監視カメラ「Flock」に致命的な脆弱性が発覚：ハードコードされた認証情報が放置されていた件

米国の街角などで広く導入されている監視カメラシステム「Flock Safety」において、深刻なセキュリティ上の欠陥が指摘されました。Micah Lee氏による調査レポートによると、このカメラ製品にはハードコードされた認証情報が埋め込まれており、悪意のある第三者が内部システムに不正アクセスできる状態だったとのことです。詳細は以下の調査レポートから確認できます：https://micahflee.com/flock-cameras-are-riddled-with-security-vulnerabilities-and-hard-coded-credentials/

この記事は404mediaとの共同調査によるものだよ。404の記事のディスカッションはこちら：https://news.ycombinator.com/item?id=49726577

Distributed Denial of Secretsがパーティションイメージを公開しているね：https://ddosecrets.org/article/flock-alpr-camera

同時に、約2分おきにコードがカメラの稼働を確認して『いい子だね！』というメッセージをログに書き込んでいたんだ。

ってことは…すべてのデータが文字通り誰でも許可なしに近づいて持ち出せる状態ってこと？

デバイス上でまともに暗号化すらされてないのか？

Flockの言うことなんて全く信用できないな。

分析によると、カメラのログには約21日間のアクティビティが断続的に記録されていた。その期間中、デバイスは約50,200台の車両を撮影し、約160万枚の画像を生成した。通常の1日あたり約3,300台を記録し、最大で4,454台だった。

このカメラがどの州で回収されたのかについての報告はあるの？ニューハンプシャー州には、ヒットしなかったナンバープレートのデータを記録・保存する場合、3分以内に削除しなければならないという厳しいルールがあるんだ [1]。

[1] (N.H. Rev. Stat. § 261:75-b) ALPRシステムに対し、ヒットしなかったプレートデータの3分以内の削除を義務付けている

中国にいる友人がFlockのオーバーレイネットワークを構築して、僕の近くにある約100台のカメラからライブ映像と音声をAWSサーバーに送信し、処理・検索できるようにしてたよ。

これは純粋な怠慢、いわゆるFlock側の『市場投入までの時間の短縮』だな。

適切なセキュアブートのアーキテクチャを考え抜き、開発者の生産性を下げない形でキー管理を実装するには時間と労力がかかるからね。

だけど、製品マネージャーは、セキュリティで保護されていない公共の場所にこれらを設置するということは、脅威モデルの中に物理的なローカルアクセスが確実に含まれるということを認識すべきだった。

市販のハードウェアやソフトウェアスタックを使っている時点で、攻撃者が物理的アクセスを悪用するツールを簡単に手にできることを保証しているようなものだ。

最近カーネルを標的とした脆弱性が相次いでいることを考えると、彼らのWiFi/Bluetoothスタックにも悪用可能な無線経由（OTA）の脆弱性が存在している可能性は高いだろうね。

Stingray（携帯電話の監視装置）を使ってFlockカメラにソフトウェアアップデートを強制することってできないのかな。もしできれば、接続可能なすべてのFlockカメラを文鎮化（brick）できるかもしれない。

もし君が『脆弱性開示ポリシー（VDP）』の目的が、責任あるセキュリティ姿勢をアピールするためだけで、実際には脆弱性について学ぶ気がないようなものを見たいなら、FlockのVDPを読んでみるといい。

彼らは脆弱性の報告を心から歓迎しているよ。ただし、デバイスやサービスと『やり取り』したり、データをダウンロードしたりする必要があるケースを除いてね。その小さな例外以外はすべてOKなんだ。

あ、SSL/TSLのような構成やハードニングの『設定』に関する脆弱性については…残念だけど興味ないから。

それに、DNS設定みたいなインフラの脆弱性も…ノーノー、もっと頑張って。

何考えてるか分かるよ…ハハ…でもうちは善玉だからね。上記のカテゴリーでも脆弱性は報告できるけど、それが重要であると納得させる責任は報告者側にあるから。公平だろ？

https://www.flocksafety.com/legal/vulnerability-disclosure-p...

記事にはFlockが『自社のカメラは顔認識を行っていない』と言っているとあるけど、カメラ単体ではそうかもしれないが、システム全体でそうとは言っていないんだよね。他の連携機能を使えば、顔認識がワンクリックで利用可能になる可能性を否定していない。

法執行機関（LE）に画像を送信するシステムは、実質的に顔認識システムの一部だと断定して間違いないと思う。カメラが人を認識して、後で特定するために意図的に画像を送信していることは今や周知の事実だしね。

ハードコードされた認証情報は無能の証だよ。今回はパスワードじゃなくてAPIキーだったようだけど、それを使ってプレーンテキストで保存された認証情報を要求できるなら、Flockのサーバーにアクセスできてしまう可能性がある。ハードコードされた管理者パスワードほどではないにしても、カメラになりすまして認証に成功した場合に何ができるかは不明確で、十分に恐ろしい話だ。Flockのシステムではこれまでにも十分すぎるほど脆弱性が見つかっていて、彼らがセキュリティに関心がないことは明らかだし、私たちのプライバシーや安全なんて微塵も気にしていないのは明白だ。

たとえアメリカ国民に対するこのレベルの大量監視を受け入れたとしても、Flock Safety/Flock Groupは、自分たちがそれを実装するに足る信頼性がないことをすでに証明している。