IP Kameralarda RTSP 554 Portu Açık İnternete Yönlendirme Riskleri ve RTSPS over TLS Şifreleme Rehberi

Açık İnternette Şifresiz Video Akışı ve Siber Güvenlik Zafiyetleri

Güvenlik kamera altyapılarında (NVR, DVR ve bağımsız IP kameralar) uzaktan canlı izleme veya web sitelerine canlı yayın aktarımı sağlamak amacıyla modem üzerinden TCP/UDP 554 RTSP (Real-Time Streaming Protocol) portunun doğrudan dış dünyaya yönlendirilmesi, kurumsal ağlarda karşılaşılan en ağır güvenlik açıklarından biridir. Standart RTSP protokolü uygulama katmanında şifreleme barındırmaz; kimlik doğrulama mekanizması (Basic Authentication) kullanıcı adı ve parolasını Base64 formatında düz metin olarak iletirken, video paketleri (RTP) açık ağ üzerinden şifresiz taşınır. Shodan, Censys gibi küresel IoT tarama motorları internete açık 554 numaralı portları saniyeler içinde indeksleyerek işletmelerin, depoların veya özel alanların canlı kamera akışlarını yetkisiz erişime açık hale getirir.

Standart RTSP Protokolünün Taşıdığı Güvenlik Tehditleri

RTSP portunun doğrudan dışarıya açılması durumunda ortaya çıkan temel siber riskler şunlardır:

• Ortadaki Adam Saldırıları (Man-in-the-Middle – MITM): Şifresiz akan video akışı internet servis sağlayıcı seviyesinde veya aradaki yönlendiricilerde paket dinleme (Packet Sniffing) araçlarıyla kaydedilebilir; kurumsal gizlilik tamamen ihlal edilir.
• Kaba Kuvvet (Brute-Force) ve Kimlik Bilgisi Ele Geçirme: Temel kimlik doğrulamada kullanılan Base64 dizilimi şifreleme değildir; ağ trafiğini yakalayan bir saldırgan kameranın admin parolasını tek bir komutla çözebilir.
• Gömülü Yazılım (Firmware) Zafiyetleri: IP kameraların RTSP ayrıştırıcı (RTSP Parser) kütüphanelerinde bulunan arabellek taşması (Buffer Overflow) açıkları istismar edilerek kameranın komuta kontrol sunucularına (C2) bağlanması ve cihazın Mirai türevi botnet ordularına katılması sağlanabilir.

1. Adım: Şifreli RTSPS (RTSP over TLS – Port 322) Standardına Geçiş

Kamera akışının internet üzerinden güvenle taşınması için TLS kriptografik katmanıyla korunan RTSPS (Port 322) protokolü yapılandırılmalıdır:

1. Kameranın web arayüzünde Ağ > Gelişmiş Ayarlar > Sertifika (Network > Advanced > Certificates) sekmesine gidilir.
2. Kameraya güvenilir bir sertifika otoritesinden (CA) alınan SSL/TLS sertifikası veya geçerli bir yerel sertifika yüklenir.
3. Port ayarlarından RTSPS (TCP 322) aktif edilir ve standart şifresiz 554 portu yerel ağ dışına tamamen kapatılır.
4. Canlı akış URL yapısı rtsps:// protokolüne dönüştürülür:

# Şifreli RTSPS Akış URL Formatı:
rtsps://admin:GucluKurumsalParola2026!@guvenlik.sirketiniz.com:322/Streaming/Channels/101

2. Adım: Modemden Port Açmak Yerine Güvenli VPN Tüneli Arkasına Alma

Kameraları veya NVR cihazını doğrudan genel IP’ye açmak yerine en güvenli mimari, dışarıdan izleme yapacak cihazları kurumsal bir VPN tüneline bağlamaktır:

Önerilen Güvenli İzleme Topolojisi:
[Mobil Cihaz / Uzak PC] -> [Şifreli WireGuard / IPsec VPN Tüneli] -> [Kurumsal Güvenlik Duvarı] -> [Yerel İzole Kamera VLAN (192.168.40.0/24)]

Bu kurguda modem veya güvenlik duvarı üzerinde hiçbir kamera portu (554, 80, 37777, 8000) dışarıya yönlendirilmez. Kullanıcı telefonundan VPN’i açtığı anda kameraya yerel IP adresi üzerinden şifreli tünel içinden erişir.

3. Adım: IP Beyaz Liste (IP Whitelisting) ve Coğrafi Filtreleme (Geo-IP)

Eğer bir web sitesine akış sağlamak amacıyla RTSP portunun dışarıya açılması zorunluysa, güvenlik duvarı kuralı tüm dünyaya (0.0.0.0/0) açılmamalıdır:

Güvenlik Duvarı Kuralı:
Kaynak Adres: Yalnızca Medya Sunucusunun Statik IP'si (Örn: 185.120.45.88)
Hedef: NVR / Kamera RTSPS Portu (TCP 322)
Eylem: ACCEPT
Kural 2: Diğer tüm dünyadan gelen 322/554 isteklerini DROP et.

Kurumsal kamera altyapılarında siber güvenlik denetimleri, RTSPS şifreleme kurulumu, güvenli VPN tünelleri ve NVR ağ izolasyonu projelerinde BaykalSoft teknik mühendislik kadromuzla iletişime geçebilirsiniz.