XMEye Nedir? iCSee, V380 Pro Gibi Markasız Kamera Uygulamaları Güvenli mi: P2P, Cloud ID ve Şifre Riski

XMEye nedir ve hangi cihazlarda çıkar?

XMEye, Çinli üretici Hangzhou Xiongmai Technology'nin (kısaca Xiongmai) DVR, NVR ve IP kameralar için sunduğu uzaktan izleme uygulaması ve P2P bulut hizmetidir. Uygulamayı açıp cihazın Cloud ID'sini (seri numarası) ve şifresini girdiğinizde, modem ayarı yapmadan görüntüye ulaşırsınız.

Xiongmai kendi adıyla satmaktan çok, bileşen ve yazılım üretir; yüzü aşkın üçüncü firma bu ürünleri kendi markasıyla satar (bunu güvenlik araştırmacısı SEC Consult'un 2018 raporu ve Krebs on Security'nin aktarımı belirtir). Bu yüzden aynı çip ve yazılım tabanı, birbirinden bağımsız görünen onlarca markasız kamera ve kayıt cihazında karşınıza çıkabilir.

iCSee de bu tür cihazlarda kutuda ya da kılavuzda sık görülen bir uygulamadır; hangi uygulamanın hangi üretici bulutuna bağlandığı ise yalnızca cihaz etiketi, kılavuz ve uygulamanın mağaza sayfasından doğrulanabilir. V380 Pro, Yoosee ve CamHi ise ayrı uygulama ekosistemleridir; bunların Xiongmai tabanlı olduğu iddia edilmemelidir, ancak hepsi benzer biçimde cihazı üretici bulutu üzerinden telefona bağlar.

P2P ve Cloud ID mantığı nasıl çalışır?

P2P kamera sistemleri, cihazın internetten gelen bağlantıyı beklemesi yerine kendisi üreticinin sunucusuna bağlanır; telefon da aynı sunucuya bağlanır ve sunucu ikisini eşleştirir. Bu sayede port yönlendirme ve sabit IP gerekmez, kurulum kolaylaşır.

Eşleştirmenin anahtarı Cloud ID'dir. Bir cihaza ulaşmak için bu kimliği bilmek yeterli ilk adımdır; geri kalan koruma cihazın şifresine kalır. Bu nedenle kimliğin tahmin edilebilir olması ve şifrenin zayıf olması birleşince risk büyür.

SEC Consult'un 2018 analizi tam bu noktaya işaret etmiştir: XMEye P2P bulutunda kimlik (UID), cihazın MAC adresinden yeniden üretilebilir biçimde türetiliyordu; araştırmacılar UID aralıklarının yaklaşık yüzde 2'sini tarayarak internette yaklaşık 9 milyon cihaz bulunduğunu tahmin ettiler. Xiongmai ise yeni bir UID şifreleme yöntemine geçtiğini ve MAC adresine dayanmadığını açıkladı; Krebs bu iddiaları kendisi doğrulayamadığını yazdı.

Varsayılan şifre ve Mirai vakası: risk nereden geliyor?

En büyük risk, fabrika çıkışlı admin hesabının şifresinin boş olması ve kullanıcının bunu hiç değiştirmemesidir. SEC Consult raporu, Xiongmai cihazlarında admin şifresinin varsayılan olarak boş olduğunu, ayrıca belgelenmemiş bir "default" hesabın bulunduğunu (ayar değiştiremeyen ama video akışını izleyebilen) belirtir.

2016 Ekim'indeki büyük DDoS saldırılarında kullanılan Mirai botneti, internete açık cihazlarda Telnet üzerinden bilinen varsayılan kullanıcı adı ve şifreleri deneyerek yayılmıştı. Krebs on Security'ye göre uzmanlar, Mirai'ye yakalanan cihazların büyük bölümünün Xiongmai bileşenleriyle üretildiğini tespit etti; Xiongmai da zayıf varsayılan şifrelerin saldırıda payı olduğunu kabul etti.

Aynı raporlar firmware güncellemelerinin dijital olarak imzalanmadığını da belirtir; bu, kötü amaçlı bir yazılımın cihaza yüklenmesini kolaylaştırır. Üretici sonradan düzeltmeler ve ilk kullanımda şifre değiştirme uyarısı getirdiğini söylemiştir; ancak eski yazılımla çalışan cihazlar sahada uzun yıllar kalabilir. Bu yazıdaki olgular yayımlandıkları tarihe aittir; her cihazın bugünkü durumu seri numarası ve yazılım sürümüne göre ayrıca kontrol edilmelidir.

Güvenlik güncellemesi eksikliği ve ürün ömrü

Markasız cihazların asıl sorunu, kimin güncelleme vereceğinin belli olmamasıdır. Markayı satan firma çoğu zaman yazılımı kendisi üretmez; açık bulunduğunda yama gelmeyebilir ya da hangi sürümün güncel olduğu bilinmeyebilir.

Tüketici IoT cihazları için ETSI EN 303 645 standardı bu nedenle üç temel beklenti koyar: evrensel varsayılan şifre kullanılmaması, zafiyet bildirim politikası bulunması ve yazılım güncellemelerinin sağlanması. NIST'in IoT üreticileri için yayımladığı NIST IR 8259 rehberi de ürünün satış öncesi ve sonrası güvenlik etkinliklerini, bakım ve destek süresinin müşteriye bildirilmesini ele alır.

Alım öncesinde şu soruların cevabı aranmalıdır:

• Üretici ve yazılım sürümü cihaz üzerinden görülebiliyor mu?
• Firmware güncellemesi resmi bir kanaldan, sürüm notuyla mı geliyor?
• İlk kurulumda şifre belirlemek zorunlu mu, yoksa şifre boş mu?
• Ürün için kaç yıl güncelleme verileceği belirtilmiş mi?
• Cihaz ONVIF gibi açık bir standardı destekliyor mu?

Mevcut cihazı daha güvenli hale getirme adımları

Cihazı değiştirmek mümkün değilse, risk birkaç adımla belirgin biçimde düşürülür. Menü adları model ve yazılım sürümüne göre değişir; aşağıdaki sıra genel bir rehberdir.

• Admin şifresini hemen belirleyin; boş bırakmayın. Uzun, benzersiz ve başka hesapta kullanılmayan bir şifre seçin (en az 12 karakter).
• Cihazdaki kullanılmayan ek kullanıcıları silin veya şifrelerini değiştirin.
• Firmware sürümünü kontrol edin; yalnızca satıcının verdiği ya da üreticinin yayımladığı dosyayı yükleyin. Kaynağı belirsiz yazılım yüklemeyin.
• Gerekmeyen servisleri kapatın: Telnet, UPnP ve kullanılmayan uzaktan erişim seçenekleri (menüde varsa).
• Modemde cihaz için port yönlendirme açmayın; dışarıdan erişim gerekiyorsa VPN kullanın.
• Cihazı ayrı bir IoT ağına alın: misafir Wi-Fi veya VLAN ile ofis ve ev bilgisayarlarından ayırın.
• Cihaz bir süre sonra güncelleme alamıyorsa kritik alanlardan çıkarıp daha az hassas alana taşıyın ya da değiştirme planı yapın.

Uygulamadan kayıt silme ve şifre atama

Cihaz el değiştirdiğinde ya da eski bir kullanıcı artık erişmemeliyse, uygulamadaki cihaz kaydını silmek tek başına yetmez; çünkü kayıt yalnızca o telefondaki listeyi temizler, cihazın şifresi aynı kalır. Gerçek yetki, cihazın kendi kullanıcı ve şifre ayarındadır.

Doğru sıra şudur: önce cihaz ayarlarından admin şifresini değiştirin, sonra eski telefonlardaki kayıtları silin. Şifreyi bilmiyorsanız cihazı fabrika ayarına döndürüp ilk kurulumda hemen yeni şifre atayın; sıfırlama sonrası şifre yeniden boş olabileceğinden bu işlemi ağa bağlamadan yapmak daha güvenlidir.

Aynı cihaza birden fazla kişi bakacaksa şifreyi paylaşmak yerine, cihaz destekliyorsa ayrı kullanıcı ve yetki tanımlayın. Kullanıcı ayrıldığında yalnızca onun hesabı kapatılır.

Kurulumcu bu cihazı ne zaman önermez?

Uzman bir kurulumcu, riskin yüksek olduğu yerlerde markasız P2P cihazı önermez. Bu bir marka üstünlüğü değil, güncelleme ve sorumluluk zinciri meselesidir.

Aşağıdaki durumlarda daha tanınabilir yazılım desteği olan, ONVIF uyumlu bir sistem tercih edilir:

• İş yeri, ofis, klinik, okul gibi kişisel veri işlenen yerler (kayıtlar KVKK kapsamındadır).
• Kasa, depo, kuyumcu, eczane gibi güvenliğin kritik olduğu alanlar.
• Kamerayı kurumsal ağa bağlamak gereken kurulumlar.
• Yıllarca bakım ve yedek parça beklenen projeler.
• Kayıt cihazının üçüncü taraf yazılımlara (VMS) bağlanması gereken yerler.
• Bina sakinlerine ya da müşterilere sunulan ortak kameralar.

Alternatifler ve Bayifi'deki yeri

Profesyonel sistemlerde markanın kendi uygulaması ve bulutu vardır; örneğin Hikvision ve Dahua markalarının ürünlerini markalar sayfasında inceleyebilirsiniz. Diğer üreticileri tanımak için TVT, AVTech ve Provision-ISR rehberlerine, ev ve profesyonel ayrımı için TP-Link VIGI ile Tapo farkı yazısına bakabilirsiniz.

Bayifi, Türkiye'deki kurulumcular ile toptancıları buluşturan bir B2B pazar yeridir. Bölgenizdeki kurulumcuyu bayiler dizininde bulabilir, toptancılar ürünlerini pazar bölümünde listeleyebilir; firmanızı kaydol sayfasından ekleyebilirsiniz.