Cloud Access Cybersecurity Shootout - Alarm.com, Brivo, DMP, Feenics, Kisi, Openpath, PDK, Verkada
As more access control systems are connected to the Internet and cybersecurity concerns rise, which are the most and least secure?
IPVM tested 8 manufacturers' cloud access controllers and mobile apps, evaluating Alarm.com, Brivo, DMP, Feenics, Kisi, Openpath, PDK, and Verkada.
** **** ******, ** **** *** best *** ***** ****** * **** categories *** ******* *********** ****** ***** criteria *** *************, *********:
- ***** / *** ********
- ************* ** ***-**-***-****** *******
- *** ********
- ******* **** *****
- ******* ******* ******* ********
- **** *********
- ***** ****** *************** *** ********* (****)
- ***** ************* **********
- **** ***** **********
- ***-***** ******** ******* ***
- ****** **** ****** ******* ******* **********
******* ***** ** *** ******** *** Research *********** ** ***** *****:
**** ** *** *** ****** ** this ******, *** ********* ****** ************* ******** - ********, Axis, *****, *****, ******, *********, *******, ******** ** ****** ************* ******** - Ava, ******, *******, *******. * ****** ****** **** *** coverage ** ***** *******.
*** *** ********* ***** ****** ************* rankings ***:***** ****** ******* ******** / ******** 2023 - *****.***, *****, ***, *******, Kisi, ********, ***, *******
Executive *******
**** ***** ******** *********** ******* ********* cloud ****** *********** *** ****** ****, though *** *********** *** **** ************* fundamentals, ******** ***** **** ****** *** certificates ********* ************ ** ******* ******* the *********** *** ***** ********.
******** ********* ********* *** **** ** certain ********** ** ********* *****:
- **** ******** ********:*****, ***, **** *** ******* ***** the **** ******** ********, **** ******* device ****** ********. **** *** *** minimal ******* **** *****, *****.* ** greater **********, *** ** ***** ***************.
- **** ****** ********:*****.*** ************** **** * ***** ****-********** apps ** ******** ********** *** **** Source ********, ***** ** ******** *** identifying ********* ***** **** ** *** China-produced *********.
**** *** *** *****:
- ***** ******** ********:******* *** *** *** *** **** issues **** ******** *************. ******* **** deprecated *** **.*, *** *** *** a ***** *** ******** *** *************.
- ***** ****** ********:******** *** **** **** * ******* critical *****. ******** ******* * **** Web ***** (***) **** **** *** expire *** *** *****, ***** ****'* non-JWT ************** ******* ***** ** **** of **********. ** ************ ****** *** acquires *** ******** *** *** *** this ** ****** *** **** ******* until *** **** ******* ** ******* or *** *** *******. **** *** has **** ****** *** ******, ******** one ** *********. ** ******** **** and **** ********* **** *** ******* into **** ** ******* ****************.
- **********, ** ******** ***'* **** ** Hikvision ******* *** *** *** ** Hikvision **** ****** *********:*** *** ******** ************ **** *********.
************ ************* ******* *** **** *******. No ************* ***** * ******** **** of ********* (****). **** ******* ****** a *** ****** *******, *** **** Openpath ******** ********* *** **** ****** Licenses *** *** ******** *** ****** apps.
Cloud ******* *************** *** *********** ******
**** **** *** ********* ******* ** the ****** ******* ******** *** *** authentication ********** ** *** ****** ****, not * **** **** ** *** servers ** **** ********, ****** **** did *** ****-***** ***** ** *** cloud ****** ********** *** *********** ******** and *** *** **** ***.
Manufacturer **** *********
** *** ******** *****, ** ******* a ******* ** *** ******* *********** of **** ************. ************, ** ***** are ******** *********, *** **** ** see ***** ** **** ** **** missed, ********@****.***** ******* *****.
Alarm.com ********
******* ** *****.*** ******** ******** ******** with *** *****-********* ******-***** **********, *** strong ****** *** ************* ***********.
*** **** ***** **** *** ******* LP-4502 ********** ** * **** **** pinned ************ *** ************ ********* **** TLS **.* ** *** ***** **** port ****, **** *** ********* ***** open ** *** ********** ********** ** HTTP(S) ******* ** ***** ** *** 443, *** ***-***** ******* ********* (****) on **** ****.
***** ************** **** * ******** *** password ** *** *****.*** ****** ***, with ****** ************ *** ************* ********* with *** **.* ** *** *****, the **** **** ******* * ******* token *** ********** ************** ********, ***** the ******* **** ****** ***** * few ******* ** **********, ********** *** user **** **** ** *** ** again ** "**** ** ****** **" is *** ********.
Brivo ********
******* ** ***** ******** ** ******** with *** *****-********* ********** *** ******* issues **** *** ****** *** ************* performance.
*** ********** **** ****** ************ *** communicates ********* **** *** **.* ** the ***** **** **** ***, *** no ********* ***** ******* **** ** the **********.
***** ************** **** ** ********* ******** and ******** ** *** ***** ****** mobile ***, **** ****** ************, *** communicating ********* **** *** **.* ** the *****, *** **** **** ******* a ****** **** *** ***** (***) for ********** ************** ********. *** *** expiration ** ** *****, *** ***** is * ********* *** ************* ********** the ****'* ***.
**** ********** ***** *** ***** ******* and **** ******** ** *** ***** received ***** ******** * ****** **** in ***** ******, * ******** **** be ********* ********** *********** *** * JSON *** ***** (***) ******* ***** with * ******** ** ** *****, which ***** ****** ***** *** ** the ********** *********.
DMP ********
******* ** *** ******** ** ******** with *** *****-********* **********, *** *********** concerns **** *** ****** *** ********************* ***** ********* ********* (**** ******).
****** ******* ** *** ******* ****** app, ** ***** ************* ****** *** startup **** ********* ***** ***** **** extensively ************ ********* ****, ***** ** explained **** ** ****** ** *** IPVM ********* *** ******** ************ **** *********.
*** ********** **** ***-*** ********** ***-**-*** TCP ********* ******* *** ********* *** to *** ***** **** ***** ****, 6001, *** ****, *** ** ********* ports ******* **** ** *** **********.
***** ************** **** * ******** *** password ** *** *** ******* ****** app, **** ****** ************, *** ************* encrypted **** *** **.* ** *** cloud, *** **** **** ******* ** authentication ***** *** ********** ************** ********.
Feenics ********
******* ** ******* ******** *********** ******** with *** *****-********* **********, *** ******* issues **** *** ****** *** ************* performance.
***** *** ******* **-**** ********** ** a **** **** ****** ************ *** communicating ********* **** *** ********** *** v1.1 ** *** ***** *** **** 3001 ***** ** *** ******** ** the ********** *** ** *** **** security ****** ***** *** ** *** TLS ** ********* *** **** *** listening ***** **** ** *** ********** identified ** ****(*) ******* ** ***** 80 *** ***, *** ***-***** ******* Discovery (****) ** **** ****.
***** ************** **** * ******** *** password ** *** ******* ****** ***, with ****** ************, *** ************* ********* with *** **.* ** *** *****, the **** **** ******* * ****** JSON *** ***** (***) *** ********** authentication ********. *** *** ********** ** 24 *****, *** ***** ** * mechanism *** ************* ********** *** ****'* JWT.
Kisi ********
******* ** **** ******** ** ******** with *** *****-********* ***-***** **********, *** strong ****** *** ************* ***********.
*** ********** **** ****** ************ *** communicates ********* **** *** **.* ** the ***** **** **** ***, *** no ********* ***** ******* **** ** the **********.
***** ************** **** * ******** *** password ** *** **** ****** ***, with ****** ************ *** ************* ********* with *** **.* ** *** *****, the **** **** ******* * ****** 32-byte ************** ***** *** ********** ************** purposes **** ******* ** ****** ***** 14 **** ** **********.
Openpath ********
******* ** ******** ******** ******** ******** with *** *****-********* ***-***** ***********, *** concerning ****** *** ************* ***********.
***** ********* ** ** * **** for *** ********** **** ****** ************ and ************ ********* **** *** **.* to *** ***** **** **** *** with **** ***** *** *******, **** few ********* ***** **** ** *** controller ********** ** ****(*) ******* ** ports **** *** ***, ******* *.*** Raspbian **+****** ** **** **, ****-***** Multicast **** ********** (*****) ** **** 5355, *** ***-***** ******* ********* (****) on **** ****.
***** ******* ******** *** *** ***** Reader *** **** ****** ************ *** communicates ********* **** *** **.* ** the ***** **** **** *** **** both ***** *** *******, **** *** listening ***** **** ** *** ***** reader ********** ** ****(*) ******* ** ports **, *** *** ****, ******* 7.9p1 ****** **+******* ** **** **, RTSP ** **** ***, **** ** port ****, *** ***-***** ******* ********* (MDNS) ** **** ****.
***** ************** **** * ******** *** password ** *** ******** ****** ***, with ****** ************ *** ************* ********* with *** **.* *** **.* ** the *****, *** **** **** ******* a ****** **** *** ***** (***) for ********** ************** ********, **** ** exceptional **** ********** **** ** *** years.
PDK ********
******* ** *** ******** ******** ******** with *** *****-********* ***-***** **********, *** strong ****** *** ************* ***********.
*** ********** **** ****** ************ *** communicates ********* **** *** **.* ** the ***** **** **** ***, **** few ********* ***** **** ********** ** OpenSSH *.*** ****** *+****** ** **** 22, *** ***-***** ******* ********* (****) on **** ****.
*** ******* ****** ** *** *** server ******* **** ** ** ********** to ******* ***** ***************, **** **** confirmed ********** ** ** ********-****-*****.
***** ************** **** * ******** *** password ** *** *** ****** ***, with ****** ************ *** ************* ********* with *** **.* *** *.* ** the *****, *** **** **** ******* a ****** **** *** ***** (***) for ********** ************** ********. *** *** expiration ** * *******, *** ***** is * ********* *** ************* ********** the ****'* ***.
Verkada ********
******* ** ******* ******** ** ******** with *** *****-********* ********** *** ******* issues **** *** ****** *** ************* performance.
*** ********** **** ****** ************ *** communicates ********* **** *** **.* ** the ***** **** **** ***, *** no ********* ***** ******* **** ** the **********.
***** ************** **** * ******** *** password ** *** ******* ******* ****** app, **** ****** ************, *** ************* encrypted **** *** **.* ** *** cloud, *** **** **** ******* ** authentication ***** *** ********** ************** ********. The ***** ********** ** ** ****.
Pinned ************ **********
*** ** *** ***** ****** ******* devices ****** **** ****** *** ************, meaning *** ***** ********'* *** *** certificates *** ********* **** *** *******, which ******** ***-**-***-****** ******* ***** ***-********** certificates:
Openpath **** *** ***** (***)
***** ************** **** * ******** *** password ** *** ******** ****** ***, the **** **** ******* * ****** JSON *** ***** (***) *** ********** authentication ********., **** ** ************* **** expiration **** ** *** *****.
******** ******** * ******** ** *** IPVM *******:
********* * *** ********** ******** *** of *** *********** *** ************* **** no ***** ********** ** ******** ****, however ** **** **** *** *** is **** **** ** *** **** that **'* **** ********* ***. *** higher-level *********** ********** **** **** **** are ********* ******* *** ***** ** for ******* ** *** **** **** to ** *******, ******* *** ***-**** expiration, *** *** ** ****** *** any ****** ************.
******* ** ************ ***** *** ******* gets **** ** **** *** *** use **** ** ****** *** **** account ***** *** **** ******* (**********) is ******* ** *** *** ******* in ~*** *****.
**** ********* * **** ***** ** saved * ******* **** ***, ****** out ** *** ***, *** **** utilized *** ********** ***** ******* **** the **** ***, *** ***** **** the *** *** ***** **********.
TLS **.* ******, ***** *** **.* / ******* *** **.*
*** **** ******** ******* ******* *** cloud ****** *********** *** ***** ** be *** **.*, ***** *** ******* by * *** ** *** * in *** ********.
**** *** **.* *** *** **.* are ******* *** ****** *********, ****** TLS **.* ****** * ****** ********* and **** ****** *******.
***** ***** ************* **** ******** ******* TLS **.* *** ***** ***** ****** controllers, ***** ***** *** ** **** providing *** **.*. *******, ** ****** be ***** **** ***** **** ******** deprecated *** **.*, **.*, *** ********* ciphers.
******* ***** *** ** ********* **** outdated *** **.* ** *** ******* option *** ***** ***** ****** ***********, along **** * *** *******/*********** *****.
******* ******** * ******** ********, ********* its "****" ** ******* ****** *** end ** ****:
** *** ** *** ******* ** decommissioning *** ******* ******** **** ****** TLS *.*. **** ** *** ** easy * ****** ** ** ***** seem. *** ********** ** **** *** 1.2 ** *** ********* ** *** combinations ** ******* ******** *** ******* driver ********, * **** **** * believe **** ******* *******, **** *******, explained ** * ******** ************* ** the ******.
**** *** ****.* ******** *********** ** can ***** *** ******* ** ****** existing *********** **** *** *.* ******** to *** *.* ********. *** *** controllers **** ** **** ** **** the **********. **’** ******** *** ************* campaign ** *** ** **** *** VARS ******* *** *********** **** ****** communicate **** *** ******* ** ******* driver **** ** *** *****. *** goal ** **** **** ********** **** be ******** ****** *** *** ** 2023.
*** *** *********** **** ** **** to *** *** *** *** *.* endpoint; ** ****, **** **** *** be **** ** ********* * ********** otherwise. ** **** **** *** *** 1.2 ******** ********* **** ** ******* another ****** ****** ***** ****** **** before *** *** ** *****.
Open ***** *****
***** *** ****** *******, ******** *** the ******* ****** ** ***** ********* ports, ***** ******* *** *****.*** ******** relatively ******* ******, **** **** ***** manufacturers ****** ** ***** ********* *****.
DMP ********* ********* *****
** ***** **** ***'* *********** ************ **** *********'* ***** ********** *********** ************ ********* ****.
**** ******* **** *** *** ** app, ** ***** **** *** ** the ******** **** ** ** * Hikvision ***** ****** *******. *** ******* capture ******** **** *** *** *** was *** ********** *** *****:
*** **** ******* *** *** **** test ******:*** *** ******** ************ **** *********
Open ****** ******** ******** ***
**** ********, ****, *** *****.*** ***** the *** ******* ******* **** ****** Software ********. **** *** **** ******* by************* *** **** ****** ******** ******* file**** *** ***. ** *** ***** hand, *****.*** *** ******** ******* *** Open ****** ******** ******* **** ** their *******, *********.***'* **** ********** *********** ** *** software ****, ***********'* **** ********** *********** *** **** hardware *** ********. *** ***** **** ** ****** from ***** ********** ********.
* ******** **** ******* ****** *** majority ** *** ******** **** ** OkHttp.
******: ****** ******* *.*
**** **
- ***
- ****
- *****.***
- *******
- *****
- ***
- ********
** ****** **** ******* ** *** omitted **** *** **********, ** ******* another ******* ****** ****** *******, ***** has *** **** ******* **** ** OkHttp.
****** *******: ****** ******* *.*
**** **
- ***
- *******
****** ********* ******* *.*, ** *** **** *** ********* in ********* *
Manufacturer ************* ******* *****
************ ************* ******* *********** *** ***** on *** ************'* ******* ************* ******* and *****, ********* ******** *** ******** transparency, *** ****** ********, *** ************* reporting:
Software ***** ** ******** (****)
*** ** *** *** ******* ********, none *** ***** ** ******* ****.
***** **** **** *** **** *** source **** *********, ** ****** ******* details **** ******* ******** *********** ** their ************** *** ******* ******** *** forensics ***** ** ****** *** ****** of ***** ********** **** ** *** software.
Bug ******
*** ** *** *** ******* ********, only ******* *** ***** ** ***** a *** ****** *******.
* *** ****** ******* ******* *********** for *********** *** ********* ***************, ******* to ********** ******** **** ****** *** vulnerability ******* ** **** ** ** organization's ************* ********** ********.
Cybersecurity ******
*** ** *** *** ******* ********, most ***** ******* ***** *** ****** of ************* ******, *** **** *** unable ** ****** *** ********** ************* guides *** *****.***, ***, *** ***.
** ** ***** ****, * ****** site ****** ***** *** ******* "*****" resulted ** ***** **** ** *****.***,* **** ** **********.*** (***), **** **** ** ***.***.
Vulnerability *********
** *** *** ******* ********, **** Alarm.com *** ******* **** ***** ** provide ******* *********** ******** *** ************* reporting.
**** **** *** ****** **** ********* other ******** ********* ***** ******** *************** is **********. *******, ** **** ************ in ******** *** *********** ******** *********** for ************* *********. ** ***** **** Openpath ******* * ******** ***** *******, while ****** ******* ******* ***** *********, through ****** ******* ***********.
Limited ***************
*** **** ********* ** *** *** enabled ** *******, ** *********** ******** in ****** *******. *******,***-************* ******** ********* ***************.
**** * ***** ** ******* ******, IPVM ***** ******* *** *** ******* is ********** ** ***-****-*****.
Open ****** ******** ******** ********
** *** *** ******* ********, **** Openpath *** ***** ** ******* **** Source ******** ******* *********** *** *** hardware.
Open ****** ******** ********
**** *** *** ** **** ****** also ***** *** ************** ** ************** **** *** ********* ******, ***** ** *** ** *** requirements ** *** **** ******** ****** ****** ********. ** ** **** **** ******** to ******* ***** ******* ** ***** used ** ***** *********.
Difference ******* ***/***** ** ***
*****/*** ******** *** ************* ******* *** device *** *** *** ****** *** ensures **** *** ********* **** ********* is *** *********** ** ******** ** unauthorized ***** *******.
***, ** *** ***** ****, ******* a ******, ********* ****** ******* *** device *** *** ****** ******, ********** the ******* *** ******** ** *** types ** **************, **** ***** **** do *** ******* **********.
IPVM **** ***** ************* *******
**** **** * ***** ****** ** isolate, ******* *** ******* ******* ******* the ********** ************'* ****** ***, *** cloud **********, *** **** ********'* *****-****** servers.
Access ******* ******
********
- *****.***
- *** **** ***** (******* **-****)
- *******: *.**.* (***)
- *****
- ***-***
- *******: *.*.*.*
- ***
- **
- *******: *** (**/**/**)
- ****
- *** ********** *
- *******:Not *****
- *******
- ******* **-****
- *******: *.**.* (***)
- ********
- ***** ****** ***
- *******: ********-*******-********
- ********
- **********
- *******:Not *****
- ***
- ******* **********
- *******: *.*.**
- *******
- ****
- *******: **-**-****
****** ****
- *****.***
- *******: ***.*****.***********.*******
- *******: *.**.**
- ***** ******
- *******: ***.*****.*****
- *******: *.**
- ***** ****
- *******: ***.*****.****
- *******: *.**.*
- *** ******* ******
- *******: ***.***.*******.*****
- *******: *.**.*
- *******
- *******: ***.*******.**********
- *******: **.**.* (******)
- ****
- *******: **.****.*******
- *******: **.*
- ********
- *******: ***.********.******
- *******: *.*.* (***)
- ***
- *******: **.***.******
- *******: *.*.*
- ******* *******
- *******: ***.*******.*******
- *******: *.**.*