CamRelay 1.0.7: защитите камеру телефона именем пользователя и паролем

CamRelay 1.0.7 уже доступен в Google Play. Этот выпуск посвящён тому, о чём просили многие из вас: вход с логином и паролем для вашей камеры. Одним именем пользователя и паролем теперь можно защитить всё, что CamRelay предоставляет в вашей сети: RTSP-поток, ONVIF для вашего NVR и веб-интерфейс.

Новая настройка по умолчанию выключена. Ваш NVR, Frigate, Home Assistant, VLC и закладки в браузере работают точно так же, как раньше, пока вы сами не решите её включить.

Зачем нужен вход

До сих пор любое устройство в вашей сети могло открыть поток CamRelay, его службу ONVIF или веб-интерфейс. Дома, в собственной сети Wi-Fi, это часто не проблема. Но многие камеры оказываются в сетях, которые вы не полностью контролируете: в квартире с соседями, в офисе, в арендованном на отпуск жилье или в сети Wi-Fi, которой пользуются ещё и гости и устройства умного дома. Любой, кто узнал адрес телефона, мог смотреть камеру, менять её настройки или скачивать записи.

С CamRelay 1.0.7 доступ получают только те люди и приложения, которые знают имя пользователя и пароль.

Включение в три шага

1. Откройте в приложении Настройки и прокрутите до нового раздела Безопасность.
2. Введите Имя пользователя (по умолчанию admin) и Пароль, затем нажмите Сохранить учётные данные.
3. Включите Требовать аутентификацию.

Вот и всё. Переключатель недоступен, пока имя пользователя и пароль не сохранены, поэтому вы не сможете случайно закрыть себе доступ пустым паролем. Нажав на значок глаза, можно в любой момент проверить пароль, а сменить его можно когда угодно. Новые подключения сразу используют новые данные для входа; перезапускать трансляцию не нужно.

Один вход защищает всё

Когда Требовать аутентификацию включено, одно и то же имя пользователя и пароль нужны для:

• RTSP-потока, включая канал двусторонней связи. Проверяется каждый RTSP-запрос, а не только первый, поэтому приложение не сможет пропустить вход и всё равно начать воспроизведение.
• ONVIF: ваш NVR или приложение ONVIF должны войти, прежде чем смогут узнать адрес потока, изменить яркость или зум, переименовать камеру или получать события.
• Веб-интерфейса со всем его содержимым: настройками, просмотром в реальном времени, снимками, MJPEG-потоком и файловым менеджером с вашими записями.

Кое-что намеренно остаётся открытым, чтобы ваши устройства по-прежнему могли найти камеру и подключиться к ней:

• Обнаружение: NVR и Windows по-прежнему находят CamRelay в сети.
• Несколько запросов ONVIF, которые нужны клиенту до входа, например часы устройства и список его служб.

Подключение ваших приложений

VLC, FFmpeg и другие RTSP-плееры

Добавьте имя пользователя и пароль в адрес потока:

rtsp://admin:[email protected]:1935/

Замените 192.168.1.50:1935 адресом, который CamRelay показывает на главном экране. VLC также может сам спросить имя пользователя и пароль, если открыть адрес без них.

Совет: если в пароле есть такие символы, как @, :, / или #, запишите их в адресе в закодированном виде (@ превращается в %40, : в %3A, / в %2F, # в %23) или выберите пароль только из букв и цифр.

Frigate

Добавьте данные для входа в RTSP-строку в go2rtc. Frigate умеет подставлять пароль из переменной окружения, чтобы он не хранился открытым текстом в файле конфигурации:

go2rtc:
  streams:
    camrelay:
      - rtsp://admin:{FRIGATE_RTSP_PASSWORD}@192.168.1.50:1935/

Затем задайте FRIGATE_RTSP_PASSWORD в разделе environment вашего файла Docker Compose. Просмотр в реальном времени, запись и двусторонняя связь продолжают работать через ту же строку. В нашем руководстве по Frigate полная настройка описана шаг за шагом.

Home Assistant

• В интеграции ONVIF введите те же имя пользователя и пароль при добавлении камеры.
• В интеграции Generic Camera укажите данные для входа в адресе потока, как показано выше.

NVR и приложения ONVIF

При добавлении камеры введите имя пользователя и пароль в настройках камеры в NVR или приложении. CamRelay поддерживает оба способа входа клиентов ONVIF: WS-UsernameToken внутри запроса и HTTP Digest.

Безопасность заложена в основу: Digest-аутентификация

RTSP-поток и веб-интерфейс используют Digest-аутентификацию, и клиенты ONVIF тоже могут ею пользоваться. При Digest сам пароль никогда не передаётся по сети, передаётся только одноразовое доказательство того, что вы его знаете, а перехваченный запрос нельзя отправить повторно. Basic-аутентификация, при которой пароль передаётся почти открытым текстом, не принимается.

Веб-интерфейс: один вход, без лавины окон

Когда вы открываете веб-интерфейс, браузер один раз спрашивает имя пользователя и пароль и запоминает их, пока он открыт.

Веб-страница постоянно общается с камерой в фоне: каждые две секунды проверяет статус трансляции и загружает просмотр в реальном времени, снимки и настройки. Если данные для входа менялись, пока страница была открыта, например потому что вы включили аутентификацию или сменили пароль на телефоне, каждый из этих фоновых запросов мог заставить браузер снова и снова показывать окно входа.

CamRelay 1.0.7 справляется с этим как следует:

• Как только данные для входа перестают подходить, страница останавливает все фоновые запросы.
• Она показывает понятное сообщение Требуется вход с кнопкой Войти.
• Одно нажатие перезагружает страницу, и браузер просит войти один раз.

Мы также сделали вход надёжнее, когда страница отправляет несколько запросов одновременно. Они могут приходить на телефон в любом порядке, и теперь CamRelay принимает их все, а не отклоняет часть из них.

Ваш пароль остаётся на телефоне

• Имя пользователя и пароль хранятся только на телефоне, в закрытом хранилище CamRelay.
• Они не попадают в облачные резервные копии и не переносятся при переходе на другое устройство.
• Посмотреть или изменить их можно только в приложении. Страница настроек веб-интерфейса не может их прочитать, поэтому тот, кто однажды её откроет, не узнает пароль.

Честное замечание: вход определяет, кто может подключиться, но видео и веб-интерфейс CamRelay не шифруются. В локальной сети это обычное дело для IP-камер. Чтобы смотреть камеру вне дома, подключайтесь к своей сети через VPN, а не открывайте порты на роутере.

По умолчанию выключено, решать вам

Мы знаем, что многие из вас используют CamRelay круглосуточно с NVR, который однажды настроили и больше не трогали. Поэтому после обновления Требовать аутентификацию выключено. Ничего не изменится, пока вы это не включите, и ваш NVR, Frigate, Home Assistant и закладки продолжат работать.

Когда будете готовы, включите защиту, а затем добавьте данные для входа в каждое приложение, которое смотрит камеру.

Что ещё исправлено в 1.0.7

«Автозапуск при включении устройства» снова и снова просил разрешение

Чтобы начинать трансляцию после перезагрузки телефона, CamRelay нужно разрешение Android на показ поверх других окон («Поверх других приложений»). Когда вы нажимали Автозапуск при включении устройства, CamRelay, как и положено, открывал экран разрешения. Но когда вы давали разрешение и возвращались, приложение этого не замечало, и следующее нажатие снова открывало экран разрешения.

Теперь CamRelay проверяет разрешение каждый раз, когда вы возвращаетесь в настройки. Если вы его дали, Автозапуск при включении устройства включается сам; нажимать ещё раз не нужно. Если вы вернулись, не дав разрешения, переключатель остаётся выключенным, а подсказка под ним объясняет почему.

После новой установки в настройках была указана фронтальная камера

После новой установки CamRelay ведёт трансляцию с задней камеры. Но пока вы сами не выбирали камеру, настройка Камера в приложении и список камер в веб-интерфейсе показывали первую камеру из списка телефона, а на многих телефонах это фронтальная камера. Теперь и там, и там показана камера, которая действительно используется.

Получите обновление

CamRelay 1.0.7 уже распространяется в Google Play. Если вы его пока не видите, оно должно появиться в течение нескольких дней. После обновления ничего не изменится, пока вы не откроете Настройки → Безопасность и не включите Требовать аутентификацию.

Скачать CamRelay в Google Play

Есть отзывы или идеи? Нажмите Обратная связь на экране «О приложении». Мы читаем каждое сообщение.