研究發現iLinkP2P存在缺陷暴露數以百萬計的攝像頭可被用於監視

新的研究發現全球超過數百萬的攝像頭和其他消費類電子產品中，使用的通信技術存在幾個關鍵的安全漏洞。

這幾個關鍵漏洞可以讓任何人直接利用這些攝像頭進行監視，或者竊取其他物聯網設備的憑據和遠程攻擊等。

存在缺陷的主要原因是這些物聯網設備使用名為iLinkP2P的軟件，這是基於P2P對等協議開發的訪問類程序。

這款軟件可以利用協議讓用戶在全球任意區域輕鬆進行遠程訪問，所以該軟件也被預裝在無數物聯網設備中。

約200萬臺物聯網設備可以公開訪問：

研究人員統計後發現全球約有兩百萬臺物聯網設備安裝該軟件，因此基於安全漏洞可被攻擊者直接遠程訪問。

使用該軟件的產品通常會在設備底部貼有條形碼，使用公開的配套軟件掃描條形碼或輸入編號即可遠程連接。

遺憾的是此軟件不提供身份驗證加密，因此只要攻擊者採取枚舉手段猜測設備編號即可與目標設備建立連接。

而大部分的受影響設備由深圳海芯微視生產，使用的編號前綴包括FFFF/GGGG/HHHH/IIII/MMMM/ZZZZ。

研究人員製作的概念驗證腳本在上月檢測發現約151 萬臺設備在線，枚舉其他編號後這個數字擴大到200萬。

中國和歐洲受影響最嚴重：

通報漏洞後沒有獲得廠商迴應：

研究人員表示儘管已經通知軟件開發商和硬件製造商但都沒有獲得迴應，尚不清楚開發商是否知道漏洞存在。

同樣的基於無法聯繫開發商和製造商所以研究人員準備先公開安全報告，然後繼續評估這些漏洞的潛在危害。

很難說研究人員是否會公開漏洞細節和驗證腳本等，至少從危害方面說研究人員暫時還沒有準備公開的想法。

若設備帶有類似下圖的UID編號即受影響：

危害太大基本沒辦法修復：

這些物聯網設備想要升級固件本身已經不同意，同時每個設備分配的串號等已經在生產過程中進行永久寫入。

另外即便發佈新版本固件進行修復但是絕大多數用戶也不會升級，這個在物聯網領域是非常非常普遍的問題。

而尋求製造商召回設備成本太高更不可能用這種方式，總體來說想要成功解決這個安全事件基本沒有好辦法。

為什麼不要購買物聯網設備這就是原因：

在過去幾年我們已經多次提到物聯網設備的安全性，物聯網設備安全性在消費類電子產品裡應該算是最差的。

主要原因是物聯網設備進行升級的概率太低，而這類電子產品都有固件驅動因此存在著安全漏洞也是必然的。

然而一旦出現安全漏洞就意味著用戶不再安全，攻擊者可以通過這類設備完整入侵家庭或公司網絡進行作惡。

這次的iLinkP2P漏洞也同樣如此，攻擊者連接攝像頭可以直接進行監視，而多數用戶也不會發現自己被監視。

搭載該軟件的攝像頭既有公共攝像頭也有家用攝像頭，因此帶來的潛在危害非常大，除非用戶停用這些設備。

關注藍點網頭條號不迷路，Windows 10、科技資訊、軟件工具、技術教程，盡在藍點網。藍點網，給你感興趣的內容！感謝打賞支持！