Cybersecurity Rankings Criteria for IP Cameras and NVRs Explained
We perform cyber security comparisons and physical security tests using predefined categories and criteria we explain in this report.
See also:
- IP Camera Cybersecurity Rankings - Avigilon, Axis, Bosch, Dahua, Hanwha, Hikvision, i-PRO, Uniview, Vivotek
- Cloud IP Camera Cybersecurity Rankings 2023 - Avigilon Alta, Eagle Eye, Meraki, Rhombus, Turing, Verkada
In this report, we present the following criteria and explains the importance of each across nine main categories:
- Fundamental Built-In Security Features
- Advanced Built-In Security Features
- Attack Surface - WebUI
- Attack Surface - HTTPS / TLS / SSL
- Attack Surface - Disabled Services
- Digital Fingerprinting
- Cloud / P2P Connection
- Firmware Updates
- Manufacturer Cybersecurity Support
Cybersecurity ******* ********
*** ******* ******* ******** **** **********, including *********** *******, ********** **** ********, firmware ********, *** ****. ***** ***** aim ** ******** *** ********** ** the ********, ********, *** ************* ******** that ********* ***** *******. ** **** analyze **** ************'* ******* ************* *** design ******* *** ********* *****.
************* ******* ** **** *** ** cameras ** ******** ** ******** ***** devices, ********, *** *** **** **** generate. ** *** *** ** ********-********* devices *********, ** **** *** **** of *****-******* **** *** ********** *******.
Criteria ******
*** ***** ***** ***** *** ******** tested ** ******** *** *** ********:
Fundamental *****-** ******** ********
** ******* ******* *** **** ** IP ******* **** ***** *****-** ******** features **** ****** ****** ****** *** and ******* ********** ******* **** ******** access.
** ******* *** *********** *****-** ******** Features ******** *** **** ******:
******* ******** ****** (***)
*** ******* ******** ****** (***) ** a ********* **** ** *** ****** that *** * ******* *** ** cryptographic ********* ** ****** ********* ************* operations *** ***** ********* ***********, **** as ******* ****. **** *** *** common ** **** *** ** ******* in ****.
****** ****
****** **** ** * ******* **** ensures **** *** ****** *** **** boot **** *** ************'* ********** ******** by ********** ** **** ******* **** the **** ***. ****** **** ** very ****** ** **** *** ** cameras.
****** ********
****** ******** ******* **** *** ****** is ********* **** ********** ******** ******** from * ********* ******, **** ******** authorized ******** ** ** *********. ****** firmware ** **** ****** ** **** and ** *******.
** ******* ******
** ******* ******* **** ***** (** block) *********** **** ********** ** ********* or ****** *******. *** ******'* *****-** Linux ******** ** ******** **** ** provide **** *********. **** ** ****** in **** *** ** *******.
*** ******* ******
*** ******* ******* *** **** **** individual *** ********* ** ***** ** allow ****** ** *** ******. *** device's *****-** ***** ******** ** ********* used ** ******* **** *********. ** is *** ****** *** **** *** IP ******* ** ***** ****.
***** ****
***** ******* ** * ****** *** effective ****** ** **** **** ** prevent * *****-***** ****** ** ******* out *** * ****** **** ***** a ****** ****** (*-*) ** ********* login ********.
**** ***** ***** *** ********** **** advanced, ***** *** ********* ****** *** number ** ********* ***** ******** **** a ****** **** ***** ****** *******.
Advanced *****-** ******** ********
** ******* ******* *** **** ** IP ******* ******* **** ******** *** sophisticated ********** ** ******* ******* **** attacks, ***** ***** ******* **** ********* and **** ** ********* ********* *** are, *********, **** ****** ** ***** surveillance.
** ******* **** ******** *****-** ******** Features ******** *** **** ******:
******* **** ********* (***)
******** *** **** *** ** ******* devices ** ******* ****** *********** *** configuration, ******* **** ********* (***) ********* changes ** *********** ******* **** ***** ** * compiled ****** (******), ****** ** ************* **** *********** to ******* ***** ******** *** **** Day ******* ** ********** ** ******* malicious ******** *********.
********* ********* ****** (***)
** ********* ********* ****** (***) ************ monitors ******* ******* *** ********* ******** by ******* ** *** ******* ******* for ********** *** ****** **** **** activity ** ********. *** **** ******* potential ******* *** **** *** **** further ******.
********* ********** ****** (***)
********* ********** ******* (***) ******* ********* similar ** *** *** *******, *****, or **** ********* ******** **** ********.
**** ***.**
**** ***.** ** * ******** ****** for ************ ******** ******** ** ********, where *** ********* ** ** **** a ******* **** ** **** **** known *** ************* ******* **** ****** and **** ******* ******* *** ******* or ********** ** * ***** ****.
***-*** ** ********* *** **** ****** authentication ****** ******* ** ****** ** certificates *** ********** *** **************. *******, many *** *** ** ****** ************* do *** ******* ***-*** ** ******* software ** ****** ************ ** ****** devices.
Attack *******
** ******* ******* ** *** ** IP ******'* ************* ****** ******* ****** to ********* ***** ****** *** * malicious ****** ** * ****** ** system. ** ******** ********, ********, *** communication ******** **** ********* *** ******* to **** ************ ****** ** ***** damage.
** *** ************* ********, ** ******* the ******'* ***** *************, *****/*** ********, and *******-******* ********, **** ********* *** device *** ************* ** ************ ******** and ********* *****.
Attack ******* - *** **** ********* (*****)
** ******* ******* *** ***** ********* is ** *** "*********-********" **** *** whether *** *********** ********* ****** ************** is *********. *** **** ****** ** HTTP ******, *** *********** ***** ********** also ***** *** **** ********* ** the **** *********.
***** ** *** ****** ********* *** logging **** *** ******'* ******* *********. A *** ** *** **** *** use *** ***** *** ***********, ** disabling *** ***** *** ** ******* will ****** *** ******'* ********* *** potential ****** ******, ** **** ********* is ***** *** ****** ***** ******* installation.
**** ** * ******* *** ****-********* check *** ***** ******** *** *** of * ***-**-***-****** (****) **** **** as**** *****, ***** **** ****** ******** ** unexpected ************.
******** **** ******* ** ******* *********
**** ******* **** ******* ******** **** offer **** ***** ******* **** * default ******** ** ** ******** ********. However, ***** ******* ** *** **** administrator ******. ****** ******** **** ******* or ** ********* ** *** **** cyber *******.
Attack ******* - *****/***/***
** ******* **** ** ** ******* with ******* ****** **** *******.**** ****** ***** *** ********* *** being ****, ***** ******* *** ***** used, *** ***** *** *************** *** exist.
*** *****/*** ******** ******** ************** ******* devices *** *******/******* *** ** * standard *** ******** ********* *********** **** communications. ******* *** ******** *****, ********* older ******** *.* *** *.*, ******** TLS *.*, *** *** ******, *********** TLS *.*.
** **** ****** **** ******* ** not ***** ******** ***, ***** *** vulnerabilities, *** ******** *******, **** ** which *********** ****** *** ****** *** encrypting **************.
Attack ******* - ******** ********
** ******* **** ** ** ******* by ******** *** ******** *** ***** 1 - *****, ***** **** ********* ports *** ******** *** *************, *******, or ***** ********. *************, *******, ** known ****** ******** *** ***** **** presents * **** ** ********* ****** points.
************* *** ******* ******** **** **** are ************ ** *** ********* ** the *****, *** ***** ******* ** unclear.
***********, **** ***** ******* ** **** only ***** *** ********* ******** *** enabled *** *** ******** *************. **** minimizes ********* ****** ******.
*** ********* ***** *** ** ** camera ****** ******** **** ******* *** if **** **** ******** ** *******:
- ****:* ******* ******** *** ******** ********** data ********* **** * *******, ********* server ******* *** ******** *** ******* delivery.
- **** ****** **************:******** ********* **** ** ****** *** client's ******** **** * ****** ******* of *** ******** *** * ***** value ** ******* ****** *******
- ****:******* ****** ********** *** ********** ******** that ******** * ******** ****** *** devices ** *********** *********** ***** ***** performance, *************, *** ******, ***** *** be **** ** ******* ******* ***********, identify ********, *** ****** ******* *************.
- *****:******** ******* ******** *** ************* ******* IP-based ******* *** ***/****, ******** **************** and ****** *********** ** ******* **** different *************.
- ***** ****** **************:******** ********* **** ** ****** *** client's ******** **** * ****** ******* of *** ******** *** * ***** value ** ******* ****** *******
- *** ******:* ******* ****** **** ******** ******** time *********** ** ***** ******* ** a ******* ** ************* ***** ****** to * ******** **** *********. **** ensures ******** ****** *** ***** *******, security, *********** **********, *** **** **** timestamps.
- *****:* ******* ******** **** ****** **** commands ** ** *********** **** ** networks, ******** ****** ***** ** ****** shared ******* ** ** ******* ********.
********* *************** **** ********* ***** ******* within ***** ******** ***** ** **** and ***** ********* **** * ******* username *** ******** ** ************ **** intercepted **** ********.
********* ** *** **** ****** ************* and ******* ** **** * ******* or ***** ****-***** ********* *******, ** attacker ***** ******* ********* *********** ***** the ****** ** ***** ******* ****, such ** ** ******* ** *******, and ****** * ****** ** *******.
** ********, *************** ** * **** advanced ****** *** *****, **** ** buffer *********, ***** *** ******** ***** exploit ** **** ****** ** *** device.
Digital **************
** ******* **** ******** *** ********** tools, **** ** ************ ********* *****,********* *******, ****** *******, ***** **** ** retrieve *********** **** *** ******'* *** server, *****, ***.
******* ************** ** ***** *********** *** remote ****** *** ******* ** **** information ** ******** ***** *** ****** without **************.
***** *** ******* *** ****, *** any *********** ******** *** **** ****** the ****** ** **** *** ******** device. *** *******, ******* *** ***** device ***** *** ******** ******* *** mean ******* ******* ** ******* ** a ****** ******** ******.
* ****** ******** ****** ******** *** attacker ******* ******* ** * *******'* execution **** **** ******** * ****** address ** ***** *** ******* *** jump,**** ** * *********. **** ****** ******* ******* ******* between ****** ***** *** ******** ********.
*** ****** *** ** ******** ** to ***** ** ****** ********* *********, which ********* ******* *** **** ******* information, **** ** ** *******, ***** can ********* ******* *** ****** ** behind * ********, ******** *******, *** device *****.
********* *** ** ******* *** **** innocuous, *** **** ******* ***** **** the ******** ** ****** ************** ******** **** ** *** ******** instead ** ******* *** * ********** from *** ******** ***** *** ** address ******* **** *** ****** ** behind * ********.
**** *********** ********* ** **** ****** and ******* *** *********, ** ** helps ***** ** ************* ** *** potential ****** ******, ** ** ** critical ** ***** *** ****** ** information **** *** ** ******** ******* authentication.
Cloud / *** ***********
** ******* **** ** ** ******* Cloud/P2P *********** **** * ***** ******** running ****-**-***-****** ******** ****** ******* ***** **** *********************** ******* *** ******* *** ******* between *** ******* *** ********/***** ********.
*** *****/*** ******* ** *** ******** should ** ************* *********, **** ***** and ******* ***** ****** ************** **** verification ** ******* ************* *** ***-**-***-****** attacks.
********* ** *** ********'* ******* ** position ******* ******* *** ******, *** client, ** *** ***** *******, *** position *** ***** ** ******** ** intercept ***** ** ********** ******* ** a ***-**-***-****** ****** ***** *** ******* is *********** ** **** ************* ************** and ************ ********** *** ****.
*** ******** ********* *** ********** ***-**-***-****** attacks **** *****/*** ** ** ************** *******, ***** ** * ******** ********* that ****** **** ********** ************ ******* the ****** *** *****/***.
* ******* ********* *** *****-********* *******, such ** ****-**** *****, ********** ********* ***** ******** (****).
Firmware ******
** ******* ** *** **** ** IP ******* *** ****** *** ******** via *** ***** **** ****** ** automated ******* *** ***** ******** *******. We **** *** ** **** *** download *** ****** ******** ** ***** if *** ******** ** ********* ** unencrypted.
***** ********* ******** *** **** **** secure, * **** ** ************ ***** what's ** *** ******** *** ***** devices **** ********** *** *** ******, as ************ ******** ********** *** ******* externally ***** ***************.
**** ********* **** ********** ** ****** vulnerabilities, *********** ***************, ** ********** ******** directly **** *** ****** ***** *********** tools.
*** *******:
- ****** ** ** $**,*** *** ******* Vulnerabilities ********
- **** *** ****** *** ***** ***** Access ** ************* ***************
- "*** *******": *** ***** ******** *************** for ****, ***** *******
- ** ** $*** ****** *** *** Exploits, ***** ***(**********)
******** ******* **** ******* *************, **** some ********* **** ***** *** ******* while ****** ***** ***** **** *****-***** firmware *******. *****-***** ******** ******* **** it ****** *** **** ***** ** update ******* **** *** ******* ********, with ******* ********* ******** ***** ** having *** ****** ********* ** *** Internet.
Manufacturer ************* *******
** ******* *** ******* ******** ************* place ** ************* *******, ********* ******** the *********:
- ************* ****** / ********* *******
- *** *** ********
- **** **** ******* (***) ********/********
- *** ****** *******(*)
- ******** **** ** ********* (****)
- **** ****** ******* ******** *********
- *********** *********** ********** *******
***** ** ****** ******* *** ************* from *************. ***** *** ****** ******** and ******** ***** ** ********* (*****) are ****, **** ************* **** ************* guides *** ************* ********** ********.
*******, ********* *** ********* ******* *** hard ** **** ****** ***** *** pages *** ****-****** ******** ********* ***********.