J'ai vu trop de projets échouer non pas parce que la caméra est tombée en panne, mais parce que quelqu'un l'a piratée. La sécurité du micrologiciel n'est plus une option. C'est un facteur décisif.
Les audits stricts de cybersécurité des micrologiciels comprennent l'analyse statique du code (SAST), les tests d'intrusion par des tiers, la numérisation des vulnérabilités CVE et les vérifications des identifiants codés en dur. La plupart des caméras PTZ chinoises de gamme moyenne à basse sont expédiées sans ces audits. Seuls quelques fabricants ciblant les marchés des infrastructures critiques effectuent des tests de sécurité complets et vérifiables avant la sortie.
Vulnérabilités des audits de cybersécurité des micrologiciels de caméras PTZ
De nombreux intégrateurs comme David Miller me posent cette question avant de passer une seule commande. Ils ont besoin de preuves, pas de promesses. Dans cet article, je décortique chaque niveau de sécurité du micrologiciel — du changement de mot de passe forcé au correctif CVE — afin que vous sachiez exactement ce qu'il faut exiger de votre fournisseur. Laissez-moi vous guider.
Table des matières
Le micrologiciel force-t-il un changement de mot de passe lors de la première connexion pour éviter les piratages ?
J'ai une fois aidé un client au Texas à se remettre d'une violation. La cause profonde ? L'installateur a laissé le mot de passe par défaut admin:admin sur 47 caméras. Chacune d'entre elles a été compromise en une semaine.
Un micrologiciel de caméra PTZ sécurisé doit forcer les utilisateurs à créer un nouveau mot de passe complexe dès la première connexion. Cette seule étape bloque le vecteur d'attaque le plus courant — les identifiants par défaut et faibles — qui, comme le confirment les rapports du FBI et plusieurs enregistrements CVE, est le principal point d'entrée des piratages de caméras.
changement de mot de passe forcé de caméra PTZ sécurité première connexion
Pourquoi les mots de passe par défaut sont un problème majeur
Les chiffres sont clairs. Le FBI a publié une notification à l'industrie privée (PIN) en 2024, avertissant que le groupe de menaces HiatusRAT scannait Internet à la recherche de caméras avec des mots de passe par défaut connus et des CVE non corrigés comme CVE-2017-79211 et CVE-2021-362602. Il ne s'agit pas d'attaques rares et ciblées. Ce sont des balayages automatisés à grande échelle.
CVE-2025-35452 rend cela encore plus réel. Les caméras PTZOptics utilisant le micrologiciel ValueHD partagé utilisaient le même mot de passe administrateur par défaut sur toutes les unités. Cette seule faille a donné aux attaquants un accès administrateur à distance complet à des dizaines de modèles de plusieurs marques. La cause profonde était simple : aucun changement de mot de passe forcé au premier démarrage.
À quoi ressemble une politique de première connexion appropriée
Je m'assure que notre micrologiciel Loyalty-Secu suit un flux de première connexion strict. Voici ce qui se passe :
| Étape | Action | Objectif |
|---|---|---|
| 1 | Bloquer toutes les fonctionnalités jusqu'à ce que le mot de passe soit modifié | Empêcher toute utilisation avec des identifiants par défaut |
| 2 | Imposer un minimum de 8 caractères avec majuscules, minuscules, chiffres et caractères spéciaux | Arrêter les mots de passe faibles comme 123456 |
| 3 | Rejeter les mots de passe correspondant au numéro de série de l'appareil ou à “admin” | Bloquer les motifs prévisibles |
| 4 | Verrouiller l'adresse IP après 5 tentatives de connexion échouées | Empêcher les attaques par force brute |
Au-delà de la première connexion
Un changement de mot de passe forcé n'est que le premier rempart. Je configure également notre micrologiciel pour prendre en charge des rappels d'expiration de mot de passe périodiques et le contrôle d'accès basé sur les rôles (RBAC). Cela signifie que le compte de l'installateur et le compte de l'administrateur ont des niveaux d'autorisation différents. Si les identifiants d'un technicien sur le terrain fuient, l'attaquant ne pourra toujours pas modifier les paramètres réseau ni mettre à jour le micrologiciel.
Certains clients me demandent si cela ralentit le déploiement. Cela ajoute environ 30 secondes par caméra. C'est 30 secondes contre un coût de récupération de violation potentiel de 50 000 $. Je pense que le calcul est simple.
Puis-je voir un rapport de “ test d'intrusion ” pour l'interface Web de la caméra et le port 4G ?
Je reçois souvent cette question des intégrateurs de projets gouvernementaux. Ils ne veulent pas seulement une fiche technique. Ils veulent un rapport avec un tampon. Et honnêtement, ils devraient.
Un rapport de test d'intrusion doit couvrir l'interface de gestion Web de la caméra (HTTP/HTTPS), les ports de diffusion RTSP/ONVIF, l'interface du modem 4G et tous les points d'API. Il doit être effectué par une société de sécurité indépendante tierce, ciblant le modèle spécifique et la version du micrologiciel achetés.
rapport de test d'intrusion interface Web caméra PTZ port 4G
Ce que couvre un vrai test d'intrusion
J'ai appris que de nombreux acheteurs confondent un scan de vulnérabilité avec un test d'intrusion. Ce n'est pas la même chose. Un scan de vulnérabilité est automatisé. Un test d'intrusion implique un humain qui essaie de s'introduire, en utilisant les mêmes outils et méthodes qu'un véritable attaquant utiliserait.
Pour nos caméras PTZ, j'organise des tests d'intrusion qui couvrent trois domaines :
Audit des ports et services
Le testeur analyse chaque port ouvert sur la caméra. Pour une caméra correctement configurée, seuls les ports 80 (HTTP), 443 (HTTPS) et 554 (RTSP) doivent être ouverts. Si le testeur trouve Telnet sur le port 23 ou SSH sur le port 22 fonctionnant par défaut, c'est un échec immédiat. J'ai vu des caméras concurrentes expédiées avec Telnet grand ouvert. C'est comme laisser votre porte d'entrée déverrouillée et y mettre une pancarte.
Fuzzing de protocole
C'est là que le testeur envoie des paquets de données cassés, surdimensionnés ou malformés aux interfaces ONVIF, RTSP et SDK de la caméra. L'objectif est de faire planter l'appareil ou de le forcer à se comporter de manière inattendue. CVE-2024-8957 en est un parfait exemple. Des attaquants ont exploité un filtrage d'entrée faible dans le ntp_client binaire pour obtenir une exécution de code à distance. Un test de fuzzing approprié aurait détecté cela avant l'expédition du firmware.
Tests de l'interface Web par rapport aux 10 principaux éléments d'OWASP
La page de gestion Web de la caméra est testée pour les 10 principaux éléments d'OWASP3 vulnérabilités. Cela inclut le scripting inter-sites (XSS), l'authentification brisée et les mauvaises configurations de sécurité. J'exige que le test vérifie spécifiquement si l'interface Web transmet les mots de passe en clair. Certaines caméras IP chinoises ont été trouvées envoyant admin:admin12345 en clair via HTTP — visible par quiconque renifle le réseau.
Ce qu'il faut demander à votre fournisseur
Si votre fournisseur ne peut pas fournir de rapport de test d'intrusion, cela vous dit quelque chose d'important. Voici ce que je recommande de demander :
| Document | Ce qu'il prouve | Drapeau rouge en cas d'absence |
|---|---|---|
| Rapport de test d'intrusion par un tiers (pour un modèle et une version de firmware spécifiques) | Vérification indépendante de la sécurité | Le fournisseur ne s'appuie que sur des tests internes |
| Résultats de l'analyse CVE par rapport à la dernière base de données NVD | Aucune vulnérabilité de haute gravité connue | Firmware obsolète avec des CVE non corrigées |
| Détails du certificat de signature du micrologiciel | Les mises à jour ne peuvent pas être falsifiées | L'attaquant peut injecter un micrologiciel malveillant |
Je fournis ces documents à mes clients. Si un fournisseur hésite ou dit “ c'est confidentiel ”, insistez davantage. La sécurité de votre projet en dépend.
Comment le fabricant corrige-t-il les vulnérabilités CVE nouvellement découvertes sur le terrain ?
Je consulte les bases de données CVE chaque semaine. Pas parce que j'aime lire les rapports de vulnérabilité, mais parce qu'une faille non corrigée peut transformer une caméra de $200 en un passif de $200 000 pour mon client.
Les fabricants responsables maintiennent une Équipe de réponse aux incidents de sécurité des produits (PSIRT)4 qui surveille les bases de données CVE mondiales, publie des avis de sécurité et livre des correctifs de micrologiciel OTA signés dans les 90 jours suivant la divulgation d'une vulnérabilité critique. Sans ce processus, les caméras sur le terrain restent exposées en permanence.
Correction de vulnérabilités CVE, mise à jour du micrologiciel OTA, caméra PTZ
Le problème avec le micrologiciel “ Configurer et oublier ”
De nombreuses caméras déployées sur le terrain ne reçoivent jamais une seule mise à jour après leur installation. Le rapport de Bleeping Computer sur les CVE-2024-8956 et CVE-2024-8957 a montré que les caméras PTZ utilisant le SoC Hisilicon Hi3516A V600 avec un micrologiciel VHD antérieur à la version 6.3.40 étaient entièrement exploitables. Les attaquants pouvaient prendre le contrôle de la caméra, pivoter vers le réseau local et même recruter la caméra dans un botnet.
Le problème n'est pas seulement que des vulnérabilités existent. Tout logiciel a des bugs. Le vrai problème est de savoir si le fabricant dispose d'un système pour les corriger rapidement et pousser les mises à jour de manière fiable.
Comment je gère la correction des CVE chez Loyalty-Secu
J'ai construit notre processus de correction autour de quatre principes :
Surveillance et triage
Notre équipe de sécurité interne surveille la National Vulnerability Database (NVD)8, la liste CVE de MITRE et les flux de menaces spécifiques à l'IoT quotidiennement. Lorsqu'un nouveau CVE apparaît qui affecte un composant de notre micrologiciel — y compris les bibliothèques tierces comme OpenSSL ou lighttpd — nous le classons par gravité en utilisant le score CVSS.
Développement et test des correctifs
Pour les vulnérabilités critiques (CVSS ≥ 7.0), j'exige qu'un correctif soit développé et testé dans les 30 jours. Le correctif subit des tests de régression pour s'assurer qu'il ne casse pas les fonctionnalités existantes comme la découverte ONVIF ou le streaming RTSP. J'ai vu des cas où un correctif de sécurité a cassé l'interface web de la caméra. Ce n'est pas acceptable.
Livraison OTA signée
Chaque package de mise à jour du firmware est signé numériquement à l'aide de notre clé privée. Avant que la caméra n'installe une mise à jour, elle vérifie la signature. Si la signature ne correspond pas, la mise à jour est rejetée. Cela empêche les attaquants d'envoyer un fichier de firmware modifié à la caméra. Je prends également en charge la protection du retour arrière : la caméra n'acceptera pas une version de firmware antérieure à celle actuellement installée.
Notification client
J'envoie un e-mail d'avis de sécurité à tous les intégrateurs et distributeurs enregistrés lorsqu'un correctif est publié. L'avis comprend l'identifiant CVE, les modèles affectés, les versions du firmware, le niveau de risque et le lien de téléchargement. La transparence renforce la confiance. Cacher les vulnérabilités la détruit.
La fonctionnalité UPnP est-elle désactivée par défaut pour empêcher les accès non autorisés au réseau ?
J'ai désactivé UPnP sur notre firmware par défaut il y a deux ans. Ce fut l'une des décisions de sécurité les plus faciles que j'aie jamais prises, et j'aimerais que davantage de fabricants fassent de même.
UPnP (Universal Plug and Play) doit être désactivé par défaut sur toutes les caméras PTZ. Lorsqu'il est activé, UPnP ouvre automatiquement des ports sur le routeur réseau à l'insu de l'utilisateur, créant des voies directes pour que les attaquants accèdent à la caméra depuis Internet. Sa désactivation par défaut réduit considérablement la surface d'attaque de la caméra.
UPnP désactivé par défaut sécurité réseau caméra PTZ
Ce que fait réellement UPnP — et pourquoi c'est dangereux
UPnP a été conçu pour faciliter la mise en réseau. Un appareil se connecte au routeur et dit : “ Hé, ouvre le port 8080 pour moi afin que les gens puissent me joindre depuis Internet ”. Le routeur le fait automatiquement. Aucune question posée. Aucune authentification requise.
Pour une enceinte connectée grand public, cela peut être acceptable. Pour une caméra de sécurité protégeant un chantier, une autoroute ou une sous-station électrique, c'est une catastrophe. Voici pourquoi :
Le chemin d'attaque créé par UPnP
Lorsque UPnP ouvre un port, la caméra devient directement joignable depuis Internet. Un attaquant peut alors :
- Scanner le port ouvert à l'aide d'outils tels que Shodan5 ou Censys.
- Identifier le modèle de caméra et la version du firmware à partir des en-têtes HTTP.
- Rechercher les CVE connus pour ce modèle.
- Exploiter la vulnérabilité — ou simplement essayer les mots de passe par défaut.
C'est exactement ainsi que des botnets comme Mirai ont recruté des centaines de milliers de caméras IP. Beaucoup de ces caméras avaient UPnP activé par défaut.
Notre philosophie de configuration par défaut
Je suis une règle simple : chaque port et service qui n'est pas strictement nécessaire doit être fermé ou désactivé par défaut. Voici comment je configure nos caméras PTZ Loyalty-Secu dès leur sortie de la boîte :
| Fonctionnalité / Service | État par défaut | Raison |
|---|---|---|
| UPnP | Désactivé | Empêche la redirection automatique de port sans le consentement de l'utilisateur |
| Telnet | Désactivé | Shell distant non chiffré — risque grave |
| FTP | Désactivé | Transfert de fichiers non chiffré — inutile pour un fonctionnement normal |
| SSH | Désactivé | Peut être activé par l'administrateur si nécessaire, mais désactivé par défaut |
| HTTPS | Activé | Interface de gestion web chiffrée |
| Authentification RTSP | Activé | Empêche l'accès non autorisé au flux vidéo |
| Accès Cloud P2P | Optionnel, désactivé par défaut | Réduit les vecteurs d'attaque basés sur le cloud |
Quand un client a besoin d'un accès à distance
Certains de mes clients ont besoin d'accéder aux caméras à distance. Au lieu d'UPnP, je recommande d'utiliser un tunnel VPN7 ou une connexion P2P sécurisée avec chiffrement de bout en bout. Cela maintient la caméra invisible aux analyses publiques d'Internet. La caméra ne communique qu'avec le serveur VPN ou l'application autorisée, pas avec l'ensemble d'Internet.
Je conseille également aux clients de segmenter leur réseau de caméras de leur réseau professionnel principal en utilisant des VLAN6. Même si une caméra est compromise, l'attaquant ne peut pas atteindre les ordinateurs du bureau, le système de facturation ou la base de données clients. La segmentation du réseau est l'une des mesures de sécurité les moins chères et les plus efficaces que je connaisse.
Pour les caméras PTZ solaires connectées en 4G déployées dans des zones reculées, cela est encore plus important. Ces caméras se trouvent souvent sur des réseaux cellulaires avec des adresses IP publiques. Si UPnP était activé, elles seraient des proies faciles. En désactivant UPnP et en exigeant un accès basé sur VPN, je m'assure que les caméras distantes de mes clients restent invisibles aux acteurs malveillants qui scannent Internet 24h/24 et 7j/7.
Conclusion
La sécurité du firmware n'est pas une fonctionnalité que vous pouvez ignorer. Des changements de mot de passe forcés à la désactivation d'UPnP, chaque couche compte. J'intègre ces protections dans chaque caméra PTZ Loyalty-Secu car la réputation de mes clients — et la sécurité de leurs clients — en dépendent. Demandez des preuves à votre fournisseur, pas des promesses.
1. Vulnérabilité critique de contournement d'authentification dans les caméras Hikvision ; largement exploitée dans la nature. ︎↩︎ 2. Vulnérabilité d'injection de commande affectant les caméras Hikvision ; utilisée dans le recrutement de botnets. ︎↩︎ 3. L'OWASP Top 10 est la liste de référence de l'industrie des risques de sécurité des applications web. ︎↩︎ 4. Un PSIRT est une équipe dédiée qui gère les divulgations de vulnérabilités et coordonne les correctifs. ︎↩︎ 5. Shodan est un moteur de recherche pour les appareils connectés à Internet, souvent utilisé par les attaquants pour trouver des caméras exposées. ︎↩︎ 6. Les VLAN segmentent le trafic réseau, limitant le rayon d'action en cas de compromission d'une caméra. ︎↩︎ 7. Un tunnel VPN chiffre et authentifie l'accès à distance, gardant les caméras hors de portée de l'Internet public. ︎↩︎ 8. Le NVD est le référentiel du gouvernement américain de données de gestion des vulnérabilités basées sur des normes. ︎↩︎