国标28181平台默认密码有哪些？

Question

国标28181平台默认密码有哪些？常见问题之一是设备接入时因未修改默认密码导致认证失败或安全漏洞。部分厂商设备出厂时使用如“123456”、“admin”、“password”或空密码作为SIP注册默认凭据，虽符合GB/T 28181标准接入要求，但极易被暴力破解或恶意利用。用户常因不了解初始凭证而无法登录，或忽视密码更改带来安全隐患。建议部署前查阅设备手册确认默认账号密码，并立即修改为强密码，以保障系统安全合规。

Answer 1

一、国标28181平台默认密码的常见类型与安全风险

在GB/T 28181标准的实际部署中，SIP注册认证是设备接入平台的核心环节。许多网络视频监控设备（如IPC、NVR、DVR）出厂时预设了默认的SIP账号和密码用于初始注册，这些凭据通常由设备制造商设定，并未强制统一。

以下是常见的默认密码组合，广泛存在于多个主流厂商设备中：

厂商品牌	SIP用户名	默认密码	是否允许空密码	典型设备类型
Hikvision	34020000001320000001	123456	否	IPC/NVR
Dahua	34020000001320000002	admin	否	IPC/DSS
Uniview	34020000001320000003	password	否	NVR/IPC
TP-LINK	34020000001320000004	空密码	是	IPC
HIKVISION	admin	12345	否	老款DVR
Yushi	sipuser	12345678	否	车载终端
Infinova	admin	admin	否	编码器
Axis	root	pass	否	定制化网关
Bosch	system	system	否	高端IPC
Custom OEM	deviceid	1234	是	白牌设备

上述表格展示了不同厂商在实现GB/T 28181协议栈时采用的典型默认凭证配置。值得注意的是，虽然标准本身不规定具体密码策略，但设备必须支持SIP Digest Authentication机制，若使用弱口令则极易成为攻击入口。

二、默认密码引发的安全隐患分析

由于大量中小型项目在部署过程中忽视初始密码修改流程，导致系统长期暴露于以下安全威胁之下：

1. 暴力破解攻击：开放公网的SIP端口（通常是5060/UDP）易被自动化工具扫描并尝试爆破登录。
2. 中间人劫持：未启用TLS加密的SIP通信可被嗅探，获取明文摘要信息进而反推密码。
3. 僵尸设备控制：一旦被攻破，设备可能被纳入DDoS网络或用于非法视频转发。
4. 合规性风险：等保2.0及《网络安全法》明确要求禁用默认账户与弱口令。
5. 横向渗透风险：监控设备常位于内网核心区域，成为跳板入侵其他业务系统的支点。

例如，在某地市级雪亮工程中，因数百台IPC未更改默认密码“admin”，导致整个子域在一个月内被境外IP批量接管，造成重大数据泄露事件。

三、问题诊断流程与排查方法

当设备无法成功注册至国标平台时，应按照如下流程进行故障定位：

# SIP REGISTER 请求抓包示例（Wireshark过滤表达式）
sip.method == "REGISTER"
and ip.src == [设备IP] and ip.dst == [平台SIP服务器]

# 查看返回码：
401 Unauthorized → 认证失败（密码错误）
403 Forbidden → 账号被锁定或拒绝接入
404 Not Found → 设备ID不存在于平台配置库

结合日志分析工具（如ELK）收集平台侧SIP代理的日志输出，重点关注auth failed for user [xxx]类记录。

graph TD
            A[设备启动] --> B{读取SIP配置}
            B --> C[发送REGISTER请求]
            C --> D[SIP服务器验证Digest]
            D --> E{凭证正确?}
            E -->|Yes| F[返回200 OK, 注册成功]
            E -->|No| G[返回401, 设备重试或失败]
            G --> H[检查默认密码是否修改]
            H --> I[查阅设备手册确认初始凭据]
            I --> J[更新为强密码策略]

四、解决方案与最佳实践建议

为确保符合国家信息安全等级保护要求，建议采取以下技术与管理措施：

• 部署前强制执行“首次登录必改密码”策略。
• 启用SIP over TLS（端口5061）以防止凭证截获。
• 配置平台侧失败尝试次数限制（如5次后锁定10分钟）。
• 使用包含大小写字母、数字、特殊字符的12位以上强密码。
• 通过自动化脚本批量导入设备时同步初始化密码哈希值。
• 定期审计平台内所有设备的密码强度与最后修改时间。
• 对接IAM系统实现集中身份管理与多因素认证（MFA）。
• 对老旧设备无法修改密码的情况，应在防火墙上实施访问控制列表（ACL）限制源IP。
• 建立设备生命周期管理制度，退役设备及时从平台注销。
• 开展红蓝对抗演练，模拟针对SIP服务的渗透测试。