Flock 摄像头漏洞与硬编码凭证曝光
Flock cameras are riddled with security vulnerabilities and hardcoded creds
黑客组织 stegan0gram 获取了 Flock ALPR 摄像头的文件系统镜像，我对此进行了深入分析。发现该设备运行着已停止支持的 Android 8.1 和过时的 Linux 内核，存在多个严重安全漏洞。更令人震惊的是，固件中硬编码了 API 密钥和 Auth0 凭证，攻击者可能利用这些凭证获取任意 Flock 摄像头的访问权限。日志数据还揭示了该摄像头位于 Milwaukee 郊区的具体位置。这一事件再次提醒我们，智能监控设备的隐私与安全问题不容忽视。
既然可以摧毁这些 Flock 摄像头，为什么不逆向工程它们，找出那些监视我们的秘密呢？
- zeech
关于本贴所讨论文章的讨论：https://news.ycombinator.com/item?id=49726586
- autoexec
硬编码凭证是彻底无能的表现。在这个案例中，至少不是密码，而是一个 API 密钥，它可以用来请求凭证（以明文存储），看起来这些凭证能让你访问 Flock 的服务器。这虽然不像硬编码的管理员密码那么糟糕，而且如果你成功以摄像头身份认证，具体能做什么也不清楚，但这已经足够令人担忧了。Flock 的系统中已经发现了足够多的漏洞，这清楚地表明他们并不关心自己的安全性，而且显而易见，他们完全不在乎我们的隐私或安全。
即使我们决定这种针对美国公众的大规模监控是可以接受的，Flock Safety/Flock Group 也已经证明他们无法、也不应该被信任去实施它。
- asveikau
快速浏览后的简版总结，最糟糕的两点：
* 可能容易受到 2018 年和 2021 年已修复的 CVE 漏洞攻击。
* 仅根据其自身的 MAC 地址生成用于回传数据的 API 密钥。