Камеры видеонаблюдения компании Flock Safety давно стали предметом споров о приватности: жители городов, где их устанавливают, всё чаще узнают об истинных возможностях этой техники, а истории о злоупотреблениях доступом со стороны сотрудников правоохранительных органов продолжают появляться регулярно. Ситуацию усугубил новый случай — исследователь получил полный дамп содержимого диска одной из камер и поделился находками. Вывод неутешителен: подход компании к защите устройств оказался глубоко несостоятельным.
Android восьмилетней давности
Любопытная деталь: вместо специализированной защищённой прошивки камеры работают на обычном Android, причём на версии 8.1 — операционной системе, выпущенной ещё в 2017 году и давно снятой с поддержки. Символично, что именно в этом году была основана сама компания Flock Safety, хотя это, вероятно, простое совпадение. Как и у любой устаревшей версии массовой операционной системы, у Android 8.1 накопился внушительный список известных уязвимостей — и ни одна из них на этих устройствах не закрыта.
Жёстко прошитый ключ доступа
Устаревшая ОС, впрочем, меркнет на фоне куда более серьёзной находки: в прошивке камер обнаружился жёстко прошитый и полностью открытый API-ключ. С его помощью любой мало-мальски любопытный человек способен получить данные с произвольной камеры сети Flock, зная только её MAC-адрес. От продукта, который позиционируется для использования правоохранительными органами, естественно ожидать внимания к таким базовым основам безопасности, но, судя по всему, этого не произошло.
Неясно, можно ли устранить проблему обновлением прошивки и деактивировать утёкший ключ, не отключая при этом всю сеть устройств — это зависит от того, способна ли компания выкатывать точечные обновления для конкретных камер. В любом случае задача явно не из приятных для той команды, которой предстоит её решать.
Что это значит для будущего слежки
Есть в этой истории и своеобразное утешение: система массового видеонаблюдения на практике оказалась куда менее компетентно защищённой, чем можно было опасаться, и хочется верить, что обнаруженные уязвимости хотя бы отчасти умерят её реальное влияние. Расследование вокруг Flock Safety, судя по всему, продолжится, и новых находок стоит ждать в ближайшее время.
Жёстко прошитый API-ключ и не обновлявшаяся восемь лет операционная система — редкое сочетание для системы, которую рекламируют как инструмент для полиции.
