IoT Camera Security : case: Hikvision and Label X cameras

Abstract

The purpose of this thesis was to examine the information security of IoT (Internet of Things) cameras. IoT devices are connected to the Internet and usually collect data from the environment they are in using sensors. This collected data is then utilized in various ways. These devices play a larger part in our society than ever before, benefiting industry and consumers alike. However, the devices are often rife with security and privacy issues. The thesis explains what IoT means and what its role is, as well as shedding light on the possibilities and threats it brings.

The thesis is a case study, so a large part of it is dedicated to a practical example. Cameras from two different companies were penetration tested. A legal, simulated attack was conducted on them in a controlled environment.

The conclusion of the thesis is that the cameras passed the NCSC-FI IoT Label Requirements. The label is a guarantee to the consumer, that the device is information secure. No major flaws or vulnerabilities were found.

Tämän opinnäytetyön tarkoitus oli kartoittaa IoT eli ”esineiden internet” kameroiden tietoturvallisuutta. IoT laitteet ovat yhteydessä Internettiin ja keräävät dataa ympäristöstään anturien avulla. Tätä dataa voidaan hyödyntää monella eri tavalla. Nämä laitteet ovat suurempi osa yhteiskuntaamme kuin koskaan ennen, ja sekä teollisuus että kuluttajat ovat hyötyneet niistä. Ne sisältävät kuitenkin valitettavan usein tietoturva- ja yksityisyysongelmia. Teoriaosuus selittää mikä IoT on ja mikä sen tarkoitus on, sekä tarkastelee IoT:n tuomia mahdollisuuksia ja uhkia.

Työ on tapaustutkimus, johon kuuluu olennaisesti käytännön osuus. Tämä on toteutettu penetraatiotestaamalla kahden eri valmistajan IoT kameroita. Kameroihin kohdistettiin luvallinen simuloitu hyökkäys kontrolloidussa ympäristössä.

Työn lopputuloksena kamerat läpäisivät Liikenne- ja viestintäviraston Traficom:in Tietoturvamerkin vaatimukset. Merkki on tae kuluttajalle, että laitteet ovat tietoturvallisia. Mitään huomattavia heikkouksia ei löytynyt.