Guardzilla es un popular fabricante de sistemas de seguridad de videovigilancia, un fabricante que ha ignorado diferentes avisos de investigadores de seguridad respecto a la seguridad de su cámara IP estrella. Este dispositivo tiene varias vulnerabilidades graves, incluyendo que cualquiera pueda acceder a todas y cada una de las grabaciones realizadas y subidas a la “nube”. ¿Quieres conocer todos los detalles sobre este fallo de seguridad?

Unos investigadores de seguridad de 0DayAllDay han encontrado un fallo de seguridad muy grave en el sistema de videovigilancia de este fabricante, y es que incorpora una clave hardcodeada que se pueden extraer fácilmente de su firmware. Debido al mal diseño de la seguridad en el firmware, la clave root viene cifrada, pero con un algoritmo de hace una década, y por este motivo, se ha podido crackear muy fácilmente. Los investigadores de seguridad han declarado que necesitaron dos tarjetas gráficas de consumo para crackear este algoritmo en tan solo 3 horas, y es que la contraseña tan solo tenía 8 caracteres.

Otro aspecto que debemos tener muy en cuenta, es que este conjunto de claves que se han extraído, son comunes a todos los dispositivos de Guardzilla para subir los vídeos grabados a la nube, por tanto, todas las cámaras IP están afectadas por este fallo. El servicio que utiliza para el almacenamiento y gestión de todos los vídeos grabados es Amazon Web Services, y cualquiera puede usar estas claves para iniciar sesión y obtener acceso total a todo el almacenamiento en la nube de la empresa, y por tanto, a todos los datos de sus clientes.

La incorporación de claves hardcodeadas en los firmwares de este tipo de dispositivos es algo común, pero se considera una de las peores prácticas de seguridad que un fabricante puede tener, ya que es sumamente fácil que un pirata informático se haga con estas claves, para posteriormente iniciar sesión en el servidor central donde se almacenan todos los datos de los clientes. Esta política es tan utilizada (aunque la seguridad brille por su ausencia), que en California van a lanzar una ley para prohibir que cualquier producto de electrónica de consumo utilice esta técnica a partir del año 2020.

Corregir esta vulnerabilidad requiere que se lance un parche del software del sistema de videovigilancia de los Guardzilla, pero no utilizando claves hardcodeadas en el firmware. Y por supuesto, cambiar las claves de las cuentas de Amazon Web Services. Si el fabricante opta por únicamente actualizar el firmware y seguir con esta política, es cuestión de tiempo que las claves se vuelvan a descubrir.

El fabricante Guardzilla tuvo tres meses desde que contactaron los investigadores de seguridad, hasta que finalmente hicieron pública esta vulnerabilidad, y es que Guardzilla no reconoció ni ha solucionado el problema. Otros fallos de seguridad que han encontrado, es la utilización de la librería criptográfica OpenSSL de hace más de dos años. A día de hoy la única solución para que nuestra privacidad no se vea comprometida es apagar el Guardzilla en nuestro hogar, ya que no se ha publicado ninguna actualización con el correspondiente parche.

Os recomendamos acceder al blog de 0DayAllDay donde encontraréis todos los detalles técnicos sobre los fallos de seguridad descubiertos en los Guardzilla.