מה end to end encryption מגן במערכת מצלמות, ומה נשאר חשוף

מצלמת אבטחה שולחת זרם וידאו אל מקליט וידאו, שנשמר באחסון מקומי ולעיתים גם באחסון בענן. אחר כך ההקלטה מגיעה למכשיר צפייה מרחוק, ואולי גם לקובץ שמועבר לאדם אחר. הכיתוב end to end encryption נשמע כאילו הוא מכסה את כל המסלול. בפועל צריך לברר היכן הווידאו מוצפן, מי מחזיק במפתחות, באיזו נקודה הוא מפוענח ומה קורה אחרי שמייצאים אותו. זו השאלה שהמדריך הזה מסדר.

לאן הווידאו של המצלמה עובר

הווידאו אינו נמצא במקום אחד. גם מערכת קטנה בבית או בעסק כוללת כמה תחנות, וכל תחנה יוצרת שאלה נפרדת של הצפנה והרשאה. חיבור מאובטח בשלב אחד אינו אומר שהשלב הבא מוגן באותה צורה.

• מהמצלמה למקליט: זרם הווידאו עובר ברשת קווית או אלחוטית. לעיתים הוא מוצפן, ולעיתים הרשת עצמה היא שכבת ההפרדה העיקרית.
• בתוך המקליט: NVR או DVR שומר הקלטות בכונן מקומי. הצפנת החיבור למצלמה אינה מעידה דבר על הצפנת הכונן.
• בצפייה מרחוק: הווידאו עשוי לעבור ישירות, דרך שירות מתווך או דרך תשתית ענן. נתיב הצפייה יכול להיות שונה מנתיב ההקלטה.
• באחסון ובעיבוד בענן: עותק נוסף עשוי להישמר או לעבור עיבוד מחוץ לאתר. צריך לבדוק כיצד הוא מוצפן ומתי הוא מפוענח.
• בייצוא ובשיתוף: קליפ שהורד למחשב, לטלפון או לכונן נייד כבר נמצא מחוץ למעטפת המקורית. קישור שיתוף מוסיף גם מערכת הרשאות משלו.

על מה מגנה הצפנת מצלמות?

הצפנת וידאו משנה את המידע כך שמי שקולט אותו או מחזיק בעותק שלו אינו יכול לקרוא אותו בלי מפתח ההצפנה המתאים. בהצפנה בתעבורה, ההגנה חלה בזמן שהזרם עובר ברשת. בהצפנה באחסון, היא חלה על ההקלטה שנמצאת בכונן או בענן.

המילה החשובה כאן היא מפתח. הצפנה באחסון מועילה כל עוד המפתח נשמר בנפרד ומוגן כראוי. אם המערכת משחררת את המפתח אוטומטית לכל משתמש מחובר, רמת ההגנה המעשית תלויה מאוד באבטחת החשבונות. אם המפתח נמצא לצד ההקלטה ונגיש באותה דרך, ההפרדה חלשה יותר.

כל שלב דורש טיפול משלו. אפשר להצפין את החיבור בין המצלמה למקליט ועדיין לשמור הקלטות לא מוצפנות. אפשר להצפין כונן מקומי אך להפיק ממנו קובץ רגיל. אפשר גם להצפין אחסון בענן, בזמן ששירות מורשה עדיין מסוגל לפענח את התוכן לצורך צפייה או עיבוד.

הצפנה אינה תכונה אחת של המערכת. היא שכבת הגנה שצריכה להיבדק מחדש בכל נקודה שבה הווידאו עובר, נשמר או מוצג.

הצפנה בתעבורה והצפנה באחסון

חיבור מוצפן למצלמה מקשה לקרוא תעבורה שנקלטה בדרך, אך אינו קובע כיצד המקליט שומר אותה. גם הצפנת כונן אינה בהכרח מגינה על וידאו שכבר מוצג. בזמן צפייה המערכת חייבת לפענח את התוכן במקום כלשהו, אחרת לא ניתן להציג תמונה.

כאן נוצרים פערים. זרם יכול לעבור מוצפן, להיפתח במקליט, להישמר בצורה אחרת ולהיפתח שוב באפליקציה. מפרט שמציין רק aes encryption אינו מספיק כדי להבין את המסלול. צריך לדעת לאיזה שלב המונח מתייחס, כיצד המפתח נשמר ומה קורה בעת צפייה וייצוא.

מה המשמעות של end to end encryption

בהצפנה מקצה לקצה, התוכן מוצפן בנקודת המקור ורק מכשירי קצה מורשים יכולים לפענח אותו. שרת שמתווך את התעבורה או מאחסן עותק אינו אמור לקבל גישה לתוכן המפוענח. זו הבחנה חשובה: הצפנת החיבור אל שרת אינה בהכרח הצפנה מקצה לקצה, משום שהשרת עשוי לפענח את הווידאו ולהצפין אותו מחדש בדרך למשתמש.

במערכת מצלמות צריך לשאול מהי בדיוק נקודת המקור. זו יכולה להיות המצלמה, המקליט או רכיב אחר שמכין את הווידאו לשירות מרוחק. גם המונח מכשיר קצה דורש הבהרה. האם רק טלפון שאושר מראש יכול לפענח, או שכל דפדפן שמתחבר לחשבון מקבל גישה?

לגישה הזו יש פשרות. אם רק מכשירי הקצה מחזיקים במפתחות, תכונות ענן שדורשות קריאת וידאו עשויות להיות מוגבלות. שחזור אחרי אובדן מכשיר או מפתח עלול להיות מורכב יותר. מנגנון שחזור נוח יכול גם להוסיף גורם נוסף שמסוגל לפתוח את התוכן.

הדרך הנכונה לאמת את ההבטחה היא לעקוב אחר נתיב הנתונים בפועל: היכן נוצרת ההצפנה, מי מחזיק מפתח, האם השירות יכול לפענח, כיצד מצרפים מכשיר חדש ומה קורה לעותקים שמורים. הכותרת לבדה אינה עונה על השאלות האלה.

על מה הצפנה אינה מגינה

הצפנה מטפלת בקריאות של המידע, לא בכל חולשה סביבו. חשבון תקין שקיבל הרשאה יכול לצפות בווידאו מוצפן. מבחינת המערכת אין כאן שבירת הצפנה: היא זיהתה משתמש, העניקה גישה ופענחה את התוכן כמתוכנן.

• פרטי התחברות שנחשפו: מי שנכנס לחשבון מורשה עשוי לקבל את אותן אפשרויות צפייה וייצוא שיש לבעל החשבון.
• הרשאות רחבות מדי: עובד שזקוק לצפייה חיה בלבד אינו חייב לקבל גישה להקלטות, להגדרות ולייצוא.
• מכשיר צפייה שנפגע: תוכנה זדונית, דפדפן לא מוגן או טלפון פתוח יכולים לחשוף וידאו אחרי הפענוח.
• גישה פיזית למקליט פתוח: הצפנת הכונן אינה מסתירה בהכרח הקלטות כאשר המקליט כבר פעיל, מחובר ומציג אותן למשתמש.
• ייצוא וצילומי מסך: קובץ רגיל או צילום מסך אינם יורשים אוטומטית את ההצפנה וההרשאות של המערכת.
• מיקום מצלמה לא מתאים: הצפנה אינה מתקנת זווית חלשה, סנוור משמש ישראלית חזקה, תאורת IR שחוזרת מקיר קרוב או אזור חשוב שנשאר מחוץ לפריים.

גם רשת מוצפנת היטב אינה מחליפה תחזוקה. חשבונות ישנים, הרשאות שלא נבדקו ומכשירי צפייה שאינם מעודכנים נשארים נקודות גישה. בבית משותף חשוב במיוחד להפריד בין גישה של דיירים, ועד הבית ונותן שירות, במקום להשתמש בחשבון משותף אחד.

איך מפתחות וחשבונות עובדים יחד

symmetric encryption vs asymmetric encryption: מה ההבדל?

הצפנה סימטרית משתמשת באותו סוד להצפנה ולפענוח. היא מתאימה לעבודה השוטפת עם נפח גדול של וידאו, ולכן שכבת הנתונים עצמה יכולה להשתמש בה. המונח aes encryption מתאר משפחה נפוצה של הצפנה סימטרית, אבל אזכור השם אינו מספר כיצד נוצר המפתח, היכן הוא נשמר או מי מקבל אותו.

asymmetric encryption משתמשת בזוג מפתחות קשורים. אפשר להשתמש בה כדי לאמת צדדים ולהעביר מפתח סימטרי בצורה מוגנת, במקום להצפין באמצעותה כל רגע של וידאו. במערכת מעשית שתי השיטות יכולות לעבוד יחד ולא להתחרות זו בזו.

private key and public key encryption: מי מחזיק במה?

ב-public-private key encryption, המפתח הציבורי נועד להפצה והמפתח הפרטי נשאר מוגן אצל בעליו. מה שניתן לפתוח או לאמת תלוי באופן שבו המנגנון מיושם. מבחינת בעל מערכת מצלמות, השאלה המעשית היא מי מחזיק במפתח הפרטי, האם הוא נמצא במכשיר הקצה, והאם קיימת דרך אחרת לשחזר או להחליף אותו.

encryption vs hashing: למה אלה לא אותו דבר?

הצפנה היא הפיכה למי שמחזיק במפתח, משום שהווידאו חייב לחזור לצורה ניתנת לצפייה. hashing מפיק ערך שאינו מיועד לשחזור המקור. הוא יכול לסייע באימות סיסמאות או בבדיקת שלמות של מידע, אך אינו תחליף להצפנת וידאו הפיכה.

חשבונות קובעים מי רשאי לבקש את הפענוח. לכן רצוי ליצור חשבון נפרד לכל אדם, לתת רק את ההרשאות הדרושות, להפעיל אימות דו-שלבי כאשר הוא זמין ולבדוק מדי פעם מי עדיין זקוק לגישה. החלפת מפתח הצפנה אינה מתקנת הרשאה מיותרת, וסיסמה חזקה אינה מצפינה כונן. אלה שכבות שונות.

איך כדאי להעריך מערכת מצלמות?

התחילו במסלול הווידאו, לא ברשימת המונחים על האריזה. בבית פרטי המסלול עשוי לעבור מהשער למקליט, לענן ולטלפונים של בני הבית. בחנות עם חזית רחוב ייתכן שיש גם עמדת צפייה, מחשב מנהל וקבצים שנשלחים לפי צורך. בדירה בבניין משותף יש להבחין בין המערכת הפרטית לבין מצלמות בשטח המשותף.

איזה type of encryption צריך לבדוק?

אין תשובה אחת שמתאימה לכל שלב. חשוב יותר לברר מה מוגן מאשר להסתפק בשם האלגוריתם. בקשו תיאור ברור של ההצפנה בין המצלמה למקליט, בכונן המקומי, בדרך לענן, בתוך הענן ובצפייה מרחוק. אם שלב מסוים אינו מוצפן, צריך להבין איזו הפרדה או בקרת גישה מגינה עליו.

• האם כל נתיבי הווידאו משתמשים בחיבור מאובטח, כולל צפייה מרחוק ולא רק ההקלטה המקומית?
• האם הכונן המקומי ואחסון הענן מוצפנים בנפרד, ומה קורה כאשר המערכת פעילה ומחוברת?
• מי יוצר ומחזיק את המפתחות, וכיצד מצרפים מכשיר חדש או משחזרים גישה?
• האם לכל משתמש יש חשבון משלו, הרשאה מצומצמת ואפשרות לאימות דו-שלבי?
• האם קובץ מיוצא נשאר מוצפן, והאם קישור שיתוף מוגבל למשתמשים מורשים או ניתן להעברה?
• האם מצלמות, מקליט ומכשירי צפייה מקבלים תחזוקת תוכנה, והאם חשבונות שאינם נחוצים מוסרים?
• האם ניתן להפריד את ציוד המצלמות ברשת ייעודית או VLAN בלי לפגוע בגישה הנדרשת?

מערכת טובה אינה חייבת להשתמש באותה שיטת הגנה בכל מקום. היא כן צריכה לתת תשובות עקביות. מי יכול לקרוא את הווידאו, באיזה מצב, באמצעות איזה חשבון או מפתח, ומה משתנה כשהקלטה עוזבת את המערכת. כאשר התשובות ברורות, אפשר להתאים את רמת ההגנה לאופן שבו הבית או העסק באמת עובדים.