FTC-Beschwerde: TrendNets IP-Kameras sind nicht sicher
Laut einer Beschwerde der US-Handelskommission FTC kommt bei den IP-Kameras des Netzwerkausrüsters TrendNet die Sicherheit zu kurz. Das Unternehmen habe es versäumt, seine Kameras einem angemessenen Security-Check zu unterziehen. Deshalb sei es möglich gewesen, durch eine Anfang 2012 entdeckte Lücke über das Internet auf passwortgeschützte Video-Streams der SecurView-Kameras zugreifen zu können. Kurz nach Bekanntwerden der Lücke kursierte eine Liste mit etwa 700 Links zu derartigen Live-Ansichten im Netz.
TrendNet hat von dem Hack erst durch einen Kunden erfahren, der über die Presse darauf aufmerksam wurde und den technischen Support kontaktierte. Laut der FTC hat der Hersteller keine Möglichkeiten etabliert, um Advisories aus der Security-Community aktiv zu beobachten. Neben der wirkungslosen Authentifizierung führt die FTC in ihrer Beschwerde auch noch einige weitere Mängel auf: unter anderem wurden Passwörter jahrelang im Klartext gespeichert und übertragen. Die FTC kommt zu dem Schluss, dass TrendNet den durch die Produktpräsentation vermittelten Eindruck, dass sich die Kameras zur sicheren Videoüberwachung privater Bereiche im Büro und Zuhause eignen, falsch ist.
TrendNet hat im Rahmen einer Einigung mit der FTC zahlreichen Maßnahmen zugestimmt, die die Sicherheit der Produkte verbessern sollen. Unter anderem darf der Hersteller die Sicherheit seiner Kameras nicht länger falsch darstellen und muss ein umfassendes Sicherheitsprogramm erarbeiten. Das soll Schwachstellen adressieren, durch die Unbefugte auf die IP-Kameras zugreifen können. Das Programm muss für die nächsten 20 Jahre im Zweijahresrhythmus von einer unabhängigen Instanz kontrolliert werden.
Ferner muss der Hersteller sämtliche Kunden über die bereits bekannten Schwachstellen in den Kameras informieren und zwei Jahre kostenlosen Support anbieten, um die Betroffenen bei der Installation der abgesicherten Firmware-Versionen oder dem Abschalten der verwundbaren Kameras zu unterstützen. (rei)