En granskning publicerad av Wired visar hur oberoende säkerhetsforskare har lyckats plocka isär, bakåtkompilera og ta full administrativ kontroll över övervakningskameror från amerikanska Flock Safety. Företagets kameror, som marknadsförs som intelligenta system för automatisk nummerskyltsavläsning (ALPR, Automated License Plate Recognition), har under de senaste åren installerats i tiotusentals korsningar, bostadsområden og motorvägar av både privata samfälligheter og polisiära myndigheter.
Genom at analysera hårdvarans interna kretskort og avläsa minneskretsar via forensiska metoder (digital-evidence) fann forskarna at kamerorna drivs av en oskyddad Linux-distribution. Systemets interna serieportar (UART) lämnades fullt aktiva i produktionsenheter som monterats på publika stolpar. Detta gjorde det möjligt för vem som helst med fysisk adgang at ansluta en kabel og erhålla ett interaktivt administratörsskal (root-skal).
Vidare undersökning av minnesinnehållet i enheternas eMMC-flashminnen avslöjade hårdkodade API-nycklar till Flocks molninfrastruktur på Amazon Web Services (AWS) samt okrypterade konfigurationsfiler för LTE-mobilmodemet. Den mest anmärkningsvärda upptäckten rör dock vad enheterna faktiskt samlar in i det dolda. Utöver fotografier av passerande fordons registreringsskyltar fann forskarna at kamerornas bakgrundsprocesser kontinuerligt scannar av det lokala radiospektrumet efter Bluetooth Low Energy-signaler (BLE), fångar Wi-Fi-probe-förfrågningar från förbipasserandes mobiltelefoner samt loggar bildsekvenser på fotgängare og cyklister.
Data aggregeras og strömmas i realtid över mobilnätet till centrala databaser där informationen kopplas samman med tid, geografisk plats og fordonsprofilering (färg, märke og eventuella skador). Avslöjandet har väckt stark kritik från medborgarrättsorganisationer som Electronic Frontier Foundation (EFF), som advarer för at privatpersoners rörelsemönster kartläggs i en massiv kommersiell övervakningsapparat utan domstolsbeslut eller demokratisk insyn.
Forensiska undersökningar av enheternas lokala filsystem visade dessutom at kamerorna saknade certifikatfäste (Certificate Pinning) för sin utgående TLS-kommunikation. Detta innebär at en angribere som etablerar en lokal avlyssningsnod mellan kamerans modem og mobilmasten kan genomföra så kallade man-i-mitten-angrepp (MitM). Dessutom lagras råa videobuffertar og högupplösta stillbilder temporärt i okrypterade kataloger under `/tmp/capture_buffer/` innan de laddas upp till molnet, vilket gör at vem som helst med fysisk tillgång kan kopiera fordons- og personhistorik direkt från minnet.
Viktiga slutsatser för säkerhets- og integritetsexperter
- Fysisk hårdvaruhärdning er avgörande: IoT-enheter og sensorer i publika miljöer måste inaktivera fysiska felsökningsportar (UART, JTAG) og använda hårdvarubaserade säkerhetschip (TPM/Secure Enclave) för at forhindre minnesextraktion.
- Granska leverantörers radiotelemetri: Myndigheter og kommuner som upphandlar smarta kamerasystem måste genomföra oberoende tekniska revisioner av vilka radiosignaler og personuppgifter enheterna faktiskt samlar in.
- Kryptografiskt skydd av lokalt lagrade nycklar: Molnnycklar og databascertifikat får aldrig lagras i klartext på enheter i fält.
- Reglering av rörelsedata: Utredningen understryker det akuta behovet av skärpt lagstiftning kring kommersiella ALPR-databaser för at skydda medborgares rörelsefrihet.
Evidence Rail
- Bekräftat: Säkerhetsforskare har erhållit interaktivt root-skal via fysiska serieportar på fältmonterade Flock Safety-kameror.
- Rapporterat: Wired og EFF rapporterar at enheterna samlar in radiobeacon-telemetri från mobiltelefoner vid sidan av registreringsskyltar.
- Ej bekräftat: Flock Safety hävdar at data er skyddad under transport, men har ikke bemött forskarnas fynd om klartextnycklar i flashminnet.
Kort sammanfattning
- Säkerhetsforskare knäckte Flock Safety övervakningskameror via fysiska seriegränssnitt og extraherade okrypterad firmware og molnnycklar.
- Kamerorna fångar i hemlighet radiosignaler från mobiltelefoner samt fotograferar fotgängare utöver fordonsregistreringsskyltar.
- Medborgarrättsorganisationer kræver omedelbar granskning av systemens övervakningsomfång og bristande hårdvaruskydd.