ישיבת ועד בית ברמת גן, יום שלישי בערב. על השולחן הצעת מחיר לפאנל כניסה חדש עם מצלמה, אפליקציה לדיירים ופתיחת דלת מהטלפון. מישהו שואל כמה עולה, מישהו שואל אם יש תמיכה בעברית. אף אחד לא שואל את השאלה שבאמת חשובה: מה קורה אם מישהו מבחוץ משתלט על הדבר הזה? אבטחת אינטרקום היא כבר לא נושא לאנשי סייבר בלבד. פאנל IP בכניסה לבניין הוא מחשב קטן עם מצלמה, מיקרופון וממסר שפותח את הדלת, והוא מחובר לרשת. התשובה הקצרה: פורצים אליו דרך ממשק ניהול שחשוף לאינטרנט, דרך הרשת המקומית שהוא יושב עליה, או דרך קושחה שלא עודכנה. סוגרים את זה ברשת נפרדת, בלי פורטים פתוחים בנתב, בהחלפת סיסמאות ובעדכוני קושחה.
וזה לא תרחיש תיאורטי. במרץ 2023 פרסמה סוכנות הסייבר האמריקאית CISA הודעה על 13 חולשות בפאנל הכניסה E11 של Akuvox, וכולן נרשמו ברשומות ה-CVE הרשמיות. אחת מהן תוארה כך: שרת הווב של המכשיר נגיש בלי שום אימות משתמש. הציון שלה, 9.1 מתוך 10, נחשב קריטי. חולשה אחרת באותו מכשיר אפשרה הזרקת פקודות דרך ספר הטלפונים, בציון 8.8. (CVE-2023-0354 ו-CVE-2023-0351, למי שרוצה לבדוק.) פאנל כניסה, לא שרת בנק.
למה אינטרקום IP הוא בעצם מחשב בכניסה לבניין
באינטרקום האנלוגי הישן היו שני חוטים, זמזם וזהו. אי אפשר היה "לפרוץ" אליו מהצד השני של העולם. אינטרקום IP עובד אחרת: הוא מדבר בדרך כלל בפרוטוקול SIP, אותו פרוטוקול שמרכזיות טלפון משתמשות בו כדי להקים שיחות, הוא משדר וידאו, הוא מחזיק רשימת דיירים וקודי כניסה, ויש לו ממשק ניהול בדפדפן. כלומר, יש לו את כל מה שתוקף מחפש, ולכן אבטחת אינטרקום IP דומה יותר לאבטחת מחשב מאשר לתחזוקת זמזם.
מה תוקף יכול להשיג? תלוי במכשיר ובחולשה. במקרה הגרוע: צפייה במצלמה, האזנה למיקרופון, פתיחת הדלת, או שימוש בפאנל כנקודת כניסה לשאר הרשת. בפועל, הסיכון הנפוץ הוא לא האקר מתוחכם אלא מכשיר שחשוף לאינטרנט עם סיסמת יצרן. הנתון הישראלי בפרק הבא מראה עד כמה זה נפוץ.
איך פורצים לאינטרקום? שלוש הדלתות הפתוחות
לא מצאתי אצל מערך הסייבר הלאומי מדריך ייעודי לאינטרקומים, אבל יש לו מסמך המלצות למצלמות חכמות משנת 2022, והוא רלוונטי כמעט אחד לאחד, כי פאנל כניסה הוא בין השאר מצלמת רשת. לפי המסמך, בדיקה של המערך באותה שנה מצאה קרוב ל-66,000 מצלמות ביתיות ומצלמות אבטחה בישראל שחשופות להשתלטות מרחוק, חלקן באמצעות סיסמת ברירת מחדל.
המסמך מונה שלוש דרכים עיקריות לפריצה למצלמה. בתרגום לעולם האינטרקום:
- ממשק ניהול שחשוף לאינטרנט, לרוב עם סיסמה חלשה או סיסמת ברירת מחדל. מישהו פתח פורט בנתב (port forwarding) כדי שהמתקין יוכל להתחבר מהבית, ושכח לסגור. עכשיו כל העולם רואה את דף הכניסה. המסמך ממליץ להחליף גם סיסמה שהמתקין הגדיר, ולא רק את זו שהגיעה מהמפעל, כי פעמים רבות משתמשים בסיסמאות ידועות.
- חדירה לרשת המקומית, ומשם לפאנל. במסמך מדובר ברשת ה-Wi-Fi הביתית. בבניין זו יכולה להיות הרשת של הלובי או של חברת הניהול, אם הפאנל יושב עליה.
- קושחה ישנה. חולשה שתוקנה לפני שנתיים עדיין פתוחה במכשיר שאף אחד לא עדכן מאז ההתקנה.
אף אחת מהשלוש לא דורשת האקר מתוחכם. מספיק מישהו סבלני שסורק כתובות ברשת.
גם ל-BAS-IP היו חולשות, ולדעתי זה דווקא סימן טוב
כשמדברים על אבטחת אינטרקום, הוגנות מחייבת: אין יצרן שהמוצרים שלו חסינים. ב-BAS-IP פרסמו הודעת אבטחה רשמית בשם BSA-000001 על חולשות ב-30 דגמים, רובם פאנלי כניסה. לפי ההודעה, מי שניגש לממשק הווב או ל-API של המכשיר יכול היה להשיג את הסיסמאות של שרת הווידאו ושל חשבון ה-SIP. היצרן דירג את זה כחומרה בינונית, והתיקון הגיע בקושחה 3.9.2.
ב-2024 נרשמו שתי חולשות CVE על אותם 30 דגמים, שתיהן מתוקנות מקושחה 3.9.2 (CVE-2024-37654 ו-CVE-2024-39220). בעדכון לרשומות שלהן, סוכנות הסייבר האמריקאית CISA העניקה להן ציון של 6.1 ו-6.5, חומרה בינונית. אחת מהן דורשת משתמש מחובר עם הרשאות. לא קריטי, אבל גם לא משהו שמשאירים בלי עדכון.
אז למה סימן טוב? כי יצרן שמפרסם הודעת אבטחה, מפרט דגמים ומוציא תיקון הוא יצרן שאפשר לעבוד איתו. הבעיה האמיתית היא יצרן שלא מפרסם כלום. ועוד פרט מההודעה שכדאי להביא לישיבת הוועד: מכשיר שחשוף לאינטרנט דרך פתיחת פורט נמצא בסיכון גבוה, ומכשיר ברשת מקומית מוגנת בסיכון נמוך יותר. אותה חולשה, סיכון אחר לגמרי, רק בגלל איך שחיברו את המכשיר.
צ'קליסט אבטחת אינטרקום לוועד הבית ולמנהל הבניין
לא צריך להבין ברשתות כדי לשאול את השאלות הנכונות. הנה מה שהייתי דורש מכל ספק, לפני החתימה ולא אחריה:
- רשת נפרדת. האינטרקום, המצלמות ובקרת הכניסה יושבים ברשת משלהם (VLAN, כלומר רשת וירטואלית מופרדת על אותו מתג), לא באותה רשת עם המחשב של חברת הניהול. אם הפאנל בחוץ נפרץ, התוקף נתקע שם.
- בלי פתיחת פורטים. ההודעה של BAS-IP אומרת במפורש לא לחשוף את המכשיר ישירות לאינטרנט, ומערך הסייבר ממליץ למנוע או לפחות להגביל גישה מהאינטרנט. גם CISA, בהודעה שלה על ה-E11, המליצה לוודא שהמכשירים לא נגישים מהאינטרנט. גישה מרחוק עוברת דרך אפליקציה או ענן של היצרן, או דרך VPN.
- סיסמאות אחרי ההתקנה. בקשו בכתב שכל סיסמאות ברירת המחדל הוחלפו, כולל סיסמת חשבון ה-SIP, ושהוועד מחזיק עותק שלהן.
- מי מעדכן קושחה? זו שאלה שאף אחד לא שואל. תקבעו מראש מי אחראי, וכל כמה זמן בודקים אם יצא עדכון.
- הצפנה. שאלו אם התעבורה בין הפאנל לשרת מוצפנת. אצל BAS-IP, למשל, תמיכה ב-TLS 1.2 (פרוטוקול ההצפנה שמגן גם על אתרי אינטרנט) נוספה לפאנלים הרב-דירתיים בקושחה 3.11.0 באוגוסט 2022.
- נתב הבניין. המערך ממליץ להשבית בנתב את שירות UPnP, שמאפשר למכשירים לפתוח לעצמם פורטים בלי לשאול אף אחד.
- הכבל שמאחורי הפאנל. פאנל הכניסה תלוי בחוץ, ומאחוריו כבל רשת. מי שמפרק אותו מהקיר יכול לחבר מחשב נייד לאותו כבל. אם הפאנל יושב ברשת נפרדת, זה כל מה שהוא ירוויח מזה.
שבעה סעיפים, שעה של שיחה עם הספק. ספק שמתחמק מאחד מהם כבר נתן לכם תשובה.
אינטרקום בענן או שרת מקומי: מה בטוח יותר?
תשובה כנה: כאן אבטחת אינטרקום תלויה במי שמנהל את השרת. שרת מקומי בחדר התקשורת של הבניין נשמע בטוח יותר, עד שמגלים שאף אחד לא עדכן אותו שלוש שנים. ושרת כזה הוא עוד מחשב, עם מערכת הפעלה, גיבויים וסיסמת מנהל. מי מחזיק את הסיסמה הזו כשחברת הניהול מתחלפת? ענן של יצרן מעביר את האחריות על העדכונים, הגיבויים והאבטחה הפיזית לגורם שזה התפקיד שלו.
בפלטפורמת הענן של BAS-IP, לפי היצרן, מרכזי הנתונים מוסמכים לתקן ISO 27001, תקן ניהול אבטחת המידע הבינלאומי. שימו לב שההסמכה מתייחסת למרכזי הנתונים, לא לפאנל שעל הקיר. למי שמעדיף שליטה מלאה, BAS-IP מציעה גם התקנה מקומית של הפלטפורמה. לדעתי, לבניין מגורים רגיל בלי איש IT קבוע, ענן מנוהל הוא הבחירה השפויה יותר. למתחם גדול עם צוות טכני, שרת מקומי הגיוני.
איך זה מתחבר למערכות BAS-IP
אם אתם בוחרים מערכת, תשאלו כל יצרן איפה מתפרסמות הודעות האבטחה שלו ומה מדיניות עדכוני הקושחה. ב-BAS-IP הודעות האבטחה מתפרסמות באתר היצרן, כמו BSA-000001, והגישה מרחוק לדיירים עוברת דרך אפליקציית BAS-IP Link ושרת הענן של היצרן, כך שאין צורך להקים שרת בבניין. את הפאנלים והמוניטורים אפשר לראות בקטלוג המוצרים.
בשורה התחתונה, אבטחת אינטרקום היא לא מוצר שקונים אלא הרגל: רשת נפרדת, סיסמאות שהוחלפו, קושחה מעודכנת ושום פורט פתוח. בניין שעושה את ארבעת הדברים האלה סגר את שלוש הדלתות שמערך הסייבר מונה.
