Niebezpiecznik

Jeśli ze swojej kamerki GoPro korzystasz rzadko i zdarzyło Ci się zapomnieć hasła do jej sieci Wi-Fi, możesz mieć mały problem… Procedura resetu hasła, którą najprawdopodobniej wykonałeś nie jest bezpieczna, bo powoduje że z Waszym hasłem zapoznać może się każdy internauta…

Ciekawa procedura odzyskiwania hasła …z głębokiego ukrycia

Kamerki GoPro rozgłaszają swoją sieć Wi-Fi. Kiedy się do niej podepniemy, możemy za pomocą specjalnej aplikacji mobilnej pobierać nagrania i zdjęcia wprost z kamerki.

Wbrew pozorom, na nagraniach z GoPro można znaleźć nie tylko skoki narciarskie i podwodną faunę i florę ;)

Jeśli zdarzy nam się zapomnieć hasło, jakie ustawiliśmy podczas poprzedniego wakacyjnego wyjazdu — żaden problem. Producent przychodzi z pomocą. Na specjalnej stronie, po wpisaniu numeru seryjnego możemy podać nową nazwę sieci Wi-Fi i hasło. W odpowiedzi otrzymamy link do pliku konfiguracyjnego, który trzeba umieścić na karcie SD i włożyć do kamerki. Ta operacja nadpisze ustawienia sieci Wi-Fi na kamerce i znów będzie się można z nią połączyć…

Jest tylko jeden mały problem. Link do pliku konfiguracyjnego zawierającego nazwę sieci i hasło wygląda tak:

http://cbcdn2.gp-static.com/uploads/firmware-bundles/firmware_bundle/8605145/UPDATE.zip

Zmieniając wartość liczbową, można pobrać pliki innych użytkowników GoPro, którzy ustawiali hasła do swoich kamerek… Tak, znajdują się one w “głębokim ukryciu“. Jeden internautów pobrał 1000 plików z ustawieniami innych użytkowników kamerek GoPro.

Część z naw sieci i haseł do kamerek GoPro

Ograniczenia ataku

Oczywiście samo pozyskanie nazwy sieci i hasła nie daje jeszcze dostępu do zawartości czyjejś kamerki. Atakujący musi bowiem znaleźć się w zasięgu jej sieci Wi-Fi (czyli odnaleźć właściciela). To sprawia, że atak jest mało realny.

Jeśli jednak przypomnimy sobie, że spora część internautów korzysta z jednego hasła do wielu usług, to być może na podstawie nazw sieci niektórych kamerek uda się komuś ustalić np. login do czyjegoś konta Google, a w kolejnym kroku sprawdzić, czy hasło jest takie samo?

Wydaje się także, że na wyciek haseł nie jest podatny model HERO4. Procedura resetu hasła do Wi-Fi tego modelu jest inna i nie wymaga jego wpisywania na stronie internetowej producenta.

Dobra rada: po każdym “przypomnieniu/resecie” hasła do GoPro, zmieńcie je na inne poprzez oficjalną aplikację.

Przeczytaj także:

• Nie zmienili haseł do kamer internetowych, więc może ich podziwiać cały świat…
• Dziura w TP-Linkach,Pentagramach i D-Linkach – ponad milion polskich routerów podatnych na ataki.
• A tak można było zhackować Radio Maryja