警方耗時19天抓捕了攝像頭破解軟體黑產，但你還要知道這些才能放心

最近，雷鋒網了解到，北京警方花了19天，摧毀了中國首例網上傳播家庭攝像頭破解軟體的犯罪鏈條，抓獲涉案人員 24 名。

事情要追溯到 6月18日，央視新聞頻道稱，有人在 QQ 群中兜售遠程控制家庭攝像頭的破解軟體，有大量人員非法購買後利用攝像頭進行偷窺，嚴重侵犯了公民個人隱私。

央視新聞頻道還稱，大量家庭攝像頭存在的安全問題，只需要通過特定的掃描軟體，就能夠攻破攝像頭的IP 地址，然後將被破解的 IP 地址輸入播放軟體，就可以實現偷窺。

這時，大批吃瓜群眾才知道，原來自己在攝像頭前的一舉一動，很可能成了他人眼中直播真人秀。

當房間空無一人的時候，你有沒有試過自己一個人尬舞？有沒有對著鏡子搔首弄姿，沉浸於自己的美貌？又或者，打開某個小草網站，開始做頭部以下不可描述的事情？

雖然，你只願享受這片刻的歡愉，但是，很有可能，「You are being watched」。

國家互聯網應急中心高級工程師高勝稱，這些軟體主要是依靠掃描器，用一些弱口令密碼，做大範圍的掃描。隨後，國家互聯網應急中心在市場佔有率排名前五的智能攝像頭品牌中隨機挑選了兩家，進行了弱口令漏洞分布的全國性監測，僅兩個品牌的攝像頭，就有十幾萬個存在著弱口令漏洞。

日前，質檢總局發布攝像頭抽樣檢測報告，結果顯示 40 批次產品中高達32批次存在安全風險。

那麼，為何這些網路攝像頭這麼容易被攻破？

造成攝像頭的信息安全風險的原因有很多，但是多存在於數據傳輸、弱密碼口令、操作系統/固件更新、敏感信息的本地存儲、身份鑒別、雲平台等環節。

下面，雷鋒網宅客頻道（微信ID：letshome）帶你一一解析：

1.數據傳輸

根據質檢總局的調查，28 批次樣品數據傳輸未加密。如果在數據傳輸的過程中進行加密，即使黑客攔截相應的信息也只能看到代碼，看不到實際攝像頭拍下來的影像。

當然，除了對傳輸過程進行加密，對錄像的本地存儲數據進行加密也很重要。

在該報告中，還有 20 批次存在弱口令，或者限制用戶密碼複雜度的問題。

有些產品生產出來以後，會設置非常簡單密碼，比如說「00000」、「123456」等，很容易被黑客破解。如果攝像頭出廠前設定大小寫、以及數字和字幕結合的密碼設定，會安全很多。

2016 年 10 月，美國互聯網遭遇前所未有的黑客攻擊，幾乎半個美國的網路陷入癱瘓。這其中，某款國產的網路攝像頭的就因為存在弱密碼口令漏洞，而遭受黑客攻擊，最後不得不召回部分產品。

3.操作系統 / 固件更新

還有 10 批次樣品在操作系統更新有問題：未提供固件更新修復功能或者固件更新方式不安全。

其實，這個鍋還得中小型廠家背，因為部分廠家不具備在線升級能力，還在使用 U盤，硬碟刷機物理方式升級，根本無法處理應急安全漏洞的問題。因此，廠商需要完整 OTA 在線升級方案，及時修補安全漏洞。

16 批次樣品的密碼等敏感數據在本地存儲時未採取加密保護措施。各個廠家對本地存儲的理解不一樣，小廠家將本地存儲認定為 用戶自己的行為——你已經存儲到本地，用戶自己保存就好，不會採取任何安全防護措施。

最好的做法還是本地以及雲端都採用加密存儲的方式。

5.身份鑒別

18 批次樣品在身份鑒別方面未提供登錄失敗處理功能。

有很多廠商在產品生產後沒有對反覆登錄頻次進行限制，以至很多黑客可以反覆嘗試密碼，用用戶信息或者其他密碼嘗試一直到攻破攝像機。

10 批次樣品在後端信息系統存在越權漏洞，同一平台內可以查看任意用戶攝像。

由於很多廠商都不具備自己的雲服務能力，往往會跟一些性價比較高的第三方雲服務提供商合作。一旦雲服務商沒有處理好安全問題，被黑客攻破後，所有跟他合作的攝像頭廠商受到影響，造成用戶信息泄露。

一粒老鼠屎，打壞了一鍋油。

安全的做法是：對每一個用戶、每一台設備都設立獨立密鑰。

雷鋒網註：本文參考了質檢總局在 360 智能硬體產業安全聯盟大會上發布的報告、360攝像機產品負責人趙謙的發言。不久前，360 聯合數十家受此次事件影響的網路攝像頭廠商，共同發起了智能硬體產業安全聯盟，公開了 360 硬體產品的安全標準規範，以及自家的SMART OS，聯手防止「一言不合被直播」。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！