Problema
Negli ultimi anni si è assistito ad un vero e proprio boom riguardante l’acquisto di dispositivi di videosorveglianza basati sul protocollo IP, ergo facilmente integrabili con le piccole reti domestiche preesistenti. Fin qui nulla di male, se non fosse che, spesso e volentieri, tali “aggeggi” montino dei firmware poco affidabili dal punto di vista della cybersecurity. Mi spiego meglio: cosa accadrebbe se consentissi l’accesso da remoto alla pagina Web di amministrazione della mia telecamera IP? Chi mi garantisce che:
1) Il codice server-side della suddetta pagina non sia vulnerabile;
2) Che non siano presenti una o più backdoor all’interno del codice sorgente del firmware.
Soluzione
Se disponete di un server Linux a risparmio energetico (come nel mio caso) è possibile mettere al sicuro l’accesso da remoto alla nostra telecamera IP mediante l’uso di un reverse proxy. In particolare, la configurazione che sto per illustrarvi riguarda uno dei server Web più utilizzati in ambito open source, ovvero Apache.
Supponendo che la mia telecamera IP sia in ascolto sulla porta TCP 81 (HTTP-Alt) e che risponda all’indirizzo 192.168.1.5 , ecco la configurazione da me adoperata:
<VirtualHost *:81> ProxyPass / http://192.168.1.5:81/ ProxyPassReverse / http://192.168.1.5:81/ <Proxy *> Order deny,allow Allow from all AuthName "IPCamera Access" AuthType Basic AuthUserFile /etc/ipcam/passwd Require valid-user </Proxy> </VirtualHost>
Nella fattispecie, oltre a loggare tutte le richieste di accesso provenienti dall’esterno (in modo da tenerne traccia), ho aggiunto un ulteriore meccanismo di autentica a quello già previsto dalla pagina Web di gestione. In questo modo sono riuscito a garantirmi 2 risultati:
1) Protezione contro attacchi di tipo Web-based;
2) Protezione contro eventuali backdoor presenti nel firmware.
Inoltre, dopo aver definito il suddetto VirtualHost, è stato necessario abilitare il modulo che fa funzionare Apache come reverse proxy, ovvero mod_proxy, decommentando o inserendo la seguente direttiva:
LoadModule proxy_module modules/mod_proxy.so
Per ciò che concerne le credenziali di accesso, invece, è stato possibile definirle utilizzando il comando htpasswd nel seguente formato:
[root@linuxbox ~]# htpasswd -c /etc/ipcam/passwd nomeutente
Infine ho ricaricato la configurazione di Apache per rendere effettive le suddette modifiche:
[root@linuxbox ~]# service httpd reload
Ora la vostra telecamera IP può essere considerata “relativamente” al sicuro.
Alla prossima.