פריצת מצלמות Flock חושפת את הבלוף של עיבוד והצפנה בקצה

אם שמתם מחשב על עמוד ברחוב, מישהו בסוף יבוא עם מברג. חוקרי אבטחה ופעילים מנסים כבר חודשים להבין מה בדיוק עושות אלפי מצלמות המעקב של Flock Safety שמותקנות ברחבי ארצות הברית. עכשיו, תחקיר משותף של 404 Media ו-WIRED חושף את הקרביים של המערכת לאחר שקבוצת האקרים בשם stegan0gram פירקה פיזית מצלמה כזו בג'ורג'יה, שלפה את שבבי האחסון והעתיקה את הקושחה במלואה. הממצאים מראים פער עצום בין ההבטחות השיווקיות על אבטחה הרמטית לבין מה שרץ בפועל על השבב.

מה שבאמת מעניין כאן הוא שאין כאן שום תחכום. המהנדסים של החברה בחרו בקיצורי דרך שמוכרים היטב למי שבונה מכשירי קצה תחת לחץ תקציבי, והמחיר הוא אבטחה שמתפרקת ברגע שלתוקף יש מגע פיזי עם המכשיר.

זה לא היה צריך לקרות.

מפתח הצפנה בתוך התקייה

בדפי ההסבר שלה מדגישה החברה שימוש בטכנולוגיית on-device encryption כדי להרגיע תושבים ורשויות מקומיות. הטענה המרכזית הייתה שגם אם מישהו יפרק מצלמה, הצילומים והווידאו ששמורים בה מוגנים לחלוטין ולא ניתנים לקריאה. ניתוח המחיצות בקושחה שנפרצה הראה מציאות אחרת לגמרי. מערכת ההפעלה של המכשיר מבוססת אנדרואיד, עם מעבד של סמארטפון ביניים, וכוללת מספר מחיצות דיסק. בעוד שחלק מהמחיצות הרגישות אכן נותרו מוצפנות ולא נגישות, שתי מחיצות קריטיות בשם vendor ו-media הושארו ללא הצפנה כלל.

בתוך אותה מחיצת מדיה פתוחה, ההאקרים מצאו את מפתח הפענוח עצמו. באמצעות המפתח הזה הם שחררו וצפו בעשרות אלפי קובצי וידאו של כלי רכב שחלפו בכביש, כולם ברזולוציה של 1024 על 768 פיקסלים בפורמט mp4. כשמפתח ההצפנה יושב לצד המידע המוצפן על אותו פלאש, המילה הצפנה הופכת לבדיחה על חשבון הלקוח. בחברה טענו בעבר בתגובה למחקרים כי מידע נשמר על המכשיר רק לזמן קצר ואינו נגיש פיזית, אך הקבצים שנשלפו הוכיחו שהווידאו נשאר מקומית זמן רב.

למה רק להרוס אותן כשאנחנו יכולים לבצע הנדסה לאחור ולמצוא את הסודות של מי שמרגל אחרינו? שחררנו חומרה בשטח, נטרלנו אותה והמשכנו להנדסה לאחור של המצלמות וציוד הסולאר.אחד מחברי קבוצת stegan0gram בראיון ל-404 Media

מי מעבד מה

אחת השאלות המרכזיות בארכיטקטורת IoT היא חלוקת העומסים בין הקצה לענן. המצלמה של Flock מריצה כ-20 אפליקציות ייעודיות של החברה מעל אנדרואיד. תפקידן לזהות תנועה, להפעיל מצלמה ברצף מהיר של פריימים בחשיפות שונות, ולסווג אובייקטים ראשוניים באמצעות מודלים מקומיים. המודל שרץ על המעבד מחפש באופן מפורש כלי רכב, לוחיות רישוי, אופניים וגם הולכי רגל. כאשר המודל מזהה אדם, הוא מתעד את המיקום שלו בפריים ואת רמת הוודאות של הזיהוי.

עם זאת, פענוח הטקסט של לוחית הרישוי, זיהוי צבע הרכב, היצרן והדגם אינם מתבצעים על המכשיר. המצלמה גוזרת תמונות סטילס נבחרות ושולחת אותן ברשת סלולרית לענן של החברה, ושם מופעלים המודלים הכבדים של ה-ALPR. בניגוד לחששות מסוימים, החוקרים לא מצאו ראיות למודלים פעילים של זיהוי תווי פנים בקושחה המקומית, מעבר ליכולות המובנות של מערכת ההפעלה אנדרואיד שנותרו כבויות. המעקב אחרי אנשים קיים ברמת הסיווג הכללי כהולך רגל, אך לא ברמת הפרצוף.

מדבקה במקום לוחית רישוי

היומנים שחולצו מהמכשיר חושפים עומס עבודה עצום לצד כשלים אלגוריתמיים בסיסיים. בתוך פרק זמן של 21 ימי פעילות, מצלמה בודדת תיעדה 50,200 כלי רכב וייצרה 1.6 מיליון תמונות. ממוצע יומי טיפוסי עמד על 3,300 כלי רכב. כל מעבר של מכונית יצר מטח של כ-28 תמונות, ובמקרים מסוימים מעל 100 פריימים. כדי להתמודד עם המידע, מודל הגזירה המקומי פשוט תופס כל מה שנראה לו כמו טקסט מלבני. בניתוח התמונות התברר שהמודל גזר שוב ושוב מדבקות פגוש, מסגרות של סוכנויות רכב, ואפילו פאץ' של דגל ארצות הברית על תיק של רוכב אופנוע, וסיווג אותם כלוחיות רישוי פוטנציאליות שנשלחו לענן.

הצפת התמונות הזו הביאה לקריסה של מערך ה-I/O המקומי. בקבצי הלוג של המצלמה נרשמו יותר מ-27,000 שגיאות של חוסר מקום באחסון בזמן ניסיון לשמור תמונות מלאות, שלוו בעשרות אלפי קריסות ואיתחולים מחדש. מתכנתי המערכת אפילו הטמיעו הודעות בדיקה היתוליות בלוגים, כמו קריאה של כל שתי דקות עם המשפט Who's a good boy, או הודעת פרידה בספרדית לפני ריבוט יזום של השירות. ההומור אולי נחמד, אבל התשתית בבירור לא עמדה בקצב הכתיבה.

מעין הנץ ועד ג'ורג'יה

בישראל מצלמות Flock אינן פועלות, אך הטכנולוגיה מקבילה לחלוטין למה שמוכר כאן ממערכת עין הנץ המשטרתית. הוויכוחים הציבוריים והמשפטיים סביב עין הנץ נגעו בעיקר לפגיעה בפרטיות של נהגים תמימים. עם זאת, המודל האמריקאי של Flock מסוכן בהרבה מבחינה מבנית. בעוד שעין הנץ פועלת כמערכת ממשלתית סגורה יחסית, Flock מפעילה רשת שיתוף ארצית שמחברת תחנות משטרה, שדות תעופה וגופים פדרליים. תחקירים קודמים כבר חשפו שוטרים שביצעו חיפושים ארציים ללא סמכות או עבור רשויות הגירה.

למהנדסי חומרה וקוד שעוסקים בראייה ממוחשבת בקצה, המקרה של Flock מספק שיעור חיוני. אם אין לכם רכיב חומרה ייעודי לאבטחה כמו TPM או Secure Enclave שמבודד מפתחות מהזיכרון הראשי, כל הצהרה על הצפנה בקצה היא אשליה. ברגע שמכשיר חשוף פיזית בשטח, מחיצה לא מוצפנת ומפתח מקומי הופכים כל מצלמה לתחנת איסוף מודיעין עבור מי שמחזיק סולם ומברג. התוכנה של המצלמה נפרדה מהעמוד עם ברכת פרידה בספרדית, והשאירה לחברה כאב ראש רגולטורי שעדכון תוכנה פשוט יתקשה מאוד לתקן.

לא הייתי ממהר לבנות ככה מערכת שטח.