Auth Bypass และ P2P Relay ในกล้อง IP Camera คืออะไร? วิธีป้องกันการถูกแฮก

กล้องวงจรปิดในปัจจุบันไม่ได้ทำหน้าที่เพียงบันทึกภาพอีกต่อไป โดยเฉพาะ IP Camera ที่สามารถเชื่อมต่อกับ Network, NVR, PoE Switch, Smartphone และ Internet ทำให้ผู้ใช้งานสามารถดูภาพและบริหารจัดการระบบจากระยะไกลได้

ความสามารถเหล่านี้ช่วยเพิ่มความสะดวกในการใช้งาน แต่ในอีกด้านหนึ่ง IP Camera ก็เป็นอุปกรณ์ Network ที่จำเป็นต้องได้รับการดูแลด้าน Cybersecurity เช่นเดียวกับ Network Device, Server และอุปกรณ์ IoT ประเภทอื่น

หนึ่งในประเด็นที่ผู้ดูแลระบบควรทำความเข้าใจคือ Auth Bypass หรือ Authentication Bypass รวมถึง P2P Relay ซึ่งเกี่ยวข้องกับการ Authentication, Remote Access และ Attack Surface ของระบบ CCTV

Auth Bypass ในกล้อง IP Camera คืออะไร?

Authentication คือกระบวนการตรวจสอบว่า ผู้ที่กำลังพยายามเข้าสู่ระบบเป็นผู้ใช้งานที่ได้รับอนุญาตหรือไม่

ตัวอย่างที่พบได้ทั่วไปคือการเข้าสู่ระบบด้วย Username และ Password โดยอุปกรณ์จะตรวจสอบข้อมูลก่อนอนุญาตให้ผู้ใช้งานเข้าถึง ฟังก์ชันหรือข้อมูลของระบบ

ส่วน Authentication Bypass หรือ Auth Bypass หมายถึงช่องโหว่หรือข้อผิดพลาดที่อาจทำให้ผู้โจมตี สามารถหลีกเลี่ยงกระบวนการ Authentication ที่ระบบควรบังคับใช้ได้

Auth Bypass แตกต่างจากการเดารหัสผ่านอย่างไร?

การเดารหัสผ่านหรือ Brute Force คือการพยายามค้นหา Username และ Password ที่ถูกต้อง ขณะที่ Auth Bypass เป็นคนละลักษณะกัน เพราะเกี่ยวข้องกับการใช้ช่องโหว่หรือข้อผิดพลาด ในกระบวนการ Authentication เพื่อหลีกเลี่ยงการตรวจสอบตัวตน

ดังนั้นแม้ผู้ดูแลระบบจะตั้ง Password ที่แข็งแรง ก็ยังควรติดตาม Security Advisory และ Firmware Update ของผู้ผลิตอย่างสม่ำเสมอ

ตัวอย่าง Auth Bypass ในผลิตภัณฑ์ Dahua

Dahua เคยเผยแพร่ Security Advisory เกี่ยวกับช่องโหว่ Identity Authentication Bypass ในผลิตภัณฑ์บางกลุ่ม โดยระบุ CVE-2021-33044 และ CVE-2021-33045

Dahua ระบุว่าช่องโหว่ดังกล่าวเกี่ยวข้องกับขั้นตอน Login และผู้โจมตีสามารถสร้างข้อมูลที่เป็นอันตราย เพื่อหลีกเลี่ยงการตรวจสอบตัวตนของอุปกรณ์ในรุ่นและ Firmware ที่ได้รับผลกระทบ

ประเด็นสำคัญคือช่องโหว่ดังกล่าวไม่ได้หมายความว่า Dahua ทุก Model หรือทุก Firmware ได้รับผลกระทบ ผู้ดูแลระบบต้องตรวจสอบ Model และ Firmware ตาม Security Advisory ของผู้ผลิต

Auth Bypass ในกล้องวงจรปิดมีผลกระทบอย่างไร?

ผลกระทบของ Auth Bypass ขึ้นอยู่กับรายละเอียดทางเทคนิค ของช่องโหว่ รวมถึงสิทธิ์ที่ผู้โจมตีสามารถได้รับ แต่ในภาพรวมช่องโหว่ประเภทนี้สามารถลดระดับความปลอดภัย ของอุปกรณ์ได้อย่างมีนัยสำคัญ

P2P Relay ในกล้องวงจรปิดคืออะไร?

P2P หรือ Peer-to-Peer เป็นเทคโนโลยีที่ช่วยอำนวยความสะดวกในการเชื่อมต่อ ระหว่าง Client เช่น Smartphone กับอุปกรณ์ CCTV จากเครือข่ายภายนอก

ตัวอย่างเช่น เจ้าของระบบต้องการเปิดดูภาพจากกล้อง ผ่าน Smartphone ขณะที่อยู่นอกสถานที่ ระบบ Remote Access อาจใช้กลไก P2P ตามที่ผู้ผลิตและ Application รองรับ

ในสภาพแวดล้อม Network บางรูปแบบ Client และกล้องอาจไม่สามารถสร้าง Connection โดยตรงได้ เช่น มี NAT หรือ Firewall อยู่ระหว่างทาง ระบบ P2P จึงอาจใช้ Server หรือ Relay Infrastructure เพื่อช่วยอำนวยความสะดวกในการส่งข้อมูลระหว่างปลายทาง

P2P Relay เป็นช่องโหว่หรือไม่?

P2P Relay ไม่ควรถูกเรียกว่าเป็นช่องโหว่โดยตัวมันเอง เพราะ Relay เป็นกลไกหนึ่งที่สามารถใช้ช่วยสร้างการเชื่อมต่อ ระหว่าง Client และอุปกรณ์ที่อยู่หลัง NAT หรือ Firewall

ประเด็นด้าน Cybersecurity จึงควรพิจารณาว่า ระบบมีการ Authentication ที่เหมาะสมหรือไม่ Firmware ได้รับการอัปเดตหรือไม่ มีการควบคุมสิทธิ์หรือไม่ และ Remote Access ที่เปิดใช้งานมีความจำเป็นหรือไม่

P2P Relay ต่างจากการเปิด Port กล้องออก Internet อย่างไร?

P2P และ Port Forwarding เป็นแนวทาง Remote Access ที่แตกต่างกัน และไม่ควรนำมารวมกันเป็นเรื่องเดียว

การปิด P2P และ P2P Relay ช่วยลดความเสี่ยงอย่างไร?

หนึ่งในแนวคิดพื้นฐานของ Cybersecurity คือ Attack Surface Reduction หรือการลดจำนวนช่องทางที่ผู้โจมตีสามารถใช้โจมตีระบบ

หากองค์กรใช้ระบบ CCTV เฉพาะภายใน Local Network และไม่มีความจำเป็นต้องดูภาพจากภายนอก การปิด P2P สามารถเป็นหนึ่งในมาตรการ เพื่อลด Remote Access ที่ไม่จำเป็น

อย่างไรก็ตาม การปิด P2P ไม่ได้หมายความว่า ช่องโหว่ทั้งหมดของ IP Camera จะถูกแก้ไข เพราะช่องโหว่อาจอยู่ใน Firmware, Web Service, Network Service หรือส่วนอื่นของระบบ

ปิด P2P แล้วกล้องวงจรปิดปลอดภัย 100% หรือไม่?

ไม่ใช่

การปิด P2P เป็นเพียงมาตรการหนึ่งของการ Hardening และมีประโยชน์ในการลดช่องทาง Remote Access หากบริการดังกล่าวไม่ได้ถูกใช้งาน

แต่ผู้ดูแลระบบยังต้องดูแลเรื่อง Firmware, Password, Account, Network และ Service อื่น ๆ ที่เปิดใช้งานอยู่

วิธีป้องกันกล้องวงจรปิดถูกแฮก

1. อัปเดต Firmware ของ IP Camera และ NVR

Firmware เป็นองค์ประกอบสำคัญของ Security เพราะผู้ผลิตสามารถออก Security Patch เพื่อแก้ไขช่องโหว่ที่ค้นพบภายหลัง

ผู้ดูแลระบบควรตรวจสอบ Model, Firmware Version และ Build Time ก่อนติดตั้ง Firmware และควรดาวน์โหลด Firmware จากแหล่งที่เชื่อถือได้

2. เปลี่ยน Default Password

ไม่ควรใช้รหัสผ่านเริ่มต้นของอุปกรณ์ และควรตั้ง Password ที่คาดเดาได้ยาก

หลีกเลี่ยง Password ที่เกี่ยวข้องกับชื่อบริษัท, ชื่อผู้ใช้งาน, เบอร์โทรศัพท์ หรือข้อมูลที่ค้นหาได้ง่าย

3. จำกัดสิทธิ์ของ User

ไม่ควรให้ผู้ใช้งานทุกคนมีสิทธิ์ Administrator หากไม่มีความจำเป็น

ตัวอย่างเช่น พนักงานบางคนอาจต้องการเพียงดูภาพ แต่ไม่จำเป็นต้องมีสิทธิ์เปลี่ยน Network, User Account หรือ Configuration ของ NVR

4. ปิด P2P หากไม่ได้ใช้งาน

หากระบบ CCTV ใช้งานเฉพาะภายในองค์กร และไม่มีความจำเป็นต้องดูภาพจากภายนอก สามารถพิจารณาปิด P2P เพื่อลดช่องทาง Remote Access ที่ไม่ได้ใช้งาน

5. หลีกเลี่ยงการ Port Forward กล้องโดยตรง

การเปิด Web Interface หรือ Service ของกล้อง ออก Internet โดยตรงสามารถเพิ่ม Attack Surface และเพิ่มโอกาสที่อุปกรณ์จะถูกค้นพบจากภายนอก

หากจำเป็นต้อง Remote Access ควรออกแบบช่องทางการเข้าถึงให้สามารถควบคุม Authentication และ Network Access Policy ได้

6. เปิด HTTPS เมื่ออุปกรณ์รองรับ

HTTPS ช่วยเข้ารหัสการสื่อสารระหว่าง Client และ Web Service ของอุปกรณ์ จึงควรพิจารณาเปิดใช้งานเมื่อระบบรองรับ

7. ปิด Service ที่ไม่จำเป็น

Service ที่ไม่ได้ใช้งานควรพิจารณาปิด เพื่อลดจำนวน Network Service ที่เปิดอยู่บนอุปกรณ์

ตัวอย่างเช่น UPnP หรือ Remote Service ที่ไม่มีความจำเป็นต่อระบบ

8. แยก CCTV Network ด้วย VLAN

สำหรับองค์กรควรพิจารณาแยก Network ของกล้อง และ NVR ออกจาก Network ของผู้ใช้งานทั่วไป เช่น การใช้ VLAN และ Firewall Policy

9. ใช้ Firewall ควบคุม Traffic

Firewall สามารถช่วยกำหนดว่า Network ใด สามารถสื่อสารกับ CCTV Network ได้ และช่วยลดการเชื่อมต่อที่ไม่จำเป็น

10. ตรวจสอบ Log และ Account เป็นระยะ

ผู้ดูแลระบบควรตรวจสอบ User Account, Online Users และ Log ของอุปกรณ์เป็นระยะ เพื่อค้นหาพฤติกรรมที่ผิดปกติ

กล้องแบรนด์จีนปลอดภัยหรือไม่?

การพิจารณา Cybersecurity ไม่ควรใช้เพียง ประเทศต้นกำเนิดของแบรนด์ เป็นตัวตัดสินว่าผลิตภัณฑ์ปลอดภัยหรือไม่

อุปกรณ์ Network และ IoT จากผู้ผลิตทุกประเทศ สามารถมี Vulnerability ได้ สิ่งสำคัญคือผู้ผลิตมีระบบรับแจ้งช่องโหว่หรือไม่ มี Security Advisory หรือไม่ มีการออก Firmware Patch หรือไม่ และมีแนวทางตอบสนองต่อ Vulnerability อย่างไร

Dahua มีระบบจัดการช่องโหว่หรือไม่?

Dahua มี PSIRT หรือ Product Security Incident Response Team สำหรับรับรายงานและจัดการประเด็นด้าน Product Security และมีการเผยแพร่ Security Advisory สำหรับช่องโหว่ที่เกี่ยวข้องกับผลิตภัณฑ์และโซลูชัน

Dahua ยังมีการเผยแพร่ข้อมูล Vulnerability พร้อมคำแนะนำเกี่ยวกับ Firmware ที่แก้ไข สำหรับผลิตภัณฑ์ที่ได้รับผลกระทบในแต่ละกรณี

ตัวอย่างการออกแบบระบบ CCTV ให้มีความปลอดภัยมากขึ้น

สำหรับสำนักงาน โรงงาน โรงแรม ห้างสรรพสินค้า อาคารสำนักงาน หรือโครงการขนาดใหญ่ Cybersecurity ควรถูกนำมาพิจารณาตั้งแต่การออกแบบระบบ

แนวทางนี้ช่วยให้ผู้ดูแลระบบสามารถควบคุม การเข้าถึงระหว่าง Network ได้ดีขึ้น และสามารถกำหนด Policy ว่าอุปกรณ์ใด สามารถสื่อสารกับ CCTV Network ได้

Checklist ก่อนนำ IP Camera เข้า Network

คำถามที่พบบ่อยเกี่ยวกับ Auth Bypass และ P2P Relay

Auth Bypass คืออะไร?

Auth Bypass หรือ Authentication Bypass คือช่องโหว่หรือข้อผิดพลาดที่อาจทำให้ผู้โจมตี สามารถหลีกเลี่ยงกระบวนการตรวจสอบตัวตน ที่ระบบควรบังคับใช้ได้

กล้องวงจรปิดถูกแฮกได้หรือไม่?

มีความเป็นไปได้ หากระบบมีช่องโหว่ ใช้ Password ที่อ่อนแอ เปิดบริการที่ไม่จำเป็น หรือเปิดช่องทาง Remote Access โดยไม่มีการควบคุมที่เหมาะสม

อย่างไรก็ตาม ความเสี่ยงไม่ได้เกิดจากการที่เป็น IP Camera เพียงอย่างเดียว แต่ขึ้นอยู่กับ Firmware, Configuration, Network Architecture และการดูแลระบบด้วย

ปิด P2P แล้วกล้องจะไม่ถูกแฮกใช่หรือไม่?

ไม่สามารถรับประกันได้ การปิด P2P ช่วยลดช่องทาง Remote Access หากไม่ได้ใช้งาน แต่ไม่ได้แก้ไขช่องโหว่ ที่อาจอยู่ใน Firmware หรือ Network Service อื่น

ถ้าใช้กล้อง Dahua ต้องกังวลเรื่อง Cybersecurity หรือไม่?

ระบบ Dahua ก็ควรได้รับการดูแลด้าน Cybersecurity เช่นเดียวกับระบบ CCTV จากผู้ผลิตรายอื่น โดยควรอัปเดต Firmware, ใช้ Strong Password, จำกัดสิทธิ์ และปิด Service ที่ไม่จำเป็น

Dahua มี PSIRT และ Security Advisory สำหรับเผยแพร่ข้อมูล Vulnerability และแนวทางแก้ไข ดังนั้นผู้ใช้งานควรติดตามข้อมูลด้าน Security ของผลิตภัณฑ์ที่ใช้งานอยู่

ถ้าไม่ต่อกล้องกับ Internet ยังมีความเสี่ยงหรือไม่?

ความเสี่ยงจากการโจมตีโดยตรงผ่าน Internet จะลดลงอย่างมากเมื่อไม่มีเส้นทางจาก Internet เข้ามาถึงอุปกรณ์

แต่ระบบยังควรมีการรักษาความปลอดภัยภายใน Network เพราะภัยคุกคามสามารถมาจากอุปกรณ์หรือผู้ใช้งานภายในได้

ควรใช้ VPN แทน P2P หรือไม่?

ขึ้นอยู่กับลักษณะของระบบ สำหรับองค์กรที่ต้องการควบคุม Remote Access ในระดับ Network การใช้ VPN ร่วมกับ Firewall และ Access Control ที่เหมาะสม เป็นแนวทางหนึ่งที่สามารถพิจารณาได้

บทความและสินค้าที่เกี่ยวข้องกับระบบ IP Camera

หากกำลังออกแบบระบบกล้องวงจรปิด ควรพิจารณาองค์ประกอบทั้งระบบ ไม่ใช่เฉพาะตัวกล้อง ตั้งแต่ IP Camera, NVR, PoE Switch, Storage และ Network Infrastructure

สรุป Auth Bypass และ P2P Relay ในระบบกล้องวงจรปิด

Auth Bypass เป็นประเด็นด้าน Cybersecurity ที่เกี่ยวข้องกับการ Authentication ของอุปกรณ์ หากมีช่องโหว่ประเภทนี้ใน Firmware ผู้โจมตีอาจสามารถหลีกเลี่ยงการตรวจสอบตัวตนได้ ขึ้นอยู่กับรายละเอียดของช่องโหว่

ส่วน P2P Relay เป็นกลไกที่สามารถใช้ ช่วยอำนวยความสะดวกในการ Remote Access โดยเฉพาะใน Network ที่ไม่สามารถสร้าง Connection ระหว่าง Client และอุปกรณ์ได้โดยตรง

หากระบบ CCTV ไม่จำเป็นต้อง Remote Access การปิด P2P สามารถช่วยลด Attack Surface และลดบริการที่ไม่จำเป็นได้

แต่การปิด P2P ไม่ควรถูกมองว่าเป็นการแก้ปัญหา Cybersecurity ทั้งหมด เพราะยังต้องดูแล Firmware, Password, User Account, Network, Firewall และ Service อื่น ๆ