Mikael Simovits är grundare av Simovits Consulting som arbetar med informations- och IT-säkerhetstjänster. Han har undervisat i kryptoteknik på Chalmers och utsetts till en av Sveriges bästa säkerhetsexperter av tidningen Computer Sweden. Sedan 2004-2005 har han arbetat med högsäkerhetslösningar där kameror ingår.

– Processorn i kamerorna är inte stark och kryptering tar väldigt mycket energi från bildbehandling. Har du 4K och ska kryptera så blir produkten mycket dyrare att tillverka och marginalen blir liten. Därför väljer många bort krypteringen, säger han.

Hur viktig är datasäkerhet för säkerhetskameror?

– Det beror på vad de används till. Om det bara handlar om att visa en byggarbetsplats för att kunden ska se hur snabbt det byggs så är det inte det viktigaste även om det är pinsamt att hela världen kan surfa in och kolla på de hackade kamerorna. Men adderas intelligens till övervakningen i form av att kamerorna reagerar på rörelse och det kopplas till larm så bör hela infrastrukturen säkras, det räcker inte bara med att säkra kameran för hotbilden riktar sig mot hela övervakningssystemet.

Och hur säkras hela infrastrukturen?

– Du måste ha ett koncept som täcker allt från kameror till nätverksutrustning, servrar och brandväggar och ha en tydlig policy för vilken enhet som initierar vilken kommunikation. Ett övervakningssystem kan bestå av flera hundra kameror och fallerar säkerheten i en kamera kan det innebära att man tappar hela övervakningen. Det ska inte vara kameran som tar kontakt med servern för att skicka video utan servern som hämtar och tar initiativ till kommunikation. Men när vi granskar högsäkerhets- lösningar så kan de inte alltid ta höjd för alla säkerhetskrav eftersom det helt enkelt hindrar kamerornas funktion. Har du 300 kameror är det inte alltid enkelt att hela tiden uppdatera och hålla koll. Det kräver mycket resurser.

Hur ofta hackas säkerhetskameror?

– Det är väldigt vanligt och det finns ett flertal webbsidor som har länkar till hackade kameror. Oftast är det inte högsäkerhetskameror utan kanske kameror vid motorvägar, i stadsmiljöer eller kameror i hemmen.

Hur säkra är säkerhetskameror?

– Nu är jag kanske hård, men kamerorna har samma typ av säkerhetsproblem som IoT-enheter. De har ett litet, oftast Linuxbaserat operativsystem som specialanpassas och precis som IoT-enheter brukar de fallera i att det inte finns någon bra lösning för att patcha och uppdatera kamerorna på ett enkelt och effektivt sätt. Så jag likställer säkerhetskameror med IoT-prylar.

Som du kan köpa på Clas Ohlson?

– Det kanske är något brutalt men i princip, ja.

Hur går det att lösa uppdateringsproblemet?

– Du måste vara online för att få in patchningar i kameran men då uppstår andra säkerhetsproblem som du måste ta hänsyn till. De som vi har jobbat med har löst det genom att skicka ut bevakningspersonal så fort en kamera blir stulen, om bilden blir svart eller grumlig eller om det finns något annat tecken på manipulation. Om någon stjäl din kamera måste du fundera på om tjuven vill genomföra ett angrepp vid ett senare tillfälle. Ofta har alla kameror samma kryptonycklar och för enkelhetens skull samma lösenord. Då måste du byta alla kryptonycklar med en gång.

Vilka risker finns om någon tar sig in i säkerhetssystemet?

– Angriparen kan slå ut hela systemet, frysa bilder eller slå av larmnivåer. Tar du dig väl in i systemet kan du göra vad som helst. Det är inte säkert att den som övervakar ens upptäcker att det finns en angripare.

Vad har kameratillverkarna för ansvar?

– De måste kanske ändra sin hotmodell när de bygger sina kameror eftersom säkerhetssystem tidigare varit isolerade öar och inte varit ihopkopplade med något annat. I dag ser jag fler exempel på säkerhetsnätverk som kopplas ihop med det allmänna IT-nätet och även om det finns en brandvägg emellan så ändras hela säkerhetsbilden då. Isoleringen av nätverken har också lett till att uppdateringen av programvaran har släpat efter.

Varför diskuteras de här problemen först nu?

– Kunderna ser till exempel nyttan med att kunna se bildmaterial direkt på sin mobil vid ett larm och då måste man vara uppkopplad mot internet. Det gör att säkerhetsnätverken sys ihop med de vanliga nätverken och internet och det i sin tur tvingar företagen att marknads- föra sig på ett helt annat sätt när det gäller IT-säkerhet.

Vad föreslår du för lösning om en kund vill se kamerabilder "remote" på mobilen?

– Att inte använda det befintliga nätet för att skicka bilderna utan bygga ett separat nät med egen internetuppkoppling. På så sätt minskas träffytan, om mejlservern hackas ska inte kamerasystemet kunna slås ut. Helst bör bilderna bara kunna ses från en dedicerad enhet och det innebär att man måste installera kryptonycklar på den enheten och bygga en VPN- tunnel mellan företagsnätet och enheten så att det inte bara räcker med användarnamn och lösenord för att koppla upp sig.

ökar medvetenheten om datasäkerhet bland slutkunderna?

– Nja, men jag tror att de är illa tvungna att följa med och säkra upp. IP-kameror är här för att stanna och kamerornas säkerhet måste anpassas så att de tål den miljö de finns i.

Och det gör de inte i dag?

– Nej, inte riktigt ännu.


Text och bild:Henrik Söderlund