En granskning publicerad av Wired visar hur oberoende säkerhetsforskare har lyckats plocka isär, bakåtkompilera och ta full administrativ kontroll över övervakningskameror från amerikanska Flock Safety. Företagets kameror, som marknadsförs som intelligenta system för automatisk nummerskyltsavläsning (ALPR, Automated License Plate Recognition), har under de senaste åren installerats i tiotusentals korsningar, bostadsområden och motorvägar av både privata samfälligheter och polisiära myndigheter.
Genom att analysera hårdvarans interna kretskort och avläsa minneskretsar via forensiska metoder (digital-evidence) fann forskarna att kamerorna drivs av en oskyddad Linux-distribution. Systemets interna serieportar (UART) lämnades fullt aktiva i produktionsenheter som monterats på publika stolpar. Detta gjorde det möjligt för vem som helst med fysisk åtkomst att ansluta en kabel och erhålla ett interaktivt administratörsskal (root-skal).
Vidare undersökning av minnesinnehållet i enheternas eMMC-flashminnen avslöjade hårdkodade API-nycklar till Flocks molninfrastruktur på Amazon Web Services (AWS) samt okrypterade konfigurationsfiler för LTE-mobilmodemet. Den mest anmärkningsvärda upptäckten rör dock vad enheterna faktiskt samlar in i det dolda. Utöver fotografier av passerande fordons registreringsskyltar fann forskarna att kamerornas bakgrundsprocesser kontinuerligt scannar av det lokala radiospektrumet efter Bluetooth Low Energy-signaler (BLE), fångar Wi-Fi-probe-förfrågningar från förbipasserandes mobiltelefoner samt loggar bildsekvenser på fotgängare och cyklister.
Data aggregeras och strömmas i realtid över mobilnätet till centrala databaser där informationen kopplas samman med tid, geografisk plats och fordonsprofilering (färg, märke och eventuella skador). Avslöjandet har väckt stark kritik från medborgarrättsorganisationer som Electronic Frontier Foundation (EFF), som varnar för att privatpersoners rörelsemönster kartläggs i en massiv kommersiell övervakningsapparat utan domstolsbeslut eller demokratisk insyn.
Forensiska undersökningar av enheternas lokala filsystem visade dessutom att kamerorna saknade certifikatfäste (Certificate Pinning) för sin utgående TLS-kommunikation. Detta innebär att en angripare som etablerar en lokal avlyssningsnod mellan kamerans modem och mobilmasten kan genomföra så kallade man-i-mitten-angrepp (MitM). Dessutom lagras råa videobuffertar och högupplösta stillbilder temporärt i okrypterade kataloger under `/tmp/capture_buffer/` innan de laddas upp till molnet, vilket gör att vem som helst med fysisk tillgång kan kopiera fordons- och personhistorik direkt från minnet.
Viktiga slutsatser för säkerhets- och integritetsexperter
- Fysisk hårdvaruhärdning är avgörande: IoT-enheter och sensorer i publika miljöer måste inaktivera fysiska felsökningsportar (UART, JTAG) och använda hårdvarubaserade säkerhetschip (TPM/Secure Enclave) för att förhindra minnesextraktion.
- Granska leverantörers radiotelemetri: Myndigheter och kommuner som upphandlar smarta kamerasystem måste genomföra oberoende tekniska revisioner av vilka radiosignaler och personuppgifter enheterna faktiskt samlar in.
- Kryptografiskt skydd av lokalt lagrade nycklar: Molnnycklar och databascertifikat får aldrig lagras i klartext på enheter i fält.
- Reglering av rörelsedata: Utredningen understryker det akuta behovet av skärpt lagstiftning kring kommersiella ALPR-databaser för att skydda medborgares rörelsefrihet.
Evidence Rail
- Bekräftat: Säkerhetsforskare har erhållit interaktivt root-skal via fysiska serieportar på fältmonterade Flock Safety-kameror.
- Rapporterat: Wired och EFF rapporterar att enheterna samlar in radiobeacon-telemetri från mobiltelefoner vid sidan av registreringsskyltar.
- Ej bekräftat: Flock Safety hävdar att data är skyddad under transport, men har inte bemött forskarnas fynd om klartextnycklar i flashminnet.
Kort sammanfattning
- Säkerhetsforskare knäckte Flock Safety övervakningskameror via fysiska seriegränssnitt och extraherade okrypterad firmware och molnnycklar.
- Kamerorna fångar i hemlighet radiosignaler från mobiltelefoner samt fotograferar fotgängare utöver fordonsregistreringsskyltar.
- Medborgarrättsorganisationer kräver omedelbar granskning av systemens övervakningsomfång och bristande hårdvaruskydd.