בעמוד הזה
מה אומרת אזהרת תעודה במצלמות אבטחה?
מצלמת אבטחה או מקליט וידאו מציגים דף כניסה למצלמה בתוך דפדפן. כאשר הגישה נעשית דרך הרשת המקומית ובאמצעות HTTPS, תעודת אבטחה אמורה לקשר בין הכתובת לבין זהות המכשיר. אם הדפדפן לא מצליח לאמת את הקשר הזה, מתקבלת אזהרה. השאלה שצריך ליישב היא לא רק אם החיבור מוצפן, אלא אם אכן הגעתם לציוד הנכון.
לתעודה יש שני תפקידים שקל לערבב ביניהם. ההצפנה מגינה על התעבורה בין הדפדפן למכשיר בזמן שהיא עוברת ברשת. בדיקת הזהות נועדה לוודא שהמכשיר בקצה הוא המכשיר שהכתובת מבטיחה. לכן חיבור יכול להיות מוצפן ועדיין להציג אזהרת זהות.
המנעול של HTTPS מתאר את אופן העברת המידע. הוא אינו מספיק לבדו כדי להוכיח מי נמצא בצד השני.
האם האזהרה מגיעה מהמצלמה או מהמקליט?
האזהרה מגיעה מהשרת שמציג את דף הכניסה. זו יכולה להיות מצלמה עצמאית, וזו יכולה להיות מערכת NVR או DVR שאליה מחוברות כמה מצלמות. חשוב לזהות מי מהם פתח את הדף. תיקון תעודה במקליט לא משנה בהכרח את התעודה של ממשק המצלמה, ולהפך.
גם מיקום המשתמש משנה את רמת הבדיקה הדרושה. בתוך רשת מקומית מוכרת אפשר להשוות את הכתובת להגדרות הנתב ולרשימת המכשירים. בגישה מרחוק הכתובת עוברת לעיתים דרך שם מארח, נתב או שירות תיווך. יש יותר נקודות שבהן כתובת וזהות עלולות לא להתאים, ולכן לא מדלגים על האימות.
זיהוי סוג האזהרה
הניסוח משתנה בין דפדפנים, אבל בדרך כלל אפשר לפתוח את פרטי האזהרה ולראות מה נכשל. אין צורך לנחש. חפשו את הסיבה המפורשת, את השם שעבורו הונפקה התעודה ואת מצב התוקף שלה.
| סוג האזהרה | מה היא בדרך כלל אומרת | מה בודקים קודם |
|---|---|---|
| תעודה בחתימה עצמית | המכשיר הנפיק לעצמו תעודה שהדפדפן אינו מכיר | זהות המכשיר והמקור שממנו התקבלה התעודה |
| תעודה שפג תוקפה | תקופת התוקף המוצהרת הסתיימה | שעון המכשיר ותהליך החידוש |
| אי התאמה בשם או בכתובת IP | הכתובת בדפדפן אינה מופיעה בזהות שבתעודה | שם המארח ודרך הגישה |
| רשות אישורים לא מוכרת | שרשרת האמון אינה מוכרת לדפדפן | מקור התעודה והתקנת האישורים הנדרשים |
| תעודה שטרם נכנסה לתוקף | השעון או תקופת התוקף אינם מתיישבים | תאריך ושעה במצלמה, במקליט ובמחשב |
תעודה בחתימה עצמית אינה בהכרח סימן לציוד זר. בממשקי ניהול מקומיים זו לעיתים ברירת המחדל. הדפדפן פשוט אינו מכיר גורם חיצוני שמאשר את הזהות. עדיין צריך לוודא את המכשיר בדרך אחרת, ולא להתייחס לאזהרה כאל רעש קבוע.
אי התאמה נפוצה נוצרת כאשר התעודה מכילה שם מארח, אך המשתמש נכנס באמצעות כתובת IP. גם אם שתי הכתובות מובילות לאותו מכשיר, מבחינת הדפדפן השמות אינם זהים. אותה בעיה יכולה להופיע בכיוון ההפוך: התעודה הוגדרה לכתובת מסוימת, והכניסה מתבצעת בשם מקומי אחר.
אימות דף הכניסה לפני שממשיכים
לפני שנוגעים בתעודה, מוודאים שהדף שייך למכשיר הצפוי. התחילו מהכתובת שנשמרה בתיעוד ההתקנה או בהגדרות הרשת. אם אין תיעוד, בדקו את רשימת המכשירים בנתב והשוו אותה לפרטי הרשת שמופיעים במצלמה או במקליט.
- ודאו שהכתובת בשורת הדפדפן היא הכתובת שהתכוונתם לפתוח, ללא תוספת או שינוי בלתי צפויים.
- בדקו אם החיבור הוא לרשת המקומית הנכונה ולא לרשת אורחים, נקודת גישה זמנית או חיבור מרוחק.
- שימו לב אם הדפדפן עבר אוטומטית לכתובת אחרת, לשם מארח אחר או לעמוד שאינו ממשק הציוד.
- השוו את כותרת דף הכניסה ואת פרטי המכשיר להגדרות המוכרות, אך אל תסתמכו על העיצוב בלבד.
- אם הנתב הוחלף או אופס, הביאו בחשבון שהמכשיר עשוי לקבל כתובת IP אחרת בלי שהמצלמה עצמה השתנתה.
מה לבדוק באפליקציית מצלמה?
אפליקציית מצלמה עשויה להתחבר בהצלחה גם כאשר הדפדפן מציג אזהרה. האפליקציה יכולה להשתמש בשיטת זיהוי אחרת, בכתובת אחרת או בחיבור מתווך. לכן הצלחה באפליקציה אינה מאשרת אוטומטית שדף הדפדפן בטוח להזנת סיסמה. השוו בין זהות המכשיר, שם המארח ודרך החיבור בכל אחד מהממשקים.
מה משתנה בחיבור מצלמה למחשב?
בחיבור ישיר של מצלמה למחשב, הכתובת הזמנית עשויה להיות שונה מהכתובת שבה משתמשים ברשת הרגילה. התעודה, לעומת זאת, ממשיכה להציג את הזהות שהוגדרה בה. אזהרת התאמה במצב כזה יכולה להיות צפויה, אבל עדיין מאמתים שמדובר בחיבור הישיר שיצרתם ושאין הפניה לכתובת אחרת.
בדיקת הכתובת, השם והשעון
אבחון מסודר מתחיל משלושה פרטים: הכתובת שבה משתמשים, הזהות שכתובה בתעודה והזמן שמוגדר במכשיר. שלושתם צריכים להתיישב. אם אחד מהם השתנה, הדפדפן עשוי להציג אזהרה גם כשהמצלמה ממשיכה להקליט כרגיל.
- רשמו את כתובת ה-HTTPS שמופיעה בשורת הדפדפן, כולל שם המארח או כתובת ה-IP.
- פתחו את פרטי התעודה ובדקו עבור אילו שמות או כתובות היא הונפקה.
- השוו בין הכתובת בדפדפן לבין הזהות שבתעודה. התאמה חלקית או שם דומה אינם מספיקים לבדיקת הדפדפן.
- בדקו את השעון במצלמה או במקליט, ואת מקור סנכרון הזמן שלהם. השוו גם לשעה במחשב שממנו נכנסים.
- הפעילו מחדש את דרך הגישה הרגילה ובדקו אם הכתובת נשארת יציבה ואם אותה תעודה מוצגת שוב.
במערכת מצלמות אבטחה לבית, כתובות יכולות להשתנות בעקבות החלפת נתב, איפוס רשת או מעבר לחיבור קווי אחר. גם DNS מקומי עשוי להפנות שם מוכר לכתובת חדשה. המצלמה לא השתנתה, אבל הנתיב אליה כן. זה בדיוק המצב שבו כדאי לבחור מחדש כתובת קבועה וברורה במקום להמשיך לשמור קיצורי דרך ישנים.
תאריך ושעה במצלמה משפיעים על יותר מחותמת הזמן בהקלטה. הדפדפן משווה את השעה הנוכחית לתקופת התוקף של התעודה. שעון שסטה עלול לגרום לתעודה תקינה להיראות כאילו פג תוקפה או כאילו עדיין אינה תקפה. במקליט שמרכז כמה מצלמות, בדקו גם את שעון המקליט וגם את מקור הסנכרון שלו.
מתי סביר לעקוף את האזהרה?
עקיפה יכולה להיות בחירה סבירה לצורך אבחון קצר, כאשר נמצאים ברשת מקומית מוכרת וכבר אימתו את זהות המכשיר בדרך נפרדת. לדוגמה, אפשר להשוות את כתובת הרשת להגדרת המצלמה עצמה, לבדוק את פרטי המכשיר במקליט ולוודא שההפניה אינה משתנה.
גם בתנאים האלה, העקיפה אינה תיקון. היא אינה מחליפה את התעודה, אינה מסדרת התאמה בין כתובת לשם ואינה מוכיחה לדפדפן שהמכשיר אמין. היא רק אומרת לדפדפן להמשיך למרות הבדיקה שנכשלה.
- סביר לשקול עקיפה זמנית כשהציוד מזוהה, הרשת מוכרת והמטרה היא לפתוח הגדרה הדרושה לאבחון.
- לא ממשיכים כאשר הכתובת אינה מוכרת, פרטי התעודה השתנו ללא הסבר או שהדף מפנה ליעד בלתי צפוי.
- בגישה מרחוק לא מסתמכים על מראה מוכר של דף הכניסה. מאמתים את שם המארח ואת מסלול הגישה.
- לא מזינים שם משתמש וסיסמה לפני שהוחלט באופן ברור מדוע האזהרה מופיעה ולמי שייך הדף.
- במחשב משותף לא שומרים חריגה קבועה או פרטי כניסה רק כדי לקצר את הבדיקה הבאה.
בפריסה של מצלמות לבית, קל להתרגל ללחיצה קבועה על הודעת האזהרה. ההרגל הזה מסתיר שינוי אמיתי אם יופיע בעתיד. עדיף להבין את הסיבה, לתעד אותה, ואז לבחור אם להשאיר חריגה מקומית מנוהלת או לתקן את מערך התעודות.
עוקפים אזהרה רק אחרי שמזהים את המכשיר, לא כדי לגלות בדיעבד לאיזה מכשיר נכנסנו.
בחירת פתרון שמחזיק לאורך זמן
הפתרון הקבוע הוא ליישר בין שלושה דברים: הכתובת שבה המשתמשים נכנסים, הזהות שבתעודה והשעון של המכשיר. הדרך הנקייה ביותר היא לבחור שם מארח עקבי, לדאוג שהוא תמיד מפנה למכשיר הנכון, ולהתקין תעודה שמכירה בשם הזה.
תעודה מהימנה יכולה להגיע ממערך אישורים פנימי שמנוהל ברשת, או ממקור אמון שמתאים לדרך הגישה שנבחרה. הבחירה תלויה בשאלה מי משתמש בממשק, מאילו מחשבים נכנסים והאם הגישה מקומית בלבד או מרחוק. לא מתקינים תעודה רק משום שהיא מסירה את ההודעה; צריך לדעת מי הנפיק אותה ומי אחראי לחדש אותה.
- בחרו שם מארח אחד לדף הניהול והימנעו ממעבר קבוע בין שם, כתובת IP וקיצורי דרך ישנים.
- הגדירו סנכרון זמן יציב למצלמה ולמקליט, ובדקו שהגדרת אזור הזמן מתאימה לשימוש המקומי.
- קבעו מי אחראי לחידוש התעודה ומי מחזיק בגישה הנדרשת לביצוע ההחלפה.
- תעדו את מקור התעודה ואת המחשבים שבהם הותקנה שרשרת האמון, אם נעשה שימוש במערך פנימי.
- לאחר שינוי נתב או DNS, בדקו שהשם הקבוע עדיין מוביל לאותה כתובת ושפרטי התעודה לא השתנו.
בעסק קטן עם כמה עמדות, טיפול ידני בכל דפדפן הופך במהירות לתחזוקה לא ברורה. עדיף שמתקין המערכת או מנהל הרשת יעבירו לבעל העסק שיטת גישה אחת, יחד עם אחריות ברורה על DNS, שעון וחידוש התעודה. בבית, אותו עיקרון עובד בקנה מידה קטן יותר: כתובת אחת מתועדת, בלי אוסף של סימניות ישנות.
אימות אחרון לפני שמירת פרטי הכניסה
לפני שהדפדפן שומר סיסמה או מציע כניסה אוטומטית, בצעו בדיקה אחרונה. זה חשוב במיוחד במחשב משפחתי, בעמדת קבלה או במחשב נייד שמתחבר לרשתות שונות. שמירת סיסמה מחברת בין פרטי הכניסה לבין כתובת מסוימת, ולכן הכתובת צריכה להיות סופית ומאומתת.
- זהות המכשיר תואמת למצלמה או למקליט שאמורים לנהל.
- כתובת ה-HTTPS היא הכתובת המתועדת והצפויה, ללא הפניה לא מוכרת.
- לאחר הפעלה מחדש של המכשיר או הנתב, אותה כתובת ממשיכה לפתוח את אותו דף.
- האזהרה נעלמה, או שהסיבה לה מובנת, מאומתת ומתועדת כחריגה מכוונת.
- שיטת הגישה כוללת שם מארח, מסלול מקומי או מרוחק ואחריות ברורה לתחזוקת התעודה.
אם אחת הבדיקות אינה ברורה, עוצרים לפני הזנת הסיסמה וחוזרים לכתובת, לשם ולשעון. ברוב המקרים, סדר הבדיקה חשוב יותר מהחלפת הגדרות אקראית. קודם מזהים את היעד. אחר כך מבינים מדוע האימות נכשל. רק בסוף משנים תעודה, DNS או הגדרת רשת.
לאחר שהתיקון הושלם, בדקו את הגישה גם אחרי הפעלה מחדש. ודאו שהשם נשאר יציב, שהדפדפן מציג את התעודה הצפויה ושדף הכניסה שייך לאותו מכשיר. לבסוף עדכנו את התיעוד ומחקו סימניות שמובילות לכתובת הישנה. כך האזהרה הבאה, אם תופיע, תהיה מידע שימושי ולא הודעה שכבר התרגלתם להתעלם ממנה.
עיקרי הדברים
- אזהרת תעודה מעידה שהדפדפן אינו יכול לאמת באופן מלא את זהות המצלמה או המקליט.
- חיבור HTTPS יכול להיות מוצפן גם כשהדפדפן מציג אזהרה בנוגע לזהות המכשיר.
- פער בין כתובת הגישה לבין השם שבתעודה, או שעון מכשיר שגוי, עלולים לגרום לאזהרה.
- עקיפת האזהרה מאפשרת גישה זמנית אך אינה מתקנת את התעודה ואינה מאמתת את זהות המכשיר.
- שם מארח יציב, שעון מסונכרן ותעודה מנוהלת יוצרים שיטת גישה נקייה וקלה יותר לתחזוקה.
