: : : 首頁 產經消息 數據可外傳直接上雲端 安全攝像頭疑成洩密來源
產經消息

分享此頁至Line

分享此頁至FaceBook

頁面列印

數據可外傳直接上雲端 安全攝像頭疑成洩密來源

2022-12-02


 

過去十年，Anker建立了卓越的質量聲譽，包括多年來備受推薦的Eufy家庭安全攝像頭。Eufy有著高調的隱私承諾：承諾你的數據將被儲存在本地，「永遠不會離開你的家」，錄像只通過「端對端」軍事級別的加密來傳輸，並且它只將錄像「直接發送到你的手機上」。

但據The Verge報導，實際上，從Eufy攝像頭可以傳輸視頻到國家的另一邊，而且完全沒有加密。更糟糕的是，現在還不清楚這種情況有多普遍。該公司沒有正面解決這個問題，而是向媒體謊稱這根本不可能。

感恩節當天，信息安全顧問摩爾（Paul Moore）和一位名叫Wasabi的黑客都聲稱，Anker的Eufy攝像頭可以通過雲端進行無加密的流式傳輸，只需用免費的VLC媒體播放器連接到Eufy的雲端服務器的一個獨特地址。

該公司斷然否認了這一點。Anker公司的高級公關經理懷特（Brett White）通過電郵告訴The Verge：「我可以確認，不可能使用VLC等第三方播放器啟動流媒體並觀看直播畫面。」

但本周，The Verge在美國各地使用VLC反覆觀看了自有的兩台Eufy攝像頭的實時錄像，證明Anker有辦法繞過加密，通過雲端訪問這些所謂的安全攝像頭。

好消息是目前還沒有證據表明這一漏洞已經被人利用，而且連接雲端地址需要用戶名和密碼登錄，然後Eufy的網站才會提供無加密流。此外，它似乎只對啟動狀態的攝像頭有效。但情況也變得更糟：不良行為者可能會弄清攝像頭的地址——因為這個地址主要由你的攝像頭的序列號以Base64編碼組成，一個簡單的線上計算程式就可輕鬆解碼。

地址還包括一個很容易創建的Unix時間戳，一個Eufy的服務器似乎不會實際去驗證的令牌，以及一個隨機四位十六進制數，只有65536個組合，很容易被強行破解。

「絕對不應該這樣設計。」Mandiant漏洞工程師湯普森（Jacob Thompson）說，序列號是不會改變的。科技公司也並不傾向於對序列號保密。

https://www.singtaousa.com/2022-12-02/%e6%95%b8%e6%93%9a%e5%8f%af%e5%a4%96%e5%82%b3%e7%9b%b4%e6%8e%a5%e4%b8%8a%e9%9b%b2%e7%ab%af%e5%ae%89%e5%85%a8%e6%94%9d%e5%83%8f%e9%a0%ad%e7%96%91%e6%88%90%e6%b4%a9%e5%af%86%e6%ba%90/4346773