Пряма відповідь
Зберігайте облікові дані в захищених полях облікових даних клієнта або секретному сховищі, а не в скопійованих URL. Використовуйте унікальний обліковий запис лише для перегляду та обертайте його, якщо було виявлено робочий URI.
Чому це відбувається
Інформацію користувача, вбудовану в URI, можна отримати за допомогою історії оболонки, аргументів процесу, журналів, звітів про збої, знімків екрана та вставлених квитків. Зарезервовані символи також роблять аналіз крихким.
Зберігайте конфіденційність служб камери, мінімізуйте доступ до облікових даних і документуйте всі межі довіри.
Контрольований тест
Шукайте лише в системах, якими ви адмініструєте, відоме ім’я облікового запису чи оброблений шаблон, а потім видаліть або змініть розкриті секрети відповідно до політики.
Змінюйте одну змінну за раз. Записуйте модель камери, мікропрограму, кінцеву точку та обліковий запис; потім перевірте доступність мережі, відповідь протоколу, транспорт медіа та декодування як окремі рівні.
Використовуйте спеціальний обліковий запис лише для перегляду та надійний локальний інструмент діагностики. Відредагуйте облікові дані, приватні адреси та ідентифікаційні дані, перш ніж надавати спільний доступ до результатів.
Діагностична послідовність
| Перевірте | Дія | Доказ прогресу |
|---|---|---|
| Клієнт | Перемістіть облікові дані з URI, де це підтримується. | Збережені кінцеві точки не містять багаторазового пароля. |
| Привілеї | Використовуйте спеціальний обліковий запис лише для перегляду. | Облікові дані потоку не можуть змінити налаштування пристрою. |
| Телеметрія | Перегляньте журнали, історію та діагностику. | Конфіденційні поля редагуються перед експортом. |
| Обертання | Замініть облікові дані після підтвердженого зараження. | Старі URL більше не автентифікуються. |
Докази, які потрібно зберігати
Задокументуйте місця витоку та час обертання, не копіюючи секрет у запис інциденту.
Примітка про обмеження та безпеку
Не завантажуйте приватні камери URL у загальнодоступні тестери потоків або інструменти AI, навіть якщо камера тимчасово недоступна.
Для віддаленого перегляду використовуйте керований VPN замість того, щоб відкривати RTSP або порти адміністрування камери безпосередньо в публічному Інтернеті.
SmartRTSP
SmartRTSP — це орієнтований на камеру засіб перегляду RTSP і ONVIF для пристроїв Apple, Windows і Android. Він підходить для прямого перегляду, виявлення та перевірки кількома камерами; зберігайте спеціальний NVR або VMS, якщо потрібен постійний запис, експорт доказів або централізований контроль підприємства.
Часті запитання
Чи безпечно rtsp://user:pass@host?
Це широко відоме клієнтам, але підвищує ризик виявлення в журналах, історії та скопійованому тексті.
Що робити, якщо програма перегляду вимагає вбудований пароль?
Використовуйте унікальний обліковий запис із найменшими привілеями та зберігайте URI у захищеному сховищі конфігурації.
Чи слід обертати після того, як надіслано знімок екрана?
Якщо знімок екрана містив придатні для використання облікові дані або маркер, поверніть його та перегляньте, куди надійшло зображення.
Первинні посилання
- IETF RFC 3986 — URI загальний синтаксис
- FTC США — Як захистити домашні камери безпеки
- CISA — Керівництво з безпеки за проектом
Пов’язаний посібник SmartRTSP
Відкрити відповідний посібникВідстежуйте паролі камер через журнали, історію браузера, списки процесів, знімки екрана та інструменти підтримки перед тим, як ділитися потоком.