黑客攻破Flock摄像头，数据揭露监控真相
Hackers Got Inside a Flock Camera. Its Data Shows How the System Works
黑客组织成功入侵了一台Flock摄像头并提取了其内部数据。泄露的文件包含数千个视频和日志，显示该设备在短短21天内拍摄了160万张图片，涉及5万辆车辆。这些数据不仅揭示了Flock系统的工作原理，还引发了对隐私和监控技术的深刻担忧。尽管摄像头本身不进行面部识别，但其传输的图像可被服务器用于此类分析。这一事件再次提醒我们，智能监控设备背后的数据流动可能远超公众想象。
黑客组织攻陷了一台Flock摄像头，并提取了其内部数据，文件显示该设备在21天内拍摄了160万张图片，涉及5万辆车辆。
HN 评论区
261- vayup
如果你想看看一份“漏洞披露政策”（VDP）长什么样，当它的主要目的只是为了声称“我们有 VDP”并营造一种负责任的网络安全姿态，而实际上并不想真正了解漏洞时——那就去读 Flock 的 VDP 吧。
他们真诚地欢迎你的漏洞披露，除非你需要“与”设备/服务“交互”或下载其数据。除了这个微小的例外，其他一切都没问题。
哦，如果漏洞涉及配置和加固“偏好”，比如 SSL/TLS——抱歉，我们不感兴趣。
还有像 DNS 配置这样的基础设施漏洞——不不，再努力想想。
我知道你在想什么……哈哈……但我们可是好人。你仍然可以报告上述类别的漏洞，但你需要说服我们为什么应该在意它们。这样才公平。
https://www.flocksafety.com/legal/vulnerability-disclosure-p...
- killbot5000
这纯粹是懒惰，也就是 Flock 所谓的“缩短上市时间”。
设计合适的安全启动架构，并以不牺牲开发者生产力方式实施密钥管理，需要时间和努力。
然而，他们的产品经理本应意识到，将这些设备部署在不安全的公共空间，意味着其威胁模型确实包括对一切设备的本地物理访问。
使用现成的硬件和软件栈，几乎可以确保攻击者手边就有利用这种物理访问的工具。
鉴于近期针对内核的诸多利用，他们的 WiFi/蓝牙栈中很可能也存在可被远程利用的漏洞。
- drfloyd51
所以……所有这些数据实际上就是摆在那里，任何未经授权的人都可以走过来拿走。
数据在设备上甚至没有合适的加密吗？
对 Flock 说的任何话都零信任。
- driverdan
这篇报道是 404media 合作完成的。以下是 404 文章的讨论：https://news.ycombinator.com/item?id=49726577
Distributed Denial of Secrets 已发布分区镜像：https://ddosecrets.org/article/flock-alpr-camera
- crumpled
文章提到 Flock 声称“他们的摄像头不进行人脸识别”。
摄像头本身确实不这么做，但他们也没说整个系统不做。他们没说明人脸识别是否只需通过另一个集成点击一下就能实现。
我绝对会认为，任何将你的图像发送给执法部门（LE）的系统，在实际操作中都是人脸识别系统的一部分。我们现在知道，这些摄像头确实能识别人，并有意传输他们的图像以供后续识别。
- petcat
> 根据我们的分析，摄像头日志记录了大约 21 天的活动，涵盖多个时间段。在这些窗口期内，设备拍摄了约 50,200 辆车，生成了约 160 万张图片。在典型的一天里，它记录了约 3,300 辆车，最高达到 4,454 辆。
有没有关于这台摄像头是在哪个州被找回的报道？新罕布什尔州对非匹配车牌数据有严格的 3 分钟规则，要求捕获的图像和记录必须在此期限内删除 [1]。
[1] (N.H. Rev. Stat. § 261:75-b) 要求 ALPR 系统在 3 分钟内删除非匹配车牌数据
- writtenone
我在中国的一位朋友搭建了一个 Flock 覆盖网络，将我家附近约 100 个摄像头的实时视频和音频发送到 AWS 服务器进行处理和搜索。
- phkahler
>> Flock 坚持称其摄像头不进行人脸识别。
可能在技术上是真的。但由于摄像头能识别人，这使得他们的后端系统更容易进行人脸识别。