Wi-Fi-камеры в гостевой сети: разделение доступа к видео между авторизованными пользователями
Полное руководство по шпионским камерам · Просмотреть шпионские камеры
В коворкинге установлены две авторизованные камеры видеонаблюдения: одна охватывает вход в приемную, а другая — дверь для приема товаров. Владелец коворкинга должен иметь административный контроль над обеими камерами. Администратор приемной должен видеть только изображение с камеры, установленной в приемной. Координатор приема товаров должен видеть только изображение с камеры, установленной в двери для приема товаров. Внешний ИТ-подрядчик обслуживает маршрутизатор, но не должен регулярно просматривать видеопоток ни с одной из камер.
Есть одно техническое ограничение: камеры должны использовать гостевую сеть Wi-Fi маршрутизатора, поскольку они должны оставаться изолированными от рабочих компьютеров и общих файлов. Это звучит просто, пока изоляция гостевой сети не помешает настройке, какое-либо приложение не потребует локального обнаружения или пока всем не будет предоставлена одна и та же учетная запись камеры для корректного просмотра.
Гостевая сеть может разделять сетевой трафик, но сама по себе она не разделяет права доступа к видео между пользователями. Это разные механизмы управления. Надежная система должна сохранять границы сети, предоставляя каждому авторизованному пользователю индивидуальный, соответствующим образом ограниченный способ просмотра видеоматериалов.
В этой статье рассматривается конкретная проблема, связанная с общим рабочим пространством. В ней не предполагается, что каждое приложение для камер поддерживает несколько ролей, что каждая гостевая сеть ведет себя одинаково или что метка Wi-Fi доказывает совместимость с предлагаемой схемой доступа.
Определите схему доступа до изменения сети
Начните с пользователей и камер, а не с настроек роутера. Запишите, кому нужно видео в реальном времени, кому нужна запись, кто может экспортировать отснятый материал и кто может изменять настройки устройства. В потребительских приложениях эти разрешения часто объединены, поэтому их проверка крайне важна.
В нашем рабочем пространстве предусмотрена намеренно ограниченная компоновка:
| Человек или группа | Камера приема | Камера доставки | Административный орган |
|---|---|---|---|
| Владелец рабочего пространства | Просмотр в режиме реального времени и авторизованная проверка записи | Просмотр в режиме реального времени и авторизованная проверка записи | Владение устройством и администрирование пользователей |
| Администратор на ресепшене | Только просмотр в реальном времени, если поддерживается | Доступ запрещен | Отсутствуют права на совместное использование или настройку |
| Координатор доставки | Доступ запрещен | Только просмотр в реальном времени, если поддерживается | Отсутствуют права на совместное использование или настройку |
| ИТ-подрядчик | Нет обычного доступа к приложениям | Нет обычного доступа к приложениям | Только техническое обслуживание сети |
| Посетители и другие арендаторы | Доступ запрещен | Доступ запрещен | Никто |
Это целевая политика, а не утверждение о конкретном продукте. Если приложение не может её обеспечить, предоставление пароля владельца не является приемлемой заменой. Правильным решением будет изменить порядок доступа, использовать проверенную совместимую платформу или ограничить доступ, который невозможно безопасно ограничить.
Цель мониторинга должна быть узконаправленной и прозрачной
В приведенном примере предполагается законное, открытое наблюдение за входами, имеющее соответствующее правовое основание и согласие там, где это необходимо. Это не оправдывает запись разговоров за пультом, частных бесед, в соседних помещениях или в местах, где люди обоснованно ожидают уединения. Аудио должно быть отключено, если это не является отдельно необходимым и законным.
Разделение сети не снимает обязательств по соблюдению законодательства о видеонаблюдении. Перед развертыванием проверьте применимые требования к уведомлениям, консультациям с сотрудниками, хранению данных и запросам на доступ. Обзор законодательства о видеонаблюдении в Великобритании, Европе и других юрисдикциях, подготовленный , дает представление о контексте, но оценка конкретного объекта по-прежнему необходима.
Три отдельных элемента управления, которые легко перепутать
Членство в сети определяет, где устройство может обмениваться данными
Пароль гостевой сети Wi-Fi позволяет камере или телефону подключиться к сети. Затем правила брандмауэра и настройки изоляции определяют, к каким адресатам может получить доступ это устройство. Гостевая сеть может блокировать доступ к корпоративным компьютерам, но при этом разрешать подключение к интернету.
Следует понимать, что пароль от Wi-Fi не должен предоставлять разрешение на просмотр видеозаписей. И наоборот, авторизованному удаленному пользователю может вообще не понадобиться знать пароль от сети камер. Членство в сети и права на просмотр видео должны оставаться раздельными, если система поддерживает такую схему.
Управление правами собственности на устройство, настройка и совместное использование устройств
Владелец или администратор камеры может изменять настройки, приглашать зрителей, удалять пользователей, удалять записи или передавать права собственности. Точные полномочия зависят от платформы. Рассматривайте владение камерой как привилегированную роль, а не как учетную запись по умолчанию для всех, кому время от времени нужен просмотр видео.
Администратор маршрутизатора — это еще одна привилегированная роль, но иная. Поддержание работы Wi-Fi не должно требовать постоянного владения камерой. Это различие снижает вероятность случайных инцидентов, хотя лицо, контролирующее сетевую инфраструктуру, по-прежнему занимает ответственную должность и должно регулироваться соответствующим образом.
Права доступа приложения определяют, кто может просматривать те или иные видео
Приложение для камеры или платформа для записи должны обеспечивать предусмотренное разделение между приемом и передачей данных. Необходимо наличие документированных настроек совместного доступа для каждого устройства и отдельных идентификаторов пользователей. Затем следует проверить, различаются ли разрешения также при просмотре в реальном времени, воспроизведении, загрузке, уведомлениях и административных изменениях.
В описании беспроводных Wi-Fi камер Europe-Connection указана соответствующая категория подключения. Однако наличие только Wi-Fi-соединения не гарантирует поддержку индивидуальных учетных записей пользователей, подключения к гостевой сети или детального управления правами доступа. Для этих возможностей требуется отдельное подтверждение для конкретного устройства и приложения.
Разберитесь, что подразумевается под изоляцией гостевой системы в этом маршрутизаторе
Гостевой Wi-Fi — это не стандартизированное обещание какой-либо конкретной политики безопасности. Производители маршрутизаторов используют схожие обозначения для различных функций. Перед подключением камер изучите документацию и доступные настройки.
Гостевая сеть Wi-Fi может помочь отделить камеры от корпоративных систем, но она не может определять, кто может просматривать каждый видеопоток. Сначала определите индивидуальные роли, а затем убедитесь, что выбранная платформа для камер может обеспечить доступ к каждой камере без использования общих учетных данных.
- Изоляция гостевых устройств от корпоративных: предотвращает инициирование гостевыми устройствами соединений с защищенными внутренними сетями.
- Изоляция клиентов: предотвращает прямую связь между устройствами в одной беспроводной сети.
- Доступ только через Интернет: может разрешать исходящий интернет-трафик, запрещая при этом доступ к локальным адресатам, за исключением случаев использования необходимых сетевых сервисов.
- Доступ через портал авторизации: требует взаимодействия с браузером, принятия условий или периодической аутентификации.
Эти параметры управления не взаимозаменяемы. Блокировка доступа к корпоративной локальной сети не обязательно блокирует обмен данными между двумя гостевыми устройствами. Аналогично, изоляция клиентов может помешать телефону обнаружить камеру, даже если оба устройства имеют доступ к интернету.
Не подключайте камеры к общей сети Wi-Fi для посетителей по умолчанию
В идеале маршрутизатор должен предоставлять отдельную гостевую сеть или сеть IoT для камер, с учетными данными, которые не передаются посетителям. Общедоступный гостевой Wi-Fi и подключение камер служат разным целям. Их совместное использование создает ненужную уязвимость и превращает смену паролей посетителями в необходимость технического обслуживания камер.
Если маршрутизатор предлагает только одну гостевую сеть, задокументируйте это ограничение. Наличие отдельного SSID не является доказательством разделения, если он не соответствует соответствующей изолированной сети. В случаях, когда маршрутизатор не может обеспечить необходимые границы, может потребоваться управляемое сетевое оборудование; переименование существующей сети Wi-Fi не решает проблему.
Перед тем как разрешить исключения, определите путь подключения видеоустройства
Следующий вопрос более точный: как авторизованный пользователь получает доступ к этой камере? Не стоит отвечать просто «через приложение». Приложение может использовать локальное соединение, интернет-сервисы или их комбинацию.
Просмотр через облачные сервисы
В облачной среде камера устанавливает исходящие соединения со своим сервисом, а зрители проходят аутентификацию через соответствующую платформу. В зависимости от реализации, видео может использовать ретранслятор или пытаться установить прямое соединение после согласования с помощью сервиса.
Это позволяет администратору на ресепшене просматривать авторизованный видеопоток из корпоративной сети без прямого доступа к подсети камер. Однако это делает контроль учетных записей, доступность услуг и безопасность важными составляющими модели доступа. Не следует предполагать, что весь трафик передается или что каждая платформа предлагает одинаковую защиту.
Местный просмотр
Для локального просмотра требуется разрешенный маршрут между устройством просмотра и камерой или сервером записи. Если оба устройства являются изолированными гостевыми клиентами, этот маршрут может быть намеренно закрыт. Если устройство просмотра находится в локальной сети компании, изоляция гостевых пользователей может блокировать его и в обратном направлении.
В случаях, когда требуется локальный доступ, управляемая сеть может разрешать узконаправленные подключения от утвержденного устройства просмотра или сервера записи к определенным службам камер. Базовая гостевая сеть для потребителей может не поддерживать такие исключения. Не следует отключать изоляцию глобально только для того, чтобы обеспечить успешное обнаружение.
Гибридное поведение
Некоторые приложения обнаруживают устройства локально во время настройки, используют другой путь для удаленного просмотра и отдают предпочтение локальному пути, когда телефон возвращается в помещение. Это может привести к путанице: поток данных работает через мобильный интернет, но не работает через офисный Wi-Fi, или наоборот.
Для получения более подробной информации об этих различиях см. объяснение методов подключения камер по Wi-Fi, IP и P2P. В данной рабочей области практическая задача состоит в том, чтобы определить и проверить фактический путь, а не выводить его из маркетинговой терминологии.
Проверьте, может ли приложение принудительно применять предложенные роли
Перед подключением любой из камер ознакомьтесь с описанными в приложении элементами управления доступом. По возможности, подтвердите их с помощью тестового устройства и отдельных учетных записей. Такие обозначения интерфейса, как «семья», «участник» и «гость», не всегда точно описывают реальные возможности пользователя.
Задайте следующие конкретные вопросы:
- Может ли владелец пригласить учетную запись с определенным именем, не раскрывая свой пароль?
- Можно ли предоставить доступ к одной камере, не открывая доступ ко всем камерам на объекте?
- Можно ли отделить просмотр видео в прямом эфире от воспроизведения сохраненного видеофайла?
- Может ли зритель изменять настройки, удалять видеоролики, экспортировать файлы или приглашать другого человека?
- Могут ли приглашения истечь, и можно ли завершить активные сессии?
- Распространяется ли удаление доступа на сеансы браузера, мобильные приложения, другие поддерживаемые клиенты?
- Регистрируются ли история входов в систему, изменения в предоставлении доступа или события просмотра, и с какой степенью детализации?
Доступность может варьироваться. Одна система может поддерживать совместное использование каждой камеры, но не предоставлять права доступа только к прямой трансляции. Другая может ограничивать загрузку, не препятствуя записи экрана на устройстве пользователя. Честно описывайте эти ограничения.
Не имитируйте индивидуальный доступ с помощью общего логина
Предоставление одной учетной записи для приема и доставки нарушает задуманное разделение. Это также затрудняет увольнение: смена пароля может прервать работу всех сотрудников, а некоторые существующие сессии могут сохраняться до тех пор, пока их не отменят отдельно.
Создание отдельных учетных записей для владельцев камер также не является автоматически полным решением проблемы. Проверьте процедуры передачи прав собственности, порядок восстановления данных и возможность безопасного назначения одного устройства в соответствии с назначением. Избегайте несистематизированных структур учетных записей, которые делают организацию зависимой от личного адреса электронной почты увольняющегося сотрудника.
Внедрить камеры, не оставляя постоянного сетевого исключения
На этапе настройки разумный дизайн часто превращается в набор временных обходных решений. Рассматривайте процесс внедрения как контролируемую задачу технического обслуживания с определенным конечным результатом.
- Подготовьте учетные записи, принадлежащие организации. Используйте учетную запись и метод восстановления, контролируемые организацией. Включите многофакторную аутентификацию там, где это поддерживается.
- Убедитесь в совместимости беспроводной сети. Проверьте поддерживаемые частотные диапазоны, режимы аутентификации и требования к настройке в документации к устройству. Не следует предполагать поддержку всех вариантов маршрутизаторов.
- Создайте необходимую изолированную сеть. Убедитесь, что она блокирует доступ к корпоративным ресурсам и не требует неподдерживаемого взаимодействия через портал авторизации.
- Следуйте описанному в документации методу подключения. Для некоторых камер требуется находящийся рядом телефон, временная точка доступа к устройству или локальное обнаружение. Используйте только тот метод, который указан для данного устройства.
- Удалите временный доступ. Восстановите все намеренно ослабленные ограничения на настройку и отключите служебный телефон от сети камер.
- Повторно проверьте нормальную работу. Убедитесь, что камера подключается, авторизованные ресурсы просмотра и защищенные ресурсы остаются недоступными.
Перед внесением исключений необходимо одновременно проверить настройки гостевой сети и способы подключения камеры. Работоспособная схема предполагает использование минимального объема доступа, необходимого для регистрации и просмотра, и опирается на проверенные индивидуальные разрешения приложений, а не на общий вход в систему.
Если для ввода в эксплуатацию действительно необходима локальная связь, используйте контролируемое окно технического обслуживания или выделенную среду для ввода в эксплуатацию. Временные изменения не должны незаметно стать постоянной архитектурой. Зафиксируйте, что было изменено, кем и как была проверена возможность восстановления.
Избегайте небезопасных способов сокращения времени подключения
Не следует размещать камеру в конфигурации маршрутизатора с открытым доступом к сети или в DMZ только для восстановления видео. Не следует включать широкую переадресацию входящих запросов или автоматическое сопоставление портов в качестве универсального решения. Многим системам, работающим через посредников, не требуется незапрошенный входящий доступ в Интернет, хотя точные требования необходимо проверить.
Если исходящее ограничение блокирует доступ к задокументированной службе, необходимо изучить конкретное требование. Маршрутизатор для потребителей может не поддерживать точность, необходимую для ограничительной политики. Это ограничение инфраструктуры, а не причина открывать все без оценки.
Разделяйте администрирование сети и обычный просмотр информации
В сценарии работы в офисе ИТ-специалист может настроить гостевую сеть, устранить неполадки беспроводного соединения и просмотреть записи о подключениях на стороне маршрутизатора. Ни одна из этих задач по своей сути не требует постоянного доступа к видеозаписям с ресепшена.
Используйте контролируемый процесс технического обслуживания, когда доступ к приложению действительно необходим. Если платформа поддерживает временные приглашения, предоставляйте доступ к камере только при необходимости и удаляйте его после выполнения задачи. В противном случае владелец может проводить проверки на стороне приложения, пока подрядчик работает над обеспечением подключения.
Не включайте пароли от камер, коды восстановления или скриншоты видео в реальном времени в обычные заявки в службу поддержки. Если необходимо диагностическое изображение, сведите к минимуму видимую личную информацию и используйте утвержденный организацией порядок обработки данных.
Осознайте ограничения разделения технических ролей
Пользователь, имеющий доступ к маршрутизатору, может нарушить подключение камеры или ослабить сетевые правила. Пользователь с физическим доступом может перезагрузить камеру в зависимости от её конструкции. Разделение учётных записей ограничивает обычный доступ, но не делает администраторов инфраструктуры или персонал на месте бессильными.
Наряду с техническими средствами контроля необходимо использовать процедуру утверждения изменений, защищенный доступ к оборудованию и надлежащую документацию по техническому обслуживанию. Цель состоит в подотчетном управлении, а не в нереалистичном утверждении о том, что сетевой оператор не имеет влияния на систему.
Проверка прав доступа с учетом реального местоположения каждого пользователя
Успешный вход в систему владельца мало что говорит о разделении ролей. Протестируйте с реальными учетными записями ролей или с контролируемыми тестовыми учетными записями, имеющими именно те разрешения, которые необходимы. Включите как разрешенные, так и запрещенные действия.
| Тест | Ожидаемый результат |
|---|---|
| Администратор на ресепшене включает камеру ресепшена | Прямая трансляция видео осуществляется через утвержденный канал связи |
| Администратор на ресепшене ищет камеру для приема доставок | Лента доставки, миниатюры и записи недоступны |
| Координатор доставки открывает камеру доставки | Доступен только авторизованный режим просмотра доставки |
| В режиме просмотра с ограниченным доступом открываются параметры общего доступа и настройки | Административные действия недоступны или отклонены |
| Пользователь с ограниченными правами открывает воспроизведение или экспорт | Доступ соответствует задокументированной политике и проверенным ограничениям платформы |
| Посетитель подключается к общедоступной гостевой сети Wi-Fi | Обнаружение камер и несанкционированный доступ к видеоматериалам недоступны |
| Устройство для тестирования гостевой сети подключается к защищенному корпоративному ресурсу | Соединение заблокировано в соответствии с установленной политикой |
| Владелец удаляет тестовый просмотрщик | Новые попытки просмотра завершаются неудачей, и поведение сессии документируется |
Проверку подключения следует проводить только на устройствах и ресурсах, принадлежащих вам или на тестирование которых у вас есть разрешение. Нет необходимости проверять оборудование других арендаторов для подтверждения правил вашей сети.
Тестирование проводилось на офисном Wi-Fi и мобильном интернете
Повторите соответствующие проверки просмотра на телефоне сначала через обычное офисное соединение, а затем через мобильную передачу данных. Это покажет, маскирует ли работающее локальное соединение неработающий удаленный канал, или же изоляция гостевой сети влияет только на локальную работу.
Запишите версию приложения, роль учетной записи, тип телефонного соединения и результат. Повторите проверки после восстановления нормальных настроек изоляции. Результат, полученный во время действия ошибки настройки, не является подтверждением работоспособности конечной сети.
Диагностика неисправностей без ослабления границы доступа
Камера подключена к сети, но телефон для настройки не может её обнаружить
Часто это указывает на проблему с обнаружением, а не с подключением к интернету. Изоляция клиентов, отдельные подсети или блокировка трафика обнаружения могут объяснить разницу. Вместо того чтобы предполагать, что камере необходим неограниченный доступ к локальной сети, следует обратиться к описанному процессу подключения.
Владелец может наблюдать, но приглашенный зритель — нет
Сначала проверьте состояние приглашения, идентификатор учетной записи, назначенное устройство и предоставленные разрешения. Убедитесь, что приглашение было принято с использованием нужной учетной записи. Также проверьте указанные ограничения на количество одновременных просмотров. Работающая лента владельца снижает вероятность сбоя сети, хотя и не исключает возможности использования разных путей подключения клиентов.
Просмотр возможен через мобильный интернет, но не через офисный Wi-Fi
Проверьте фильтрацию, разрешение имен и выбор пути к приложениям в офисной сети. Некоторые системы ведут себя по-разному, когда считают камеру локальной. Не следует сразу добавлять переадресацию входящих портов: сбой в офисной сети не означает, что необходим нежелательный входящий доступ.
Просмотр работает локально, но не работает вне рабочего пространства
Возможно, в данный момент приложение использует только локальный путь, или его удаленная служба недоступна или неправильно настроена. Проверьте поддерживаемый метод удаленного доступа. Если в проекте намеренно используется только локальный просмотр, для удаленного доступа требуется отдельно авторизованная архитектура, а не импровизированное публичное размещение камеры.
Камера отключается по истечении срока доступа посетителя
Проверьте сеансы авторизации, расписание гостевых пользователей и политику истечения срока действия соединения. Как правило, нельзя предполагать, что камеры будут выполнять повторяющиеся действия в браузере. Гостевая сеть, предназначенная для коротких сеансов посетителей, может быть непригодна для постоянно используемых устройств, если маршрутизатор не предлагает соответствующую документированную альтернативу.
Проверка прав доступа должна отражать реальную учетную запись каждого пользователя, устройство и путь подключения, а не только успешный вход владельца. При возникновении неисправностей необходимо диагностировать приглашения, обнаружение и поведение сети, прежде чем ослаблять изоляцию или без необходимости открывать доступ к камерам.
Рассматривайте записи как отдельную поверхность доступа
Ограничение доступа к видео в режиме реального времени не приводит к автоматическому ограничению доступа к сохраненным видеоматериалам. Приложение может предлагать отдельные облачные клипы, общий аккаунт для записи, воспроизведение из памяти устройства или отправку изображений с событий по электронной почте. Для каждого варианта требуется отдельная проверка разрешений.
В нашем примере администратор на ресепшене не должен получать доступ к видеозаписям доставки через общий архив только потому, что экран просмотра в реальном времени корректно ограничен. Проверьте также предварительный просмотр уведомлений: список рассылки по электронной почте или изображение на экране блокировки могут показать сцену тому, кто не может открыть видеопоток.
Сравнение камер на картах microSD и облачного хранилища объясняет более широкое различие в способах хранения данных. Здесь решающим вопросом является то, кто может получить доступ к каждой записи и соответствует ли это разрешение назначению камеры.
Ограничьте экспорт и признайте то, что нельзя отменить
Там, где это поддерживается, зарезервируйте экспорт для назначенных обработчиков инцидентов. Храните копии инцидентов в утвержденном месте с определенным сроком хранения. Удаление учетной записи зрителя не позволит восстановить видео, которое он уже скачал или записал с экрана.
Для видеозаписей, сохранившихся после инцидента, необходимо сохранить исходный файл и соответствующий временной контекст. Руководство по сохранению видеозаписей, пригодных для анализа инцидента, описывает эту отдельную задачу обработки доказательств. Это не должно стать основанием для предоставления каждому зрителю постоянного доступа к архиву.
Сделайте процедуру отзыва проверенной, а не просто кнопкой, которой вы доверяете
Когда координатор доставки меняет должность, удаление приглашения к использованию камеры — это только начало полной проверки при увольнении. Проверьте все дополнительные учетные записи, общие почтовые ящики, сеансы браузера и места назначения уведомлений, связанные с его доступом.
- Удалите разрешения для устройства или сайта пользователя через поддерживаемый административный интерфейс.
- Используйте средства управления завершением сеансов, если они доступны, и проверьте связанные клиентские приложения.
- Отключите подписки на уведомления и общие места сохранения записей.
- Проверьте наличие ожидающих приглашений, которые могут восстановить доступ.
- Подтвердите отказ с помощью контролируемого тестового аккаунта, используя ту же процедуру.
- Зафиксируйте изменения и утилизируйте все копии видеоматериалов в соответствии с политикой хранения данных организации.
В ходе приемочного тестирования понаблюдайте за тем, что происходит с уже открытым потоком после прекращения доступа. Некоторые платформы могут не прерывать его немедленно. Задокументируйте фактическое поведение и любые ограничения, установленные провайдером, вместо того, чтобы обещать мгновенный аннулирование доступа.
Если были раскрыты учетные данные общего администратора, используйте поддерживаемые платформой процедуры сброса пароля и отзыва сессии. Изменение только пароля Wi-Fi камеры не заменяет отзыв учетной записи приложения, которая все еще может проходить аутентификацию через службу.
После внесения изменений повторно проверьте разделение
Границы прав доступа могут изменяться, когда кто-то добавляет камеру, переустанавливает приложение, заменяет маршрутизатор или принимает новое приглашение к совместному использованию. Обновления прошивки и приложений также могут изменять доступные настройки или поведение подключения.
Ведите краткий журнал доступа, содержащий название камеры, авторизованных пользователей, учетную запись владельца, разрешенные функции и дату последнего контроля. Не храните пароли в этом журнале. Повторно проводите соответствующие приемочные испытания после внесения существенных изменений и изменения обязанностей персонала.
Для регулярных проверок работоспособности руководство по техническому обслуживанию и аудиту надежности камер предоставляет более широкую структуру. В этом случае повторяющийся вопрос особенно конкретен: может ли приемная по-прежнему видеть только приемную, могут ли доставщики по-прежнему видеть только доставщиков, и действительно ли бывшие зрители исключены из системы?
Правила приема для этого общего рабочего пространства
Система готова к работе только тогда, когда обе части проекта работают согласованно: сеть камер остается отделенной от защищенных корпоративных ресурсов, а каждый именованный пользователь получает только тот доступ к видео, который требуется для его роли. Одной лишь успешной потоковой передачи недостаточно.
Если маршрутизатор не может поддерживать необходимые границы сети, устраните сетевое ограничение. Если приложение не может разделить два канала просмотра, устраните ограничение прав доступа. Не следует компенсировать ни один из этих недостатков использованием общих учетных данных владельца, неограниченным доступом к сети или обещаниями, что пользователи будут избегать просмотра другого канала.
Гостевая сеть защищает границы сети; платформа камер должна защищать границы поля зрения. Подтвердите работоспособность обеих систем независимо друг от друга, протестируйте их совместно в нормальных условиях эксплуатации и относитесь к снятию доступа так же тщательно, как и к его предоставлению.
Прямые трансляции, записи, экспорт и уведомления — это отдельные интерфейсы доступа, требующие отдельных проверок. Необходимо регулярно тестировать механизмы отзыва и периодической проверки, чтобы изменения ролей не приводили к несанкционированному доступу к старым сессиям, архивам или оповещениям.
Часто задаваемые вопросы
Разделяет ли подключение Wi-Fi-камер к гостевой сети доступ к видео для разных пользователей?
Нет. Гостевая сеть контролирует, где подключенные устройства могут обмениваться данными, а приложение камеры контролирует, кто может просматривать каждый видеопоток. Разделение доступа к приемной и доставочной камерам требует наличия разрешений приложения, поддерживающих как отдельных пользователей, так и совместное использование камер. Одна лишь изоляция сети не может помешать пользователям с общей учетной записью камеры получать доступ ко всему, что разрешено этой учетной записью.
Как так получается, что сотрудники приемной и службы доставки имеют доступ только к своей собственной камере?
Платформа для работы с камерами должна поддерживать предоставление доступа к конкретным камерам отдельным учетным записям с определенными именами. Администратор на ресепшене должен иметь доступ только к камере ресепшена, а координатор доставки — только к камере доставки. Если требуется доступ только к просмотру в реальном времени, убедитесь, что воспроизведение, экспорт, обмен и настройка также могут быть ограничены. Не каждое приложение поддерживает такую схему.
Нужен ли авторизованным пользователям, просматривающим изображения с камер, пароль от гостевой сети Wi-Fi?
Не обязательно. При наличии подходящей облачной системы авторизованный пользователь может получить доступ к камере через платформу, не подключаясь к сети камер. Пароль гостевой сети Wi-Fi предоставляет доступ к сети, а не разрешение на просмотр видео. Для локального просмотра действуют другие требования, поскольку устройству просмотра необходимо разрешенное подключение к камере или серверу записи.
Должен ли IT-подрядчик, обслуживающий маршрутизатор, иметь доступ к видеозаписям с камер?
Для обслуживания маршрутизатора не должно требоваться постоянное владение камерами или регулярный доступ к видеозаписям. Администрирование сети должно быть отделено от разрешений для приложений, использующих камеры, при этом право собственности на камеры должно оставаться за владельцем рабочего пространства. Лицо, контролирующее сетевую инфраструктуру, по-прежнему занимает ответственную должность, поэтому ограничение доступа к приложениям не снимает необходимости контролировать эту ответственность.
В чём разница между изоляцией гостевой сети и изоляцией клиентской сети?
Изоляция гостевых устройств от корпоративных предотвращает установление соединений гостевыми устройствами с защищенными внутренними сетями. Изоляция клиентских устройств предотвращает прямую связь между устройствами в одной беспроводной сети. Это разные методы контроля: блокировка доступа к корпоративным компьютерам не обязательно разделяет гостевые устройства, в то время как изоляция клиентских устройств может помешать настроенному телефону обнаружить камеру.
Должны ли камеры использовать ту же гостевую сеть Wi-Fi, что и посетители?
В идеале камеры должны использовать отдельную гостевую сеть или сеть IoT с учетными данными, которые не передаются посетителям. Совместное использование камер и посетителей создает ненужные риски и означает, что смена паролей посетителями также влияет на обслуживание камер. Одного лишь другого имени сети недостаточно для обеспечения изоляции; SSID должен соответствовать соответствующему изолированному сетевому доступу.
Почему камера может иметь доступ к интернету, но оставаться невидимой во время настройки?
Изоляция клиента может препятствовать прямой связи между настраиваемым телефоном и камерой, даже если оба устройства имеют доступ к интернету. Некоторые методы подключения требуют локального обнаружения, находящегося рядом телефона или временной точки доступа к устройству. Для корректной работы обнаружения проверьте описанный в документации метод настройки и параметры изоляции маршрутизатора, а не отключайте изоляцию глобально.
Может ли кто-либо в корпоративной сети просматривать изображение с камеры, подключенной к изолированной гостевой сети Wi-Fi?
Облачное решение может это обеспечить, если камера подключается к своему сервису, а пользователь проходит аутентификацию через соответствующую платформу. Прямой доступ к подсети камеры может и не потребоваться. Эффективность зависит от реализации, и важными составляющими механизма доступа становятся управление учетными записями, доступность сервиса и безопасность со стороны провайдера.
Как можно обеспечить локальный просмотр с камер без нарушения изоляции гостевой сети?
Для локального просмотра требуется разрешенный маршрут между устройством просмотра и камерой или сервером записи. В управляемой сети могут поддерживаться узконаправленные соединения от утвержденного устройства просмотра или сервера к определенным службам камеры. В обычных гостевых сетях для потребителей такие исключения могут отсутствовать. Не следует отключать изоляцию глобально только для того, чтобы разрешить локальное обнаружение или просмотр.
Почему видеопоток с камеры работает через мобильный интернет, но не работает через офисный Wi-Fi?
Некоторые приложения используют разные пути подключения для настройки, удаленного просмотра и просмотра в помещении. Приложение может работать через интернет-сервис на мобильной связи, но пытаться подключиться к заблокированному локальному Wi-Fi в офисе. Необходимо определить и проверить фактический путь подключения, включая настройки изоляции, вместо того, чтобы предполагать, что приложение всегда подключается одним и тем же способом.
Какие разрешения на совместное использование камеры следует проверить, прежде чем предоставлять доступ сотрудникам?
Проверьте, может ли владелец приглашать именованные учетные записи, предоставлять общий доступ к отдельным камерам и разделять просмотр в реальном времени и воспроизведение. Также проверьте разрешения на загрузку, изменение настроек, удаление видеороликов и дальнейший обмен данными. Просмотрите срок действия приглашений, завершение сеансов, удаление доступа во всех поддерживаемых клиентах и доступные журналы. Такие обозначения, как «участник» или «гость», не всегда точно описывают права, которые получает пользователь.
Почему совместное использование одного логина для доступа к камере несколькими сотрудниками создает проблемы?
Использование общего входа в систему устраняет запланированное разделение доступа для приема и доставки. Это также усложняет процесс увольнения, поскольку смена пароля может прервать работу всех пользователей, в то время как некоторые существующие сессии могут оставаться активными до тех пор, пока не будут аннулированы отдельно. Если приложение не может обеспечить соблюдение необходимых ограничений, используйте проверенную совместимую платформу, пересмотрите порядок доступа или ограничьте доступ к тем функциям, которые невозможно безопасно ограничить.
Могут ли ограничения на доступ только в режиме реального времени или на скачивание предотвратить получение всех копий видеозаписей с камер?
Ограничения на доступ различаются в зависимости от платформы. Одна система может поддерживать совместное использование отдельных камер, но не предоставлять доступ только в режиме реального времени. Другая может ограничивать загрузку данных, не препятствуя записи экрана на устройстве пользователя. Проверяйте каждое необходимое ограничение отдельно и не рассматривайте ограничение на загрузку как подтверждение того, что авторизованный пользователь не может создать еще одну копию.
Что следует проверить перед подключением Wi-Fi-камеры к гостевой сети?
Проверьте поддерживаемые камерой диапазоны беспроводных частот, режимы аутентификации и документированные требования к настройке. Убедитесь, что предполагаемая сеть блокирует доступ к корпоративным ресурсам и не требует взаимодействия через неподдерживаемый портал авторизации. Наличие Wi-Fi-соединения само по себе не гарантирует подключение к гостевой сети, создание отдельных учетных записей или детальные разрешения; эти возможности требуют отдельной проверки для конкретного устройства и приложения.
Как следует подключать камеры, не оставляя при этом временный доступ к сети открытым?
Используйте учетную запись владельца, контролируемую организацией, и метод восстановления, включив многофакторную аутентификацию там, где это поддерживается. Следуйте описанному в документации методу подключения в предполагаемой изолированной сети. После этого восстановите все ограничения, временно снятые для настройки, и отключите телефон службы поддержки от сети камер. Повторно проверьте подключение камер, авторизованный просмотр и продолжающуюся блокировку доступа к защищенным корпоративным ресурсам.
Позволяет ли использование гостевой сети решить вопросы конфиденциальности, связанные с камерами видеонаблюдения на рабочем месте?
Нет. Разделение сети не снимает обязательств по закону о слежке. Мониторинг входа должен быть законным и прозрачным, с соответствующим правовым основанием и согласием там, где это требуется. Оставляйте аудио отключенным, если оно не является отдельно необходимым и законным. Перед развертыванием проверьте применимые требования к уведомлениям, консультациям с сотрудниками, хранению данных и запросам на доступ, и избегайте распространения мониторинга в зоны, где люди обоснованно ожидают конфиденциальности.