15萬攝像頭遭入侵，特斯拉上海倉庫也中槍，只因管理員密碼就發(fā)在網(wǎng)上

夢晨 2021-03-15 13:19:50 來源：量子位

一群黑客攻擊了15萬個(gè)攝像頭。

受害者包括特斯拉，世界各地的醫(yī)院、學(xué)校、警察局，還有提供這些攝像頭的公司自己。

被曝光的畫面中包括特斯拉在上海的倉庫，黑客團(tuán)體聲稱，他們掌握了222個(gè)來自特斯拉各地工廠和倉庫的攝像頭訪問權(quán)限。

黑客從這些攝像頭中還看到了：

8名醫(yī)院工作人員將一名患者固定在病床上；

警察正在審問帶著手銬的犯人；

監(jiān)獄的攝像頭隱藏在通風(fēng)口和恒溫器中；

……

△圖源：Bloomberg

這些攝像頭都由硅谷初創(chuàng)公司Verkada提供，該公司于2020年1月獲得8000萬美元投資，估值達(dá)16億美元。

而據(jù)彭博社最新的爆料，甚至Verkada的員工，就直接掌握著窺視用戶的管理員密碼。

黑入方法令人噴飯

黑入如此規(guī)模的監(jiān)控網(wǎng)絡(luò)需要什么樣的技術(shù)？

真相讓人哭笑不得。

據(jù)國際黑客組織APT-69420聲稱，他們只是找到了Verkada服務(wù)器上公開存儲(chǔ)的用戶名和密碼。

Verkada把密碼寫在了持續(xù)集成工具Jenkins所用插件的Python腳本里。

登入維護(hù)用的Web應(yīng)用后就有了超級(jí)管理員權(quán)限，不需要任何進(jìn)階的黑客知識(shí)。

只需要鼠標(biāo)點(diǎn)擊就可以訪問任何一個(gè)客戶的攝像頭，甚至可以在攝像頭上執(zhí)行自己的代碼。

除了實(shí)時(shí)監(jiān)控畫面，黑客還可以獲取全部視頻存檔，其中部分含有音頻，全都是4k高清分辨率。

黑客還找到了Verkada的全球客戶資料和財(cái)務(wù)報(bào)表。以及聲稱通過維護(hù)用的后門侵入了CloudFlare和特斯拉公司的內(nèi)部網(wǎng)絡(luò)。

Verkada公司負(fù)責(zé)人稱已采取措施禁用了所有內(nèi)部管理員賬戶，以防止任何未經(jīng)授權(quán)的訪問。公司內(nèi)部的安全團(tuán)隊(duì)和外部安全公司正在調(diào)查此次事件的規(guī)模和范圍。

之后黑客已失去所有訪問權(quán)限。

其他受到影響的公司和組織均拒絕發(fā)表評(píng)論。

Verkada的攝像頭產(chǎn)品與他們的云服務(wù)是強(qiáng)制綁定的。客戶如果切斷攝像頭與服務(wù)器的網(wǎng)絡(luò)連接就無法繼續(xù)使用。

而且許多企業(yè)客戶提前交了多年的服務(wù)費(fèi)，根據(jù)合同Verkada不會(huì)提供退款。

公司內(nèi)部亂象頻出

Verkada的超級(jí)管理員權(quán)限平時(shí)用于調(diào)試產(chǎn)品以及解決客戶的售后問題。

當(dāng)一名員工申請(qǐng)?jiān)L問客戶的攝像頭時(shí)，需要提交這樣做的理由，并被系統(tǒng)記錄到日志里。

但這些日志根本沒人查看，黑客在兩天時(shí)間進(jìn)行了各種操作都沒有被發(fā)現(xiàn)。

Verkada為客戶提供了一種 “隱私模式”，可以拒絕自己的攝像頭被工作人員查看。但超級(jí)管理員權(quán)限可以直接關(guān)閉該功能。

據(jù)黑客披露，系統(tǒng)內(nèi)部還有許多員工的賬戶擁有查看所有客戶的任何一個(gè)攝像頭的權(quán)限。

Verkada前員工也證實(shí)了這個(gè)說法，有超過100名員工擁有這樣的權(quán)限，甚至包括實(shí)習(xí)生。

諷刺的是，該公司還曾抨擊過其競爭對(duì)手ONVIF的安全協(xié)議“是業(yè)界最危險(xiǎn)的”。

除安全協(xié)議不完善以外，該公司的管理也出現(xiàn)問題。

19年發(fā)生過銷售總監(jiān)用辦公室攝像頭的面部識(shí)別技術(shù)偷拍女員工照片，發(fā)到公司Slack頻道上并進(jìn)行性騷擾的行為。

之后Verkada對(duì)涉事員工的處罰只是讓他們選擇被開除或是減少期權(quán)。3人均選擇留在公司并減持期權(quán)。

我們真的需要云監(jiān)控嗎？

Verkada公司將所有監(jiān)控?cái)?shù)據(jù)儲(chǔ)存在云上。除了基礎(chǔ)的監(jiān)控外，Verkada還提供人員搜索服務(wù)。

可以根據(jù)性別、衣服顏色等特征以及面部識(shí)別來過濾攝像頭中出現(xiàn)的人。

這給云監(jiān)控系統(tǒng)賦予了強(qiáng)大、易用的功能，一旦被侵入也能造成更多的危害。

本次事件的黑客給出的建議是：

我不喜歡任何形式的監(jiān)控，但如果你非要安裝監(jiān)控的話，請(qǐng)不要使用那些風(fēng)投資助的創(chuàng)業(yè)公司的集中式云平臺(tái)，這些公司的銷售比客戶還多，除了利潤之外什么都不關(guān)心。

事實(shí)上這并非云監(jiān)控系統(tǒng)第一次出現(xiàn)問題。

2017年的360水滴攝像頭就因擅自將公共場所監(jiān)控拍到的視頻在旗下平臺(tái)進(jìn)行直播的問題引起爭議，最終直播平臺(tái)關(guān)閉。

去年1月，小米攝像頭也因隱私泄露問題導(dǎo)致小米的所有智能家居產(chǎn)品被谷歌封禁。

微觀來說，攝像頭是否應(yīng)該接入云？

宏觀來說，便利、安全重要還是隱私重要？

都是我們這個(gè)時(shí)代需要解決的問題。

黑客是何方神圣？

Tillie Kottmann，一名瑞士開發(fā)者，是這次事件的主要負(fù)責(zé)人，自稱為女性。

她曾在去年8月入侵過英特爾并泄露20GB的機(jī)密文件。

更早的時(shí)候她還通過安全性不高的DevOps應(yīng)用從微軟、任天堂、迪士尼、摩托羅拉等其他公司的網(wǎng)絡(luò)中提取出了大量源代碼和機(jī)密資料。

其中任天堂的源代碼和開發(fā)庫泄密因規(guī)模龐大被稱為任天堂GigaLeak事件。

△被泄露的未公開角色設(shè)定“老年耀西”

目前Kottmann用于發(fā)布泄露信息的Twitter賬號(hào)已被封禁。

根據(jù)最新消息，瑞士當(dāng)局突擊搜查了Kottmann的住處并沒收了她的設(shè)備。

根據(jù)彭博社的說法，這次搜查與Verkada事件無關(guān)，而是因?yàn)镵ottmann“涉嫌參與去年發(fā)生的黑客攻擊”。

Kottmann父母的家也被瑞士警方搜查，她在網(wǎng)上表示：“不要和我談?wù)撊魏畏欠ɑ顒?dòng)或犯罪。我近期不打算再做任何非法的事情?！?/p>