TuyaベースのIPカメラをリバースエンジニアリングしてローカルRTSPストリーミングを有効にする

研究者は、安価なIPカメラの内部メカニズムを特定し、独自のクラウドプラットフォームをバイパスしてONVIF標準を介したローカルビデオストリーミングを可能にすることに成功した。このプロジェクトは、ファームウェア解析によって、メーカーがエンドユーザーに隠していることが多いハードコードされたRTSP URL形式や構成キーをいかに明らかにできるかを示している。

ファームウェアの抽出とカーネルの特定

調査は、binwalkツールを使用してカメラのファームウェアイメージを抽出することから始まった。抽出の結果、デバイスは2013年3月にリリースされたバージョンであるLinux 3.4.35カーネル上で動作していることが判明した。

抽出されたファイルシステム内で、研究者は初期化スクリプトと、カメラのコア機能を実行する主要なアプリケーションバイナリである「ppsapp」を特定した。

「ONVIFストリーミングURLの形式は判明したが、それがどのポートで動作するかはまだ特定する必要がある。」

— Taking another shot at the cheap IP camera, part 2

ONVIFおよびRTSPロジックの特定

「ppsapp」バイナリに対して「strings」コマンドを実行することで、研究者はONVIFサーバーロジックの存在を確認し、特定のRTSP URL形式「rtsp://%s:%d/Streaming/Channels/101」を特定した。

この発見により、ONVIFサーバーはファームウェアに組み込まれているものの、ストリーミングポートはソフトウェア構成によってデフォルトで無効化されていることが確認された。

この画像は、ローカルビデオストリームをアンロックしようとした研究者の努力の成功結果を示している。

Ghidraによる構成ロジックのデコンパイル

Ghidraリバースエンジニアリングツールを使用して、研究者はバイナリが「onvif_enable」構成キーをどのように処理するかを追跡した。解析の結果、ソフトウェアが「tuya_config.json」を読み取り、動作設定、パスワード、アラーム機能のための内部データ構造を構築していることが示された。

この視覚情報は、デバイスがONVIF構成キーをどのように処理するかについての技術的分析をサポートするものである。

デコンパイラにより、「onvif_pwd」（パスワード）が特定のメモリ領域で処理および保存されていることが判明し、デバイスがローカルアクセスの試行をどのように検証するかのロードマップが提供された。

自動解析のトレードオフと制限

研究者は、LLM（大規模言語モデル）がリバースエンジニアリングの時間とコストを劇的に削減できる一方で、単純な難読化によって妨げられる可能性があることを強調した。例えば、開発者がビット演算を使用して、単純なテキスト検索からパスワード文字列を隠す可能性がある。

研究者はRTSP URL形式と構成ロジックを特定することには成功したが、この特定の解析においてはストリームの具体的なポート番号は未解決のまま残っている。