inslag omdat de focus bij de verschillende partijen en de corrigerende krachten onderling elkaar niet in ballans houden.
Directeurtjes en minister presidenten persoonlijk aansprakelijk gaan houden. Dan wordt er beter bestuurd en worden de buisnesmodellen van de digidrang realistischer waarbij de verborgen kosten van beveiliging niet als risico op de burger eindigt maar in de board room daar waar het hoort en ook 'verdient' wordt.
Er zijn hier ook wel erg veel slechte keuzes gemaakt.
In de afbeelding staat zelfs 'military operations'.
(onze minister twittert haar login-credentials, dus geef ze geen ongelijk)
Waarom moeten ouders uberhaupt kunnen zien wat er in het kinderdagverblijf gebeurd. Als je het KDV niet vertrouwd, heb je het verkeerde KDV uitgekozen. Als je ze geen van allen vertrouwd, moet je voor een andere oplossing kiezen.
Of dit nu je kinderen tijdens werktijden naar (schoon)ouders, vrienden of familie brengen is, of een andere oplossing zoeken met je werk.
Waarom moeten ouders uberhaupt kunnen zien wat er in het kinderdagverblijf gebeurd. Als je het KDV niet vertrouwd, heb je het verkeerde KDV uitgekozen. Als je ze geen van allen vertrouwd, moet je voor een andere oplossing kiezen.
Of dit nu je kinderen tijdens werktijden naar (schoon)ouders, vrienden of familie brengen is, of een andere oplossing zoeken met je werk.
Inderdaad is dit wel de fundamentele vraag. Daarbij is het ook nog een vorm van personeel-volgsysteem met het risico dat ouders verhaal halen bij een verzorger/-ster persoonlijk. Eng.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Senior Adviseur
Economische Veiligheid
Nationaal Cyber Security Centrum
Door het snelgroeiende en veranderende cybersecuritydomein groeit ook de dreiging op onze economische veiligheid. Het is mede aan jou om ervoor te zorgen dat op tactisch en strategisch niveau de juiste kennis en samenwerkingsverbanden aanwezig zijn, zodat we gezamenlijk juist en tijdig op deze dreigingen kunnen anticiperen.
Tactisch specialist informatieveiligheid
Wist jij dat het één van onze ambities is om datagedreven werken in al onze processen de standaard te maken? Om onze ambities kracht bij te zetten zijn wij op zoek naar een verbindende tactisch specialist informatie-veiligheid die ons helpt met de bruikbaarheid en veiligheid van onze informatiesystemen. Klinkt dat als iets voor jou?
Security Trainer
Heb jij net als de rest van ons een passie voor cybersecurity en wil je in een team werken met mensen die minstens zo enthousiast en gedreven zijn als jij? Lijkt het je tof om wereldwijd security trainingen te geven en je security kennis over te dragen? Dan zijn wij op zoek naar jou!
Are you ready for a challenge?