Camera-app voor kinderdagverblijven laat onbevoegden meekijken
Een camera-app voor kinderdagverblijven bevat verschillende kwetsbaarheden waardoor onbevoegden op afstand kunnen meekijken. De problemen blijken al zes jaar bekend te zijn. Dat ontdekte beveiligingsonderzoeker Andrew Tierney. De app in kwestie heet NurseryCam en maakt het mogelijk voor ouders om met de webcam van het kinderdagverblijf of de crèche van hun kind of kinderen mee te kijken.
De app zit echter vol met kwetsbaarheden, aldus Tierney. Zo maakt die geen gebruik van TLS-encryptie en worden gebruikersnaam en wachtwoord van de ouder in de url naar de camera verstuurd. Wanneer ouders inloggen ontvangen die een onversleutelde lijst met ip-adressen, poorten, gebruikersnamen en wachtwoorden om direct met het camerasysteem van het kinderdagverblijf verbinding te maken.
Daarnaast wordt er van een standaard adminwachtwoord gebruikgemaakt dat voor alle ouders met toegang tot het systeem hetzelfde is. Verder blijkt dat de toegangscontrole van de application programming interface (API) niet wordt gehandhaafd door het camerasysteem. Ouders van wie het account op het webplatform is ingetrokken kunnen zo nog steeds direct op het camerasysteem inloggen en meekijken.
De problemen zijn echter niet nieuw. Het bedrijf achter de camera-app, die stelt dat het systeem veiliger is dan internetbankieren, werd hier al in 2015 over ingelicht, meldt de beveiligingsonderzoeker. "De implementatie van dit systeem vormt een direct risico voor kinderen", waarschuwt Tierney. Hij riep de ontwikkelaar op om het systeem offline te halen, ervoor te zorgen dat kinderdagverblijven het camerawachtwoord wijzigen of ervoor zorgen dat het niet direct toegankelijk is via internet en als laatste ouders en kinderdagverblijven over de kwetsbaarheden te informeren. De ontwikkelaar laat via Twitter weten dat de onderzoeker morgen een reactie krijgt.
Er zijn hier ook wel erg veel slechte keuzes gemaakt.
Het is schering en inslag omdat de focus bij de verschillende partijen en de corrigerende krachten onderling elkaar niet in ballans houden.
Directeurtjes en minister presidenten persoonlijk aansprakelijk gaan houden. Dan wordt er beter bestuurd en worden de buisnesmodellen van de digidrang realistischer waarbij de verborgen kosten van beveiliging niet als risico op de burger eindigt maar in de board room daar waar het hoort en ook 'verdient' wordt.
Er zijn hier ook wel erg veel slechte keuzes gemaakt.
In de afbeelding staat zelfs 'military operations'.
(onze minister twittert haar login-credentials, dus geef ze geen ongelijk)
Waarom moeten ouders uberhaupt kunnen zien wat er in het kinderdagverblijf gebeurd. Als je het KDV niet vertrouwd, heb je het verkeerde KDV uitgekozen. Als je ze geen van allen vertrouwd, moet je voor een andere oplossing kiezen.
Of dit nu je kinderen tijdens werktijden naar (schoon)ouders, vrienden of familie brengen is, of een andere oplossing zoeken met je werk.
Waarom moeten ouders uberhaupt kunnen zien wat er in het kinderdagverblijf gebeurd. Als je het KDV niet vertrouwd, heb je het verkeerde KDV uitgekozen. Als je ze geen van allen vertrouwd, moet je voor een andere oplossing kiezen.
Of dit nu je kinderen tijdens werktijden naar (schoon)ouders, vrienden of familie brengen is, of een andere oplossing zoeken met je werk.
Inderdaad is dit wel de fundamentele vraag. Daarbij is het ook nog een vorm van personeel-volgsysteem met het risico dat ouders verhaal halen bij een verzorger/-ster persoonlijk. Eng.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Information Security Manager
Het digitaal veilig houden van ons vitale drinkwaterbedrijf, dat is een uitdaging die jij graag aanpakt! Als Information Security Manager ben jij binnen Dunea ver-antwoordelijk voor de implementatie van het opgestelde Informatiebeveiligingsbeleid. Je ziet toe op de naleving hiervan en coördineert dat mitigerende maatregelen worden uitgevoerd.
