CamRelay 1.0.7 : protégez la caméra de votre téléphone avec un nom d'utilisateur et un mot de passe

CamRelay 1.0.7 est disponible sur Google Play. Cette version répond à une demande que beaucoup d'entre vous nous ont faite : un identifiant pour votre caméra. Avec un seul nom d'utilisateur et un seul mot de passe, vous pouvez désormais protéger tout ce que CamRelay propose sur votre réseau : le flux RTSP, ONVIF pour votre NVR et l'interface web.

Le nouveau réglage est désactivé par défaut. Votre NVR, Frigate, Home Assistant, VLC et les favoris de votre navigateur continuent de fonctionner exactement comme avant, jusqu'à ce que vous décidiez de l'activer.

Pourquoi un identifiant est important

Jusqu'ici, n'importe quel appareil de votre réseau pouvait ouvrir le flux de CamRelay, son service ONVIF ou son interface web. Chez vous, sur votre propre Wi-Fi, ce n'est souvent pas un problème. Mais beaucoup de caméras se retrouvent sur des réseaux que vous ne maîtrisez pas entièrement : une colocation, un bureau, une location de vacances, ou un Wi-Fi que partagent aussi les invités et les objets connectés. Quiconque trouvait l'adresse du téléphone pouvait regarder la caméra, modifier ses réglages ou télécharger ses enregistrements.

Avec CamRelay 1.0.7, seules les personnes et les applications qui connaissent le nom d'utilisateur et le mot de passe peuvent entrer.

L'activer en trois étapes

1. Ouvrez les Paramètres de l'application et faites défiler jusqu'à la nouvelle section Sécurité.
2. Saisissez un Nom d'utilisateur (au départ, c'est admin) et un Mot de passe, puis appuyez sur Enregistrer les identifiants.
3. Activez Exiger l'authentification.

C'est tout. L'interrupteur reste désactivé tant qu'aucun nom d'utilisateur et aucun mot de passe ne sont enregistrés : impossible donc de vous bloquer vous-même avec un mot de passe vide. Vous pouvez appuyer sur l'icône en forme d'œil pour vérifier le mot de passe à tout moment, et le changer quand vous voulez. Les nouvelles connexions utilisent tout de suite le nouvel identifiant ; inutile de redémarrer le flux.

Un seul identifiant protège tout

Quand Exiger l'authentification est activé, le même nom d'utilisateur et le même mot de passe sont demandés pour :

• Le flux RTSP, y compris le canal de l'audio bidirectionnel. Chaque requête RTSP est vérifiée, pas seulement la première : une application ne peut donc pas sauter l'identification et lancer la lecture malgré tout.
• ONVIF : votre NVR ou votre application ONVIF doit se connecter avant de pouvoir lire l'adresse du flux, régler la luminosité ou le zoom, renommer la caméra ou recevoir des événements.
• L'interface web, avec tout ce qu'elle contient : les réglages, l'aperçu en direct, les captures, le flux MJPEG et le Gestionnaire de fichiers avec vos enregistrements.

Certaines choses restent volontairement ouvertes, pour que vos appareils puissent toujours trouver la caméra et s'y connecter :

• La découverte réseau : les NVR et Windows trouvent toujours CamRelay sur le réseau.
• Les quelques requêtes ONVIF dont un client a besoin avant de pouvoir se connecter, comme l'horloge de l'appareil et sa liste de services.

Connecter vos applications

VLC, FFmpeg et autres lecteurs RTSP

Ajoutez le nom d'utilisateur et le mot de passe dans l'adresse du flux :

rtsp://admin:[email protected]:1935/

Remplacez 192.168.1.50:1935 par l'adresse que CamRelay affiche sur son écran principal. VLC peut aussi vous demander le nom d'utilisateur et le mot de passe si vous ouvrez l'adresse sans eux.

Astuce : si votre mot de passe contient des caractères comme @, :, / ou #, écrivez-les sous forme encodée dans l'adresse (@ devient %40, : devient %3A, / devient %2F, # devient %23), ou choisissez un mot de passe composé de lettres et de chiffres.

Frigate

Ajoutez l'identifiant à la ligne RTSP dans go2rtc. Frigate peut remplir le mot de passe à partir d'une variable d'environnement, pour qu'il n'apparaisse pas en clair dans votre fichier de configuration :

go2rtc:
  streams:
    camrelay:
      - rtsp://admin:{FRIGATE_RTSP_PASSWORD}@192.168.1.50:1935/

Définissez ensuite FRIGATE_RTSP_PASSWORD dans la section environment de votre fichier Docker Compose. L'aperçu en direct, l'enregistrement et l'audio bidirectionnel continuent de passer par la même ligne. Notre guide Frigate détaille toute la configuration.

Home Assistant

• Avec l'intégration ONVIF, saisissez le même nom d'utilisateur et le même mot de passe lorsque vous ajoutez la caméra.
• Avec l'intégration Generic Camera, placez l'identifiant dans l'adresse du flux comme indiqué plus haut.

NVR et applications ONVIF

Lorsque vous ajoutez la caméra, saisissez le nom d'utilisateur et le mot de passe dans les réglages de caméra du NVR ou de l'application. CamRelay accepte les deux façons dont les clients ONVIF se connectent : WS-UsernameToken dans la requête et HTTP Digest.

Sûr par conception : l'authentification Digest

Le flux RTSP et l'interface web utilisent l'authentification Digest, et les clients ONVIF peuvent l'utiliser aussi. Avec Digest, le mot de passe lui-même n'est jamais envoyé sur le réseau, seulement une preuve à usage unique que vous le connaissez, et une requête interceptée ne peut pas être rejouée. L'authentification Basic, qui envoie le mot de passe presque en clair, n'est pas acceptée.

L'interface web : une seule connexion, sans avalanche de fenêtres

Quand vous ouvrez l'interface web, votre navigateur vous demande une fois le nom d'utilisateur et le mot de passe, et s'en souvient tant qu'il reste ouvert.

Une page web échange en permanence avec la caméra en arrière-plan : elle vérifie l'état du flux toutes les deux secondes et charge l'aperçu en direct, les captures et les réglages. Si l'identifiant changeait pendant qu'une page était ouverte, par exemple parce que vous aviez activé l'authentification ou changé le mot de passe sur le téléphone, chacune de ces requêtes en arrière-plan pouvait faire réapparaître encore et encore la fenêtre de connexion du navigateur.

CamRelay 1.0.7 gère cela correctement :

• Dès que l'identifiant ne fonctionne plus, la page arrête toutes ses requêtes en arrière-plan.
• Elle affiche un message clair Connexion requise avec un bouton Se connecter.
• Un appui recharge la page, et le navigateur vous demande de vous connecter une seule fois.

Nous avons aussi rendu la connexion plus fiable quand une page envoie plusieurs requêtes en même temps. Elles peuvent arriver au téléphone dans n'importe quel ordre, et CamRelay les accepte désormais toutes au lieu d'en refuser certaines.

Votre mot de passe reste sur le téléphone

• Le nom d'utilisateur et le mot de passe sont enregistrés uniquement sur le téléphone, dans le stockage privé de CamRelay.
• Ils sont exclus des sauvegardes dans le cloud et des transferts d'un appareil à l'autre.
• Vous ne pouvez les voir ou les modifier que dans l'application. La page des réglages de l'interface web ne peut pas les lire : quelqu'un qui l'ouvre une fois ne peut donc pas découvrir le mot de passe.

Une remarque honnête : l'identifiant contrôle qui peut se connecter, mais la vidéo et l'interface web de CamRelay ne sont pas chiffrées. Sur votre réseau local, c'est normal pour des caméras IP. Pour regarder depuis l'extérieur de chez vous, utilisez un VPN pour accéder à votre réseau plutôt que d'ouvrir des ports sur votre box.

Désactivé par défaut, à vous de choisir

Nous savons que beaucoup d'entre vous font tourner CamRelay jour et nuit avec un NVR configuré une fois pour toutes et jamais retouché. C'est pourquoi Exiger l'authentification est désactivé après la mise à jour. Rien ne change tant que vous ne l'activez pas, et votre NVR, Frigate, Home Assistant et vos favoris continuent de fonctionner.

Quand vous êtes prêt, activez-le, puis ajoutez l'identifiant dans chaque application qui regarde la caméra.

Également corrigé dans la 1.0.7

« Démarrage automatique au démarrage de l'appareil » redemandait sans cesse l'autorisation

Pour lancer la diffusion après un redémarrage du téléphone, CamRelay a besoin de l'autorisation Android de superposition (« Afficher par-dessus d'autres applications »). Quand vous appuyiez sur Démarrage automatique au démarrage de l'appareil, CamRelay ouvrait bien l'écran d'autorisation. Mais une fois l'autorisation accordée et de retour dans l'application, celle-ci ne s'en rendait pas compte, et l'appui suivant rouvrait l'écran d'autorisation.

Désormais, CamRelay vérifie l'autorisation chaque fois que vous revenez dans les Paramètres. Si vous l'avez accordée, Démarrage automatique au démarrage de l'appareil s'active tout seul ; inutile d'appuyer à nouveau. Si vous êtes revenu sans l'accorder, l'interrupteur reste désactivé et l'indication en dessous explique pourquoi.

Une nouvelle installation affichait la caméra avant dans les Paramètres

Après une nouvelle installation, CamRelay diffuse depuis la caméra arrière. Mais tant que vous n'aviez pas choisi de caméra vous-même, le réglage Caméra de l'application, ainsi que la liste des caméras de l'interface web, affichaient la première caméra de la liste du téléphone, qui sur beaucoup de téléphones est la caméra avant. Désormais, les deux affichent la caméra réellement utilisée.

Obtenir la mise à jour

CamRelay 1.0.7 est en cours de déploiement sur Google Play. Si vous ne la voyez pas encore, elle devrait arriver d'ici quelques jours. Après la mise à jour, rien ne change tant que vous n'ouvrez pas Paramètres → Sécurité pour activer Exiger l'authentification.

Télécharger CamRelay sur Google Play

Une remarque ou une idée ? Appuyez sur Commentaires dans l'écran À propos de l'application. Nous lisons tous les messages.