Flockカメラにハードコードされた認証情報と脆弱性が続々発覚
Flock cameras are riddled with security vulnerabilities and hardcoded creds
DDoSecretsが公開したFlock ALPRカメラのファームウェア解析により、Android 8.1やLinux 3.18.71といったサポート終了済みOSの使用、APIキーのハードコード、Auth0のクライアントIDとシークレットの平文保存が明らかになった。これらの認証情報を使えば任意のカメラのMACアドレスからバックエンドにアクセスできる可能性がある。
「Flockカメラをただ破壊するよりも、リバースエンジニアリングして、私たちを監視している者たちの秘密を暴こうではないか」と、あるハッカーは404 MediaとWiredのインタビューで語った。
- zeech
この投稿が取り上げている記事についての議論はこちら: https://news.ycombinator.com/item?id=49726586
- autoexec
認証情報をハードコードするのは、完全に無能の証拠だ。このケースでは少なくともパスワードではなく、認証情報（平文で保存されている）を要求するために使えるAPIキーだった。それはFlockのサーバーへのアクセス権を得られそうに見える。ハードコードされた管理者パスワードほど悪くはないし、カメラとして認証に成功したとして具体的に何ができるかは不明だが、それでも十分に心配だ。Flockのシステムには十分な数の脆弱性が見つかっているので、彼らがセキュリティに関心がないことは明らかであり、我々のプライバシーやセキュリティを全く気にかけていないことも明白だ。
たとえアメリカ国民に対するこのレベルの大規模監視を許容すると決めたとしても、Flock Safety/Flock Groupは、それを実装するに値しないし、信頼されるべきでもないことをすでに示している。
- asveikau
ざっと見た限りでの要約、最悪の2点:
* おそらく2018年と2021年にパッチが当てられたCVEに対して脆弱。
* 自身のMACアドレスのみに基づいて、外部に通信するためのAPIキーを生成する。