Cloud Access Cybersecurity Shootout - Alarm.com, Brivo, DMP, Feenics, Kisi, Openpath, PDK, Verkada

** **** ****** ******* ******* *** connected ** *** ******** *** ************* concerns ****, ***** *** *** **** and ***** ******?

**** ****** * *************' ***** ****** controllers *** ****** ****, ********** *****.***, Brivo, ***, *******, ****, ********, ***, and *******.

** **** ******, ** **** *** best *** ***** ****** * **** categories *** ******* *********** ****** ***** criteria *** *************, *********:

• ***** / *** ********
• ************* ** ***-**-***-****** *******
• *** ********
• ******* **** *****
• ******* ******* ******* ********
• **** *********
• ***** ****** *************** *** ********* (****)
• ***** ************* **********
• **** ***** **********
• ***-***** ******** ******* ***
• ****** **** ****** ******* ******* **********

******* ***** ** *** ******** *** Research *********** ** ***** *****:

**** ** *** *** ****** ** this ******, *** ********* ****** ************* ******** - ********, Axis, *****, *****, ******, *********, *******, ******** ** ****** ************* ******** - Ava, ******, *******, *******. * ****** ****** **** *** coverage ** ***** *******.

*** *** ********* ***** ****** ************* rankings ***:***** ****** ******* ******** / ******** 2023 - *****.***, *****, ***, *******, Kisi, ********, ***, *******

Executive *******

**** ***** ******** *********** ******* ********* cloud ****** *********** *** ****** ****, though *** *********** *** **** ************* fundamentals, ******** ***** **** ****** *** certificates ********* ************ ** ******* ******* the *********** *** ***** ********.

******** ********* ********* *** **** ** certain ********** ** ********* *****:

• **** ******** ********:*****, ***, **** *** ******* ***** the **** ******** ********, **** ******* device ****** ********. **** *** *** minimal ******* **** *****, *****.* ** greater **********, *** ** ***** ***************.
• **** ****** ********:*****.*** ************** **** * ***** ****-********** apps ** ******** ********** *** **** Source ********, ***** ** ******** *** identifying ********* ***** **** ** *** China-produced *********.

**** *** *** *****:

• ***** ******** ********:******* *** *** *** *** **** issues **** ******** *************. ******* **** deprecated *** **.*, *** *** *** a ***** *** ******** *** *************.
• ***** ****** ********:******** *** **** **** * ******* critical *****. ******** ******* * **** Web ***** (***) **** **** *** expire *** *** *****, ***** ****'* non-JWT ************** ******* ***** ** **** of **********. ** ************ ****** *** acquires *** ******** *** *** *** this ** ****** *** **** ******* until *** **** ******* ** ******* or *** *** *******. **** *** has **** ****** *** ******, ******** one ** *********. ** ******** **** and **** ********* **** *** ******* into **** ** ******* ****************.
• **********, ** ******** ***'* **** ** Hikvision ******* *** *** *** ** Hikvision **** ****** *********:*** *** ******** ************ **** *********.

************ ************* ******* *** **** *******. No ************* ***** * ******** **** of ********* (****). **** ******* ****** a *** ****** *******, *** **** Openpath ******** ********* *** **** ****** Licenses *** *** ******** *** ****** apps.

Cloud ******* *************** *** *********** ******

**** **** *** ********* ******* ** the ****** ******* ******** *** *** authentication ********** ** *** ****** ****, not * **** **** ** *** servers ** **** ********, ****** **** did *** ****-***** ***** ** *** cloud ****** ********** *** *********** ******** and *** *** **** ***.

Manufacturer **** *********

** *** ******** *****, ** ******* a ******* ** *** ******* *********** of **** ************. ************, ** ***** are ******** *********, *** **** ** see ***** ** **** ** **** missed, ********@****.***** ******* *****.

Alarm.com ********

******* ** *****.*** ******** ******** ******** with *** *****-********* ******-***** **********, *** strong ****** *** ************* ***********.

*** **** ***** **** *** ******* LP-4502 ********** ** * **** **** pinned ************ *** ************ ********* **** TLS **.* ** *** ***** **** port ****, **** *** ********* ***** open ** *** ********** ********** ** HTTP(S) ******* ** ***** ** *** 443, *** ***-***** ******* ********* (****) on **** ****.

***** ************** **** * ******** *** password ** *** *****.*** ****** ***, with ****** ************ *** ************* ********* with *** **.* ** *** *****, the **** **** ******* * ******* token *** ********** ************** ********, ***** the ******* **** ****** ***** * few ******* ** **********, ********** *** user **** **** ** *** ** again ** "**** ** ****** **" is *** ********.

Brivo ********

******* ** ***** ******** ** ******** with *** *****-********* ********** *** ******* issues **** *** ****** *** ************* performance.

*** ********** **** ****** ************ *** communicates ********* **** *** **.* ** the ***** **** **** ***, *** no ********* ***** ******* **** ** the **********.

***** ************** **** ** ********* ******** and ******** ** *** ***** ****** mobile ***, **** ****** ************, *** communicating ********* **** *** **.* ** the *****, *** **** **** ******* a ****** **** *** ***** (***) for ********** ************** ********. *** *** expiration ** ** *****, *** ***** is * ********* *** ************* ********** the ****'* ***.

**** ********** ***** *** ***** ******* and **** ******** ** *** ***** received ***** ******** * ****** **** in ***** ******, * ******** **** be ********* ********** *********** *** * JSON *** ***** (***) ******* ***** with * ******** ** ** *****, which ***** ****** ***** *** ** the ********** *********.

DMP ********

******* ** *** ******** ** ******** with *** *****-********* **********, *** *********** concerns **** *** ****** *** ********************* ***** ********* ********* (**** ******).

****** ******* ** *** ******* ****** app, ** ***** ************* ****** *** startup **** ********* ***** ***** **** extensively ************ ********* ****, ***** ** explained **** ** ****** ** *** IPVM ********* *** ******** ************ **** *********.

*** ********** **** ***-*** ********** ***-**-*** TCP ********* ******* *** ********* *** to *** ***** **** ***** ****, 6001, *** ****, *** ** ********* ports ******* **** ** *** **********.

***** ************** **** * ******** *** password ** *** *** ******* ****** app, **** ****** ************, *** ************* encrypted **** *** **.* ** *** cloud, *** **** **** ******* ** authentication ***** *** ********** ************** ********.

Feenics ********

******* ** ******* ******** *********** ******** with *** *****-********* **********, *** ******* issues **** *** ****** *** ************* performance.

***** *** ******* **-**** ********** ** a **** **** ****** ************ *** communicating ********* **** *** ********** *** v1.1 ** *** ***** *** **** 3001 ***** ** *** ******** ** the ********** *** ** *** **** security ****** ***** *** ** *** TLS ** ********* *** **** *** listening ***** **** ** *** ********** identified ** ****(*) ******* ** ***** 80 *** ***, *** ***-***** ******* Discovery (****) ** **** ****.

***** ************** **** * ******** *** password ** *** ******* ****** ***, with ****** ************, *** ************* ********* with *** **.* ** *** *****, the **** **** ******* * ****** JSON *** ***** (***) *** ********** authentication ********. *** *** ********** ** 24 *****, *** ***** ** * mechanism *** ************* ********** *** ****'* JWT.

Kisi ********

******* ** **** ******** ** ******** with *** *****-********* ***-***** **********, *** strong ****** *** ************* ***********.

*** ********** **** ****** ************ *** communicates ********* **** *** **.* ** the ***** **** **** ***, *** no ********* ***** ******* **** ** the **********.

***** ************** **** * ******** *** password ** *** **** ****** ***, with ****** ************ *** ************* ********* with *** **.* ** *** *****, the **** **** ******* * ****** 32-byte ************** ***** *** ********** ************** purposes **** ******* ** ****** ***** 14 **** ** **********.

Openpath ********

******* ** ******** ******** ******** ******** with *** *****-********* ***-***** ***********, *** concerning ****** *** ************* ***********.

***** ********* ** ** * **** for *** ********** **** ****** ************ and ************ ********* **** *** **.* to *** ***** **** **** *** with **** ***** *** *******, **** few ********* ***** **** ** *** controller ********** ** ****(*) ******* ** ports **** *** ***, ******* *.*** Raspbian **+****** ** **** **, ****-***** Multicast **** ********** (*****) ** **** 5355, *** ***-***** ******* ********* (****) on **** ****.

***** ******* ******** *** *** ***** Reader *** **** ****** ************ *** communicates ********* **** *** **.* ** the ***** **** **** *** **** both ***** *** *******, **** *** listening ***** **** ** *** ***** reader ********** ** ****(*) ******* ** ports **, *** *** ****, ******* 7.9p1 ****** **+******* ** **** **, RTSP ** **** ***, **** ** port ****, *** ***-***** ******* ********* (MDNS) ** **** ****.

***** ************** **** * ******** *** password ** *** ******** ****** ***, with ****** ************ *** ************* ********* with *** **.* *** **.* ** the *****, *** **** **** ******* a ****** **** *** ***** (***) for ********** ************** ********, **** ** exceptional **** ********** **** ** *** years.

PDK ********

******* ** *** ******** ******** ******** with *** *****-********* ***-***** **********, *** strong ****** *** ************* ***********.

*** ********** **** ****** ************ *** communicates ********* **** *** **.* ** the ***** **** **** ***, **** few ********* ***** **** ********** ** OpenSSH *.*** ****** *+****** ** **** 22, *** ***-***** ******* ********* (****) on **** ****.

*** ******* ****** ** *** *** server ******* **** ** ** ********** to ******* ***** ***************, **** **** confirmed ********** ** ** ********-****-*****.

***** ************** **** * ******** *** password ** *** *** ****** ***, with ****** ************ *** ************* ********* with *** **.* *** *.* ** the *****, *** **** **** ******* a ****** **** *** ***** (***) for ********** ************** ********. *** *** expiration ** * *******, *** ***** is * ********* *** ************* ********** the ****'* ***.

Verkada ********

******* ** ******* ******** ** ******** with *** *****-********* ********** *** ******* issues **** *** ****** *** ************* performance.

*** ********** **** ****** ************ *** communicates ********* **** *** **.* ** the ***** **** **** ***, *** no ********* ***** ******* **** ** the **********.

***** ************** **** * ******** *** password ** *** ******* ******* ****** app, **** ****** ************, *** ************* encrypted **** *** **.* ** *** cloud, *** **** **** ******* ** authentication ***** *** ********** ************** ********. The ***** ********** ** ** ****.

Pinned ************ **********

*** ** *** ***** ****** ******* devices ****** **** ****** *** ************, meaning *** ***** ********'* *** *** certificates *** ********* **** *** *******, which ******** ***-**-***-****** ******* ***** ***-********** certificates:

Openpath **** *** ***** (***)

***** ************** **** * ******** *** password ** *** ******** ****** ***, the **** **** ******* * ****** JSON *** ***** (***) *** ********** authentication ********., **** ** ************* **** expiration **** ** *** *****.

******** ******** * ******** ** *** IPVM *******:

********* * *** ********** ******** *** of *** *********** *** ************* **** no ***** ********** ** ******** ****, however ** **** **** *** *** is **** **** ** *** **** that **'* **** ********* ***. *** higher-level *********** ********** **** **** **** are ********* ******* *** ***** ** for ******* ** *** **** **** to ** *******, ******* *** ***-**** expiration, *** *** ** ****** *** any ****** ************.

******* ** ************ ***** *** ******* gets **** ** **** *** *** use **** ** ****** *** **** account ***** *** **** ******* (**********) is ******* ** *** *** ******* in ~*** *****.

**** ********* * **** ***** ** saved * ******* **** ***, ****** out ** *** ***, *** **** utilized *** ********** ***** ******* **** the **** ***, *** ***** **** the *** *** ***** **********.

TLS **.* ******, ***** *** **.* / ******* *** **.*

*** **** ******** ******* ******* *** cloud ****** *********** *** ***** ** be *** **.*, ***** *** ******* by * *** ** *** * in *** ********.

**** *** **.* *** *** **.* are ******* *** ****** *********, ****** TLS **.* ****** * ****** ********* and **** ****** *******.

***** ***** ************* **** ******** ******* TLS **.* *** ***** ***** ****** controllers, ***** ***** *** ** **** providing *** **.*. *******, ** ****** be ***** **** ***** **** ******** deprecated *** **.*, **.*, *** ********* ciphers.

******* ***** *** ** ********* **** outdated *** **.* ** *** ******* option *** ***** ***** ****** ***********, along **** * *** *******/*********** *****.

******* ******** * ******** ********, ********* its "****" ** ******* ****** *** end ** ****:

** *** ** *** ******* ** decommissioning *** ******* ******** **** ****** TLS *.*. **** ** *** ** easy * ****** ** ** ***** seem. *** ********** ** **** *** 1.2 ** *** ********* ** *** combinations ** ******* ******** *** ******* driver ********, * **** **** * believe **** ******* *******, **** *******, explained ** * ******** ************* ** the ******.

**** *** ****.* ******** *********** ** can ***** *** ******* ** ****** existing *********** **** *** *.* ******** to *** *.* ********. *** *** controllers **** ** **** ** **** the **********. **’** ******** *** ************* campaign ** *** ** **** *** VARS ******* *** *********** **** ****** communicate **** *** ******* ** ******* driver **** ** *** *****. *** goal ** **** **** ********** **** be ******** ****** *** *** ** 2023.

*** *** *********** **** ** **** to *** *** *** *** *.* endpoint; ** ****, **** **** *** be **** ** ********* * ********** otherwise. ** **** **** *** *** 1.2 ******** ********* **** ** ******* another ****** ****** ***** ****** **** before *** *** ** *****.

Open ***** *****

***** *** ****** *******, ******** *** the ******* ****** ** ***** ********* ports, ***** ******* *** *****.*** ******** relatively ******* ******, **** **** ***** manufacturers ****** ** ***** ********* *****.

DMP ********* ********* *****

** ***** **** ***'* *********** ************ **** *********'* ***** ********** *********** ************ ********* ****.

**** ******* **** *** *** ** app, ** ***** **** *** ** the ******** **** ** ** * Hikvision ***** ****** *******. *** ******* capture ******** **** *** *** *** was *** ********** *** *****:

*** **** ******* *** *** **** test ******:*** *** ******** ************ **** *********

Open ****** ******** ******** ***

**** ********, ****, *** *****.*** ***** the *** ******* ******* **** ****** Software ********. **** *** **** ******* by************* *** **** ****** ******** ******* file**** *** ***. ** *** ***** hand, *****.*** *** ******** ******* *** Open ****** ******** ******* **** ** their *******, *********.***'* **** ********** *********** ** *** software ****, ***********'* **** ********** *********** *** **** hardware *** ********. *** ***** **** ** ****** from ***** ********** ********.

* ******** **** ******* ****** *** majority ** *** ******** **** ** OkHttp.

******: ****** ******* *.*

**** **

• ***
• ****
• *****.***
• *******
• *****
• ***
• ********

** ****** **** ******* ** *** omitted **** *** **********, ** ******* another ******* ****** ****** *******, ***** has *** **** ******* **** ** OkHttp.

****** *******: ****** ******* *.*

**** **

• ***
• *******

****** ********* ******* *.*, ** *** **** *** ********* in ********* *

Manufacturer ************* ******* *****

************ ************* ******* *********** *** ***** on *** ************'* ******* ************* ******* and *****, ********* ******** *** ******** transparency, *** ****** ********, *** ************* reporting:

Software ***** ** ******** (****)

*** ** *** *** ******* ********, none *** ***** ** ******* ****.

***** **** **** *** **** *** source **** *********, ** ****** ******* details **** ******* ******** *********** ** their ************** *** ******* ******** *** forensics ***** ** ****** *** ****** of ***** ********** **** ** *** software.

Bug ******

*** ** *** *** ******* ********, only ******* *** ***** ** ***** a *** ****** *******.

• ******* *** ******

* *** ****** ******* ******* *********** for *********** *** ********* ***************, ******* to ********** ******** **** ****** *** vulnerability ******* ** **** ** ** organization's ************* ********** ********.

Cybersecurity ******

*** ** *** *** ******* ********, most ***** ******* ***** *** ****** of ************* ******, *** **** *** unable ** ****** *** ********** ************* guides *** *****.***, ***, *** ***.

** ** ***** ****, * ****** site ****** ***** *** ******* "*****" resulted ** ***** **** ** *****.***,* **** ** **********.*** (***), **** **** ** ***.***.

Vulnerability *********

** *** *** ******* ********, **** Alarm.com *** ******* **** ***** ** provide ******* *********** ******** *** ************* reporting.

• *****.*** ************* *********
• ******* ************* *********

**** **** *** ****** **** ********* other ******** ********* ***** ******** *************** is **********. *******, ** **** ************ in ******** *** *********** ******** *********** for ************* *********. ** ***** **** Openpath ******* * ******** ***** *******, while ****** ******* ******* ***** *********, through ****** ******* ***********.

Limited ***************

*** **** ********* ** *** *** enabled ** *******, ** *********** ******** in ****** *******. *******,***-************* ******** ********* ***************.

**** * ***** ** ******* ******, IPVM ***** ******* *** *** ******* is ********** ** ***-****-*****.

Open ****** ******** ******** ********

** *** *** ******* ********, **** Openpath *** ***** ** ******* **** Source ******** ******* *********** *** *** hardware.

Open ****** ******** ********

**** *** *** ** **** ****** also ***** *** ************** ** ************** **** *** ********* ******, ***** ** *** ** *** requirements ** *** **** ******** ****** ****** ********. ** ** **** **** ******** to ******* ***** ******* ** ***** used ** ***** *********.

Difference ******* ***/***** ** ***

*****/*** ******** *** ************* ******* *** device *** *** *** ****** *** ensures **** *** ********* **** ********* is *** *********** ** ******** ** unauthorized ***** *******.

***, ** *** ***** ****, ******* a ******, ********* ****** ******* *** device *** *** ****** ******, ********** the ******* *** ******** ** *** types ** **************, **** ***** **** do *** ******* **********.

IPVM **** ***** ************* *******

**** **** * ***** ****** ** isolate, ******* *** ******* ******* ******* the ********** ************'* ****** ***, *** cloud **********, *** **** ********'* *****-****** servers.

Access ******* ******

********

• *****.***
  • *** **** ***** (******* **-****)
  • *******: *.**.* (***)
• *****
  • ***-***
  • *******: *.*.*.*
• ***
  • **
  • *******: *** (**/**/**)
• ****
  • *** ********** *
  • *******:Not *****
• *******
  • ******* **-****
  • *******: *.**.* (***)
• ********
  • ***** ****** ***
  • *******: ********-*******-********
• ********
  • **********
  • *******:Not *****
• ***
  • ******* **********
  • *******: *.*.**
• *******
  • ****
  • *******: **-**-****

****** ****

• *****.***
  • *******: ***.*****.***********.*******
  • *******: *.**.**
• ***** ******
  • *******: ***.*****.*****
  • *******: *.**
• ***** ****
  • *******: ***.*****.****
  • *******: *.**.*
• *** ******* ******
  • *******: ***.***.*******.*****
  • *******: *.**.*
• *******
  • *******: ***.*******.**********
  • *******: **.**.* (******)
• ****
  • *******: **.****.*******
  • *******: **.*
• ********
  • *******: ***.********.******
  • *******: *.*.* (***)
• ***
  • *******: **.***.******
  • *******: *.*.*
• ******* *******
  • *******: ***.*******.*******
  • *******: *.**.*