Flock Safety监控摄像头：数据漏洞、功效质疑与国家安全风险揭露

Benn Jordan

总结：

Flock Safety的监控摄像头系统被揭示存在严重安全漏洞，包括执法账户在暗网出售、通过物理接触或USB设备即可获取完全控制权。摄像头内部存储了未加密的凭证、API密钥和密码，并且保存着包含人像、车辆和地点信息长达数月的未加密数据，与公司声称不符。由于缺乏强制性多因素认证和使用过时的Android操作系统，该系统极易受到各种网络攻击和数据泄露。Flock Safety声称的犯罪解决效率数据具有误导性，公司提供的研究报告存在偏颇，且实际案例表明监控技术与犯罪率下降无明显关联，甚至可能适得其反。面对公众抵制和地方政府的反对，Flock Safety采取了强硬措施，如对独立研究者发出停止函，而丹佛市长则绕过市议会强行续签了合同。视频提出一项解决方案：要求向政府提供公共监控服务的私人公司支付申请费，以资助独立安全研究团队对硬件和软件进行强制性审计和评级，确保公共安全和个人隐私。

介绍与漏洞概述 [0:00]

该视频揭露了Flock Safety监控摄像头系统存在的严重安全和数据隐私问题。最初估计有4万台摄像头，但进一步调查发现美国有超过8万台此类设备，它们被税款资助，用于追踪民众的行动和收集数据。视频演示了如何轻松入侵这些摄像头，将其转变为间谍设备、恶意软件宿主或窃取登录凭证的蜜罐，甚至通过冷战时期的CIA技术解码视频流。美国参议员和代表已就这些发现的国家安全风险起草了调查信函。

1. 令人担忧的漏洞 [1:30]

视频详细介绍了Flock Safety摄像头存在的六个主要漏洞，其中大部分已发布或正在发布到国家漏洞数据库。

暗网上的账户出售 [2:52]

• 执法账户交易: 在暗网中，发现有出售受托管保护的Flock Safety执法账户列表，这些账户提供了访问车牌数据、背景调查和车辆跟踪的权限。

  

• 访问经纪人: 网络安全行业中存在专门从事政府机构或地方执法部门访问权限的“访问经纪人”，表明Flock Safety可能存在安全漏洞。

物理访问与设备控制 [3:54]

• 轻松获取控制权: 专业的安全研究员John Gaines发现，通过按动Flock Safety摄像头背面的按钮特定次数，可以创建一个无线接入点，允许用户连接并启用ADB（Android Debug Bridge）。

  

  

• 完全控制: 一旦启用ADB，即可连接到Flock Safety设备，访问其数据或安装任何恶意软件。

  

  • USB-C端口漏洞: 对于带有USB-C端口的计算盒，无需按按钮，只需插入一个“橡皮鸭”（Bad USB）设备即可自动执行脚本，获取控制权。

    

    

• 潜在危害: 攻击者可以克隆或反编译应用程序、将视频流数据发送到远程服务器、将其用作恶意软件僵尸网络客户端、捕获Wi-Fi握手凭证进行中间人或蜜罐攻击、替换或修改捕获的画面或图像。

  

  • 证据完整性: 这将使摄像机捕获的数据作为法庭证据的完整性受到质疑。

缺乏多因素认证 (MFA) [7:09]

• 2FA不足: 尽管多因素认证在日常生活中广泛使用，但并非所有类型的2FA都安全。基于位置的2FA在攻击者处于受害者附近或使用受害者Wi-Fi时容易被绕过。

  

• 警务部门的MFA缺失: Flock Safety并未要求某些警务部门使用两步认证，这意味着访问其系统的安全性取决于安全性意识最低的用户。

  

• 简易解决方案: USB或NFC认证器是一种廉价且简单的MFA解决方案，如果执法人员觉得使用它很麻烦，那么他们不应被授予访问安全信息的权限。

未加密数据与数据保留策略 [9:29]

• 硬编码信息: Flock Safety摄像头中存储了大量的硬编码信息，包括Wi-Fi网络名称。
• 劫持网络连接: 通过设置一个与摄像头硬编码Wi-Fi名称相同的虚假网络，部分摄像头会连接并路由上行流量，暴露明文凭证。

  

  

• 公司声明不符: Flock Safety声称其摄像头不收集人像数据、所有数据均已加密且数据仅保留7天，但研究发现这些声明均不属实。

  

  

  

  

泄露的API密钥和地理信息系统 (GIS) 数据 [12:45]

• 高级搜索 (Dorking): 经验丰富的“dorking”专家可以通过Google搜索发现不应公开的信息。

  

• 暴露的Flock Safety演示站点: 研究员Joshua Michael通过特定Google搜索找到了一个暴露的Flock Safety演示站点，其中包含5000行搜索平台源代码和一个实时API密钥。

  

  • API密钥的危险性: API密钥有时比用户名和密码更重要，因为它们可以授予相同的访问权限，且通常绕过前端安全措施，如验证码或两步验证。

    

• ArcGIS数据泄露:
  • 警员信息泄露: 在Aurora, Colorado的地图上，泄露了警员的姓名、电话号码、电子邮件，甚至预期巡逻区域。

    

  • 实时巡逻警车追踪: 泄露的API密钥可能允许追踪实时巡逻警车的位置。

    

• 中国国家支持黑客组织攻击: 几个月前，两名安全研究人员发现ArcGIS已被中国国家支持的黑客组织Flex Typhoon攻破，该组织以管理灾害恢复、应急管理等关键功能的地理空间数据应用程序为目标。

  

  

Tempest攻击 (电磁辐射攻击) [16:10]

• 电磁辐射泄露: 摄像头模块本身、专有同轴端口和背面的8针DIN端口存在异常量的射频（RF）泄露。

  

• 远程侦测: 使用定向天线和低噪声放大器，可在6英尺外捕获并识别摄像头正在捕捉的图像。

  

  

  

• 国家安全考量: 尽管对普通消费者设备而言，这种攻击成本高昂且耗时，但对于国家安全、政府用途或公共监控设备，必须对此进行保护。

过时的操作系统 [18:56]

• Android Things 8/8.1: Flock Safety的Falcon、Sparrow以及常见的Flex LPR设备运行的是Android Things 8或8.1，该系统已于2021年停止支持，包括安全更新。

  

  

  

• 900多个已知漏洞: 目前，该操作系统存在900多个已发布的漏洞，使得这些用于公共活动的摄像头运行在不受支持的软件上，构成巨大安全隐患。

  

2. 功效存疑 [21:26]

误导性宣传与SEO优化 [21:26]

• 搜索引擎优化 (SEO): Flock Safety在搜索引擎优化方面表现出色，导致用户在搜索相关信息时，其官方宣传内容总是占据主导地位，甚至AI助手也受其影响。

  

• 虚假研究引用: 公司网站声称使用其服务解决了美国10%的犯罪（后改为14%），但引用来源通常是Flock Safety员工撰写的内部研究，缺乏区域分析，且报告数据可能与摄像头部署时间不符。

  

  

犯罪率数据分析 [22:49]

• 缺乏比较研究: 很难找到使用Flock Safety服务的城市与未使用服务的城市之间，犯罪率和破案率的有效对比数据。

  

• 伯克利警方问责委员会报告:
  • 加州案例: 2023年，伯克利警方问责委员会发现，加州社区的ALPRs（自动车牌识别系统）有时与车辆盗窃增加和犯罪破案率下降相关。

    

  • 贝克斯菲尔德 (Bakersfield): ALPRs安装后，该市的机动车盗窃率升至美国最高。Flock Safety声称瓦卡维尔 (Vacaville) 机动车盗窃减少33%，但引用的数据是在摄像头安装多年前的。

    

    

  • 奥克兰 (Oakland): Flock Safety声称其服务使奥克兰的暴力犯罪破案率提高了11%，但未提及同期暴力犯罪实际下降了19%（与FBI全国数据一致），且2023年奥克兰的暴力犯罪破案率仅为3%，警方后来承认这是人为错误。

    

    

社会学影响 [25:29]

• 监控的负面效应: 社会学研究表明，高水平的监控会显著降低幸福感、士气，甚至工作效率。它可能导致人们更关注表现出生产力而非实际学习和发展技能。

  

  

• 认知障碍: 一项最新研究强烈表明，高水平监控会导致自愿视觉处理能力急剧下降，这意味着它会损害大脑处理和识别面部图像的能力。

  

  

• 侵犯隐私: 持续监控使人感到不被信任，降低了建立友好社交联系的可能性，营造出不安全的社会环境。

3. 抵制与反击 [30:28]

公众抵制与地方政府的行动 [30:28]

• 日益增长的担忧: 美国各地社区对私人监控的快速扩张日益担忧和抵制。
• 丹佛市 (Denver):
  • 市长虚假陈述: 丹佛市长Mike Johnston声称Flock摄像头的数据仅供丹佛警察局使用，且系统并非用于追踪非法移民，但实际数据显示，有超过1800次查询用于移民服务。

    

  • 市议会否决: 丹佛市议会因对Flock Safety的道德和可信度表示担忧，投票否决了续签合同。

    

  • 市长绕过议会: Mike Johnston市长仍绕过市议会，签署了Flock Safety的合同延长协议，被市议会成员称为“与已知不良行为者的幕后交易”。

    

    

  • 错误指控: 丹佛警方使用Flock摄像头数据错误地指控一名女性盗窃包裹。

    

• 埃文斯顿 (Evanston), 伊利诺伊州: 芝加哥郊区埃文斯顿在发现ICE（移民和海关执法局）未经同意使用其摄像头后，决定移除Flock Safety摄像头。然而，Flock Safety随后重新安装了大部分摄像头，目前埃文斯顿正在花费税款用于法律费用，并用塑料布覆盖摄像头以保护居民。

  

  

  

  

独立研究者与组织的反击 [31:40]

• Deflock项目: 软件工程师Will Freeman创建了Deflock项目，旨在绘制并公开Flock Safety摄像头的部署位置和数量，以提高公众透明度。

  

• Flock Safety的回应:
  • 停止函: Flock Safety向Will Freeman发出了停止函，声称侵犯商标权，试图阻止其公开信息。

    

    

  • CEO的指责: Flock Safety创始人兼CEO Garrett Langley称Deflock为“恐怖组织”，动机是制造混乱，将其与“Antifa”相提并论。
  • 个人经历: 视频制作者在研究和拍摄摄像头后，曾有警察到访其家中，询问奇怪问题，导致其家人和邻居不安。

4. 寻求妥协方案 [37:38]

提案：强制独立安全审计 [37:41]

• 对私人公司的要求: 提议私人公司如果希望向政府提供与国家安全、公共监控或公共司法系统数据处理相关的服务，必须支付申请费。

  

• 资助独立研究团队: 该申请费将用于聘请一小批经过审查、与服务或产品无关联的独立安全研究人员。

  

• 理由: 就像开设理发店需要执照、麦当劳需要健康检查、驾驶汽车需要通过驾驶测试一样，向政府提供敏感监控服务的公司也应接受严格审查。
• 呼吁行动: 鼓励公众联系立法者、参议员和州检察长，提出相同的提案。

隐私的重要性 [40:35]

• 非党派议题: 强调这不是一个左派与右派、共和党与民主党或情感与逻辑的问题，而是权威主义与个体权利的问题。
• 隐私即力量: 隐私是一种力量，能够增加个人对自己命运的掌控。
• 未来的风险: 今天的普遍监控在未来可能会带来不可接受的后果，因为它可能被用于追踪移民、寻求堕胎的女性，或在疫情封锁期间的行动等。
• 公民声音: 呼吁公民发声，拒绝为一个未经充分审查以保护其安全和隐私的营利性公司追踪其一举一动买单。