數據可外傳直接上雲端 安全攝像頭疑成洩密源

Anker公司的Eufy安全攝像頭。Shutterstock

過去十年,Anker建立了卓越的質量聲譽,包括多年來備受推薦的Eufy家庭安全攝像頭。Eufy有著高調的隱私承諾:承諾你的數據將被儲存在本地,「永遠不會離開你的家」,錄像只通過「端對端」軍事級別的加密來傳輸,並且它只將錄像「直接發送到你的手機上」。

但據The Verge報道,實際上,從Eufy攝像頭可以傳輸視頻到國家的另一邊,而且完全沒有加密。更糟糕的是,現在還不清楚這種情況有多普遍。該公司沒有正面解決這個問題,而是向媒體謊稱這根本不可能。

感恩節當天,信息安全顧問摩爾(Paul Moore)和一位名叫Wasabi的黑客都聲稱,Anker的Eufy攝像頭可以通過雲端進行無加密的流式傳輸,只需用免費的VLC媒體播放器連接到Eufy的雲端服務器的一個獨特地址。

該公司斷然否認了這一點。Anker公司的高級公關經理懷特(Brett White)通過電郵告訴The Verge:「我可以確認,不可能使用VLC等第三方播放器啟動流媒體並觀看直播畫面。」

但本周,The Verge在美國各地使用VLC反覆觀看了自有的兩台Eufy攝像頭的實時錄像,證明Anker有辦法繞過加密,通過雲端訪問這些所謂的安全攝像頭。

好消息是目前還沒有證據表明這一漏洞已經被人利用,而且連接雲端地址需要用戶名和密碼登錄,然後Eufy的網站才會提供無加密流。此外,它似乎只對激活狀態的攝像頭有效。但情況也變得更糟:不良行為者可能會弄清攝像頭視頻流的地址——因為這個地址主要由你的攝像頭的序列號以Base64編碼組成,一個簡單的在線計算器就可輕松解碼。

地址還包括一個很容易創建的Unix時間戳,一個Eufy的服務器似乎不會實際去驗證的令牌,以及一個隨機四位十六進制數,只有65536個組合,很容易被強行破解。

「絕對不應該這樣設計。」Mandiant漏洞工程師湯普森(Jacob Thompson)說,序列號是不會改變的。科技公司也並不傾向於對序列號保密。有些公司把序列號直接貼在包裝盒子上,包括Eufy。

摩爾還聲稱Eufy的視頻錄像加密密鑰實際上只是一個明文字符串02″ZXSecurity17Cam@”02。Anker沒有回應相關求證。摩爾已經開始對Anker進行法律訴訟。

科技-三藩市版