SSL Verschlüsselung und Zertifikate bei Überwachungskameras

Die meisten werden diesen Prozess im Zusammenhang mit Webseiten kennen. Es gibt aber auch Überwachungskameras die es erlauben eigene Zertifikate hochzuladen oder bereits selbst HTTPS(verschlüsselte Verbindungen) unterstützen.

Dieser ist ein Folgeartikel von diesem hier: Unverschlüsselte Daten werden von einer Überwachungskamera gesendet! Was genau bedeutet das eigentlich?

Die Weboberfläche vieler Überwachungskameras ist per Browser erreichbar und ist somit im Endeffekt eine Webseite!

Woran erkenne ich ob eine Verschlüsselung aktiv ist?

Bild

Beispiel Webseite

Bild

INSTAR HTTPS über die integrierte DDNS

Ob eine Webseite, oder der Zugriff im Browser auf die Überwachungskamera verschlüsselt ist, kann man am Schloss in der Browserleiste erkennen(oft ist das Schloss grün, kann aber auch einfach grau dargestellt werden). Oben seht ihr zwei Bilder. Das erste zeigt diese Webseite hier, welche SSL/TLS verschlüsselt ist und ein Let´s Encrypt Zertifikat nutzt.

Was ist ein SSL Zertifikat?

Ein SSL-Zertifikat ist im Endeffekt ein digitaler Datensatz, welcher bestimmte Eigenschaften von Personen oder Objekten bestätigt. Die Integrität und Authentizität des Datensatzes kann durch kryptografische Verfahren geprüft werden. Das Zertifikat dieser Webseite bestätigt z.B. grobgesagt, dass der Server(IP) zu dieser Domain(Webseite gehört). Mit dem Zertifikat und dem zugehörigen Schlüssel kann dann eine sichere/verschlüsselte Verbindung aufgebaut werden. Doch dazu gleich mehr.

Ablauf der SSL-Verschlüsselung, der Verbindungsprozess

SSL Ablauf und Erklärung in Schritten

Schritt 1: Zertifzierung des Zertifikats durch eine Zertfizierungsstelle (CA)

Der Betreiber des Servers bzw. der Webseite (das kann auch eine Überwachungskamera sein) muss sich sein erstelltes SSL-Zertifikat samt des öffentlichen Schlüssels zertifizieren lassen!

Beispiel Mediamarkt SSL-Zertifikat

Werfen wir nun einen Blick auf das Beispiel Mediamarkt. Wir sehen hier weitere Daten im Zertifikat, wo z.B. auch die Organisation und die Organisationseinheit festgehalten ist. Außerdem steht hier auch die Zertifizierungsstelle(CA) DIGICERT. Solche kommerziellen Zertifikate kosten gerne mal 200€ oder mehr pro Jahr. Das Zertifikat wird vom Browser als valide erkannt und damit ist es ein gültiges Zertifikat bei dem DIGICERT dieses Zertifikat zertifiziert hat und deshalb erkenn es der Browser als valide/gültig an.

Bei Onlineshops ist dies absolute Pflicht, da hier sensible Daten wie Kontonummern, Kreditkartennummern und Passwörter übertragen werden. Sollten bei einem Onlineshop oder einer Bank Zertifikatwarnungen angezeigt werden, sollte man immer skeptisch reagieren!

Die Zertifizierung sehen wir in der Grafik an Punkt 1. Der Anbieter/Onlineshop/Webseite lässt sich sein Zertifikat also in regelmäßigen Abständen durch eine Zertifizierungsstelle zertifizieren. Diese bestätigt dann hier grob gesagt, dass dieser Server/Webseite auch wirklich Mediamarkt gehört und wir mit Mediamarkt über den Browser, eine verschlüsselte Verbindung aufbauen können.

Schrit 2: Besuch der Webseite

Ich besuche nun also mit dem Browser auf meinem PC eine Webseite (Schritt 2) und der Browser fordert bei der Angabe von https nun das Zertifikat/öffentlicher Schlüssel vom Server an.

Schrit 3: Validierung

Der Browser prüft das Zertifikat/öffentlicher Schlüssel dann bzw. ob es von einer akzeptierten Zertifizierungsstelle validiert wurde(Schritt 3). Das Schloss erscheint bei korrekter Validierung. Ist die Validierung nicht erfolgreich so erscheint eine Warnung.

Schritt 4: Daten verschlüsseln und an den Server(Empfänger) senden

Wenn die Validierung erfolgreich war, dann kann der Browser die Daten, welche wir senden nun mit dem öffentlichen Schlüssel des Servers(grauer Schlüssel in der Grafik) verschlüsseln und dann an den Server senden. Da die Daten verschlüsselt sind, kann sie niemand einfach abfangen, lesen, manipulieren oder löschen. Das ist eben extremst wichtig bei Onlineshops und Bankgeschäften.

Schritt 5: Empfänger(Server) entschlüsselt die Daten

Nur der Server, welcher den privaten Schlüssel(goldener Schlüssel in der Grafik) hat, kann die Daten nun entschlüsseln und den Inhalt verarbeiten.

Was passiert wenn der Browser ein Zertifikat nicht kennt bzw. es nicht durch eine Zertifizierungsstelle zertifiziert wurde? Beispiel selbst erstellte Zertifikate

Warnung bei unbekanntem Zertifikat bei der Foscam FI9900P

Wenn die Validierung des Zertifikats bei https Zugriff fehlschlägt, dann bekommen wir eine Warnung angezeigt. Das gleiche gilt auch bei abgelaufenen Zertifikaten. Mir ist das schon ein paar Mal passiert, allerdings bei Seiten, wo ich aktive keine Daten übermittle. Ignoriert man die Warnung im Browser, so wird die Seite trotzdem angezeigt. Es sollte dann allerdings nichts auf dieser Seite übermittelt werden.

Eigene Zertifikate erstellen?

Es ist möglich selbst Zertifikate zu erstellen, welche dann aber nicht von einer anerkannten Zertifizierungsstelle zertifiziert sind. Das wäre beispielsweise der Fall, wenn wir ein Zertifikat für/im eigenen Netzwerk erstellen und hier müssten wir das Zertifikat dann manuell im Browser hinzufügen. Allerdings muss es in der Überwachungskamera auch die Möglichkeit geben das selbst erstellte Zertifikat hochzuladen(gibt es nicht oft). Da das alles recht kompliziert ist, gibt es diese Funktion sehr selten und wenn dann nur bei Profimodellen. Ich wollte dies aber erwähnt haben.

Wenn wir eine Überwachungskamera über unseren Router mit dem Internet verbunden haben, dann wechselt die IP der Kamera auch noch täglich. Ein eigenes Zertifikat für eine täglich wechselnde IP, welches durch eine Zertifizierungsstelle validiert wird ist, soweit ich weis nicht möglich.  

Info: Bei INSTAR läuft deshalb HTTPS über die integrierte DDNS, über die Server von INSTAR. Der Server hat eine feste IP und aktualisiert die wechselnde IP der Kamera täglich(das ist auch der sind von DDNS). Das bedeutet, dass die Kamera von überall über die sogenannte DDNS erreichbar ist. So muss sich der Nutzer nicht um diese Dinge kümmern, da der INSTAR-Server dies übernimmt. Andere Hersteller haben je nachdem auch ähnliche Funktionen. Das ist die für den nicht IT-Experten die bequemste Lösung. 

Mit der Erstellung und dem Handling eigener Zertifikate sollten sich nur erfahrene Nutzer beschäftigen.

DDNS: Was ist eine dynamische DNS (DDNS) und welche Bedeutung hat sie bei WLAN- und Überwachungskameras

Wovor schützt mich SSL/TLS bzw. die Verschlüsselung als nun?

Verschlüsselung in Kombination mit dem Zertifikat sorgt also dafür, das wir wissen, mit wem wir uns da eigentlich verbinden. Es wäre durchaus möglich, dass uns eine Seite nur vorgaukelt "ich bin die Bank" und dabei nur so aussieht wie die Bank. Wenn wir per https zugreifen würden wir das aber bemerken, denn die falsche Bank hätte nicht das valide Zertifikat unserer Bank. 

Der nächste Vorteil ist, dass unsere Passwörter und sensible Daten verschlüsselt über das Netzwerk übertragen werden. So kann sie niemand lesen, manipulieren oder löschen. Um die Daten mitlesen zu können muss allerdings "die Leitung" angezapft werden. In meinem Heimnetzwerk müsste dazu jemand entweder ins Haus einbrechen, den Route hacken oder die Gegenstelle/Server hacken. Ganz so simpel wie es manchmal salopp gesagt wird, ist es dann doch nicht.

Info: Die meisten Schäden werden dadurch angerichtet, das der Nutzer zu vertrauensvoll ist und z.B. einfach E-Mailanhänge öffnet(Trojaner, der dem Angreifer den Zugriff ermöglicht), Warnungen des Programms ignoriert oder auf Anfrage seine Passwörter per Mail versendet (Stichwort Phishing).

Überwachungskamera ohne externen Zugriff

Wenn wir eine Überwachungskamera nur im internen Netzwerk nutzen und den externen Zugriff im Router blockieren, dann erfolgt der Datenaustausch nur innerhalb unseres Netzwerks. Eine verschlüsselte Verbindung wäre dann nicht mehr so extrem wichtig. Ich habe beispielsweise im Netzwerk schon preiswertere Überwachungskameras eingesetzt, die kein SSL unterstützen. Da der Zugriff aber nur intern und nicht von extern möglich ist, war das zu verkraften.

Wenn es jemandem gelingen sollte sich in unser lokales Netzwerk einzuklinken, dann haben wir ganze andere Probleme!

Wenn jemand sich den Zugriff auf den Videostream der Überwachungskamera meiner Hundehütte erschleichen sollte, weil ich eine 30€ Überwachungskamera ohne SSL nutze, dann kann er damit wenig anfangen. Je nachdem wo ihr Überwachungskameras nutzt und montiert, sollte man also auch den "Worst-Case" bedenken. Dazu hier noch einige wichtige Artikel.

Ihr könnt natürlich generell auch sichere Topmodelle kaufen. Da werden dann aber 200€ aufwärts pro Modell fällig. Wenn ich allerdings jemandem, der seinen Dachboden überwachen möchte, weil er dort Ratten vermutet, direkt ein 200€ Modell empfehle, dann wird der mir sagen, dass ich nicht alle Tassen im Schrank habe. Wie immer kommt es also auch darauf an was/wo und wie wir die Überwachungskamera nutzen(nur lokal oder auch mit externem Zugriff). Überwachen wir 24/7, 365 Tage im Jahr oder nur kurz um zu prüfen ob der Marder das Auto anfrisst? Bin ich Privatperson oder Firma? 

Bei Fragen oder Vorschlägen könnt ihr einfach einen Kommentar unter diesen Artikel schreiben.

Sicherheit

• Sichere Passwörter bei Überwachungskameras
• Überwachungskamera- WLAN-Sicherheit
• Unverschlüsselte Daten werden von einer Überwachungskamera gesendet! Was genau bedeutet das eigentlich?

Detaillierte Quellen

Wer sich für genaue technische Details interessiert kann alles auf Wikipedia nachlesen. Dort wird allerdings alles so beschrieben, das ihr fundierte IT-Kenntnisse benötigt.

• https://de.wikipedia.org/wiki/Digitales_Zertifikat
• https://de.wikipedia.org/wiki/Transport_Layer_Security
• https://de.wikipedia.org/wiki/Public-Key-Zertifikat
• https://en.wikipedia.org/wiki/Root_certificate