2016年-艾瑞咨询_360研究报告：国内智能家庭摄像头安全状况评估_15页_3mb

国内智能家庭摄像头安全状况评估报告总结

核心内容

本报告对国内智能家庭摄像头的安全状况进行了全面分析，揭示了当前智能家庭摄像头在安全方面的诸多隐患，包括隐私泄露、传输未加密、人机识别机制缺失、设备可横向控制、未对启动程序进行保护、缺乏远程更新机制等问题。报告还对多个主流品牌进行了横向测评，总结出五大主要安全隐患，并提出了一系列安全建议。

主要观点

• 智能家庭摄像头是工业安防摄像头发展而来的产物，具有高度的用户交互性，因此其安全防护尤为重要。
• 当前智能家庭摄像头市场参差不齐，厂商类型包括互联网企业、OEM厂商和原生安防企业，各有其优缺点。
• 智能摄像头在隐私泄露、传输加密、身份验证、设备控制、固件更新等方面存在显著的安全风险。
• 360 ADLAB通过逆向分析、测试等方式揭示了智能摄像头的安全问题，并提出了具体的改进方向。

关键信息

1. 安全风险分析

• 用户隐私泄露
  多数智能摄像头缺乏有效的身份验证机制，存在绕过验证控制设备的风险。例如，通过复制 RTSP 地址可直接访问摄像头画面，部分设备在获取 token 后还可查看用户与设备的对应关系。

• 传输未加密
  虽然大部分设备使用 HTTPS 协议，但由于 API 配置不当，攻击者可通过访问 80 端口或通过 APK 逆向分析将 HTTPS 降级为 HTTP，从而获取明文数据。

• 未存在人机识别机制
  在注册、找回密码等流程中，缺乏人机识别机制，使得暴力破解、重放攻击等成为可能。

• 多数智能设备可横向控制
  通过逆向分析和接口测试，发现部分设备的控制标识可被预测，导致黑客可横向控制多个设备。

• 未对启动程序进行保护
  Bootloader 易于被攻击，攻击者可刷入恶意固件。部分设备未对调试接口进行密码保护，导致系统易受入侵。

• 没有远程更新机制
  一旦设备出现漏洞，缺乏远程固件更新机制，无法及时修复，增加用户风险。

2. 横向测评结果

3. 安全隐患统计

• 70% 的智能家庭摄像头 APP 没有进行安全加固，存在隐私泄露或滥用的风险。
• 80% 的智能家庭摄像头设备允许使用弱密码。
• 50% 的智能家庭摄像头与互联网或局域网的通讯没有加密，或加密措施失效。
• 40% 的智能家庭摄像头不存在人机交互措施，无法确认使用者身份。
• 40% 的智能家庭摄像头在更新时没有使用加密。

安全建议

• 购买建议
  购买前调查品牌设备是否存在漏洞，选择口碑好、价格合理的摄像头。

• 使用建议
  设置强密码，及时修改密码，关注软件提醒，定期查看摄像头画面，确保账号安全。

• 行业建议

  • 建立统一的信息安全标准，从全生命周期角度保障摄像头的安全性。
  • 建立安全运营平台，保护用户隐私，及时发现并阻断黑客攻击。
  • 设计并部署安全的远程更新机制，确保漏洞可以及时修补。
  • 增强人机识别机制，防止暴力破解和重放攻击。
  • 对客户端进行安全加固，防止逆向分析和恶意篡改。
  • 采用 HTTPS 加密传输，加强 API 配置安全，防止端口暴露。
  • 对硬件调试接口进行密码保护，防止物理层面攻击。
  • 对启动程序进行保护，防止恶意固件刷入。

结论

智能家庭摄像头作为智能家居的重要组成部分，其安全性直接影响用户的隐私和家庭安全。当前市场上多数产品在安全方面存在明显缺陷，需要厂商重视并改进。通过建立统一的安全标准、加强安全运营和应急响应机制，可以有效提升智能摄像头的安全性，保障用户利益。