Kimlik Doğrulama Atlama
Saldırganın geçerli kullanıcı adı ve parolaya sahip olmadan kimlik doğrulama kontrolünü devre dışı bırakarak sisteme erişmesi.
Kimlik doğrulama atlama, saldırganın parolayı kırmadan veya tahmin etmeden doğrudan yetkili erişim elde etmesini sağlayan açık sınıfıdır. Kaba kuvvet saldırısından farkı budur: burada parola denenmez, parolayı soran mekanizmanın kendisi devre dışı bırakılır. Bu nedenle güçlü parola politikası tek başına koruma sağlamaz.
IP kameralarda tipik ortaya çıkış biçimleri; özel hazırlanmış bir istekle oturum kontrolünü şaşırtmak, cihazın kendi kendine güvendiği loopback (127.0.0.1) adresi üzerinden istek göndermek veya yalnızca belirli istemci türlerine tanınan ayrıcalıkları taklit etmektir. Dahua cihazlarındaki CVE-2021-33044 ve CVE-2021-33045 açıkları bu iki yöntemin örnekleridir.
Savunma tarafında tek gerçek çözüm yamadır; açık kapatılana kadar cihazı internete kapatmak, yönetim arayüzünü ayrı bir VLAN'a almak ve erişimi VPN arkasına taşımak riski azaltır. Ele geçirilmiş bir cihazda saldırganın kalıcı hesap açmış olabileceği unutulmamalı, yama sonrası kullanıcı listesi ve erişim kayıtları gözden geçirilmelidir.