Kameraları telefondan izlemek artık kurulumun standart parçası. Asıl mesele izlemek değil; o görüntüye başka kimin ulaşabildiği. Sahada gördüğümüz kurulumların iyi bir kısmında kayıt cihazı internete doğrudan açılmış, şifre de kutudan çıktığı gibi duruyor.
1Fabrika şifresi duruyorsa gerisi teferruat
admin/12345, admin/admin, 888888. Bu kombinasyonlar marka marka listelenmiş halde internette dolaşıyor. 2016'daki Mirai olayında ele geçirilen yüz binlerce cihazın çoğu tam olarak bu yüzden düştü; kullanıcı adı ve şifre hiç değiştirilmemişti.
İkinci hata daha sinsi: NVR'ın ana şifresi değiştiriliyor, kameraların kendi web arayüzleri unutuluyor. Her kameranın ayrı IP'si, ayrı yönetim paneli var. Biri açık kalırsa ağa oradan giriliyor. Bir de kurulumcunun bıraktığı servis hesapları meselesi: teslim aldığınız sistemde kaç kullanıcı tanımlı, o listeyi bir kez görmekte fayda var.
2Port açmak, sokak kapısını mandalsız bırakmaktır
En yaygın kurulum şöyle ilerliyor: modeme girilir, 8000, 554 ve 80 portları kayıt cihazına yönlendirilir. Uygulama çalışır, müşteri memnun, iş bitti sanılır.
O port açıldığı andan itibaren cihaz internetten taranabilir durumda. Shodan gibi servisler tüm IPv4 adres uzayını sürekli tarıyor; KKTC'ye ayrılmış bloklarda açık bir RTSP servisinin bulunması saatler sürmüyor. Kayıt cihazının loglarına bakın; failed login satırları günde kaç kez tekrarlanıyor, mesele orada anlaşılıyor.
İşin bir de şu tarafı var: cihaz yazılımındaki bir açık, port açıldığı anda yalnızca iç ağdan değil dünyanın her yerinden sömürülebilir hale geliyor.
3VPN: doğru olan ama biraz emek isteyen yol
Mantık basit. Kamerayı internete açmak yerine sizi ağın içine alacaksınız. VPN'in yaptığı iş bu.
Pratikte iki yol var. Modem ya da router VPN sunucusu destekliyorsa (WireGuard veya OpenVPN) iş orada biter: telefona profili yüklersiniz, bağlandığınızda kameralar sanki ofisteymişsiniz gibi görünür. Desteklemiyorsa ağa küçük bir cihaz koyup VPN'i orada çalıştırırsınız.
Kıbrıs'ta bu noktada çıkan engel çoğu zaman teknik değil, altyapısal. Bazı bağlantılarda gerçek bir genel IP verilmiyor; CGNAT arkasında kalıyorsunuz, dışarıdan bağlanacağınız bir adres de olmuyor. O durumda ya servis sağlayıcıdan genel/statik IP talep edersiniz ya da dışarı doğru bağlantı kuran bir yapı kurarsınız. Dinamik IP'de DDNS iş görür; IP değiştiğinde birkaç dakikalık kesinti normal.
4Üretici bulut hizmetleri: pratik, ama şartları var
Uygulamaya cihazın seri numarasını girip QR okutarak bağlandığınız sistemlerden söz ediyoruz. Port açmadıkları için port yönlendirmeden iyiler. VPN'in yerini tutmuyorlar.
Bilinmesi gerekenler şunlar: görüntü akışı üreticinin sunucuları üzerinden geçiyor; o sunucuların nerede olduğu ve verinin ne kadar tutulduğu çoğu zaman net değil. Cihaz kimlikleri tahmin edilebilir dizilerden oluştuğu için geçmişte sızıntılar yaşandı. Hesapta iki adımlı doğrulama kapalıysa tek bariyeriniz yine bir şifre.
Bir dernek lokali ya da depo girişi için makul. Muhasebe odası, kasa önü, hasta mahremiyeti bulunan alanlar için bulut yerine VPN tercih edin.
5Cihaz yazılımı kurulunca bitmiyor
Kameralar ve kayıt cihazları da yazılım çalıştırıyor; o yazılımda da açık çıkıyor. Bazı üreticilerin cihazlarında kimlik doğrulamayı tamamen atlatan, yani şifre bilmeden yönetici olunabilen açıklar yayımlandı. Yamanın çıkması işin yarısı. Cihaza uygulanması ayrı iş.
Adada ek bir zorluk var. Gri kanaldan gelen, farklı bölge için üretilmiş cihazlara üreticinin resmi yazılımı çoğu zaman yüklenmiyor; zorlanırsa cihaz kullanılamaz hale geliyor. Alırken hangi bölge için üretildiğini sorun. Güncellemeyi kablolu bağlantıyla ve kesintisiz güç altında yapın; yarıda kalan bir firmware yüklemesi cihazı çöpe çevirir.
6Yarım saatlik kontrol
Mevcut sisteminizde şunlara bakmak bir bakım ziyaretinden kısa sürer:
- Modemde kayıt cihazına yönlendirilmiş port var mı; varsa neden var
- NVR ve her kamera için ayrı ve uzun şifre; kurulumdan kalan hesapların silinmesi
- UPnP kapalı mı — açıksa cihaz kendi başına port açıyor olabilir
- Cihaz saati doğru mu ve log tutuluyor mu; olay sonrası arama yapmak için şart
- Yüklü firmware sürümü ile üreticinin son yayımladığı sürüm arasındaki fark
- Kayıtlar kaç gün geriye gidiyor; disk dolduğunda üzerine yazıyor mu
Kamera sistemine genelde olay olduktan sonra bakılır; aksaklık da bu yüzden en kötü anda fark edilir. Altı ayda bir yarım saat ayırıp yukarıdaki listeyi geçmek, çoğu riski daha ortaya çıkmadan kapatır. Kurulumunuzu bu gözle gözden geçirmek isterseniz Kıbrıs Yazılım'a danışabilirsiniz.