現(xiàn)實(shí)版《楚門(mén)的世界》，攝像頭為何成罪惡的根源

 

例如，2016 年 12 月，多款 Sony 品牌智能攝像頭型號(hào)后門(mén)賬號(hào)漏洞被發(fā)現(xiàn)。其部分?jǐn)z像頭原固件中包含兩個(gè)經(jīng)過(guò)硬編碼且永久開(kāi)啟的賬號(hào)，可用來(lái)開(kāi)啟遠(yuǎn)程登錄訪問(wèn)并完全操控。該漏洞被 CNVD 評(píng)級(jí)為“高危”，影響 Sony 公司近 80 款攝像頭產(chǎn)品。

 

C 端市場(chǎng)混戰(zhàn)

安全隱患現(xiàn)狀不僅是技術(shù)問(wèn)題，也是市場(chǎng)低水平競(jìng)爭(zhēng)的惡果。

 

過(guò)去十年，中國(guó)是監(jiān)控?cái)z像頭數(shù)量增長(zhǎng)最快的國(guó)家。根據(jù)現(xiàn)有安裝規(guī)劃，中國(guó)攝像頭數(shù)量將在未來(lái)三年攀升至 6.26 億個(gè)。美國(guó)平均每千人配備約 96 個(gè)監(jiān)控?cái)z像頭,英國(guó)為 75 個(gè)，而中國(guó)攝像頭密度較高的城市,目前每千人配備的攝像頭數(shù)量不到 40 個(gè)。

 

但事實(shí)上，中國(guó)監(jiān)控?cái)z像頭領(lǐng)域存在著兩個(gè)格局迥異的市場(chǎng)，一個(gè)以 B 端客戶為主，另一個(gè)市場(chǎng)以家庭、小商戶等 C 端客戶為主。兩個(gè)市場(chǎng)成熟階段不同、參與主體不同，其對(duì)待安全問(wèn)題的姿態(tài)也差異明顯。

 

B 端市場(chǎng)得益于天網(wǎng)工程、智慧交通等工程，以及各行業(yè)對(duì)攝像頭的需求，歷經(jīng)十年發(fā)展，處于相對(duì)成熟階段。目前形成?？低?、大華股份、宇視科技三家龍頭企業(yè)主導(dǎo)的市場(chǎng)格局，三家占據(jù) 50%左右的市場(chǎng)份額，在全球視頻監(jiān)控廠商排名中也位列第一、第二和第七。隨著市場(chǎng)集中度的提高，近兩年，B 端市場(chǎng)上的安防龍頭廠商紛紛組建安全團(tuán)隊(duì)，在安全措施上投入大量成本。原因在于，一是 B 端市場(chǎng)客戶本身就對(duì)于產(chǎn)品安全性的訴求強(qiáng)烈；二是 B 端市場(chǎng)進(jìn)入相對(duì)成熟的階段，安防龍頭企業(yè)做大后，一旦出現(xiàn)安全問(wèn)題容易演化成黑天鵝事件；三是近年來(lái)中國(guó)安防龍頭企業(yè)紛紛開(kāi)始海外業(yè)務(wù)擴(kuò)張，海外市場(chǎng)對(duì)于安全問(wèn)題的重視倒逼企業(yè)提高安全標(biāo)準(zhǔn)。

 

C 端市場(chǎng)則是另一幅景象。C 端市場(chǎng)隨著智能家居等新概念于 2015 年前后興起，產(chǎn)品主要用于家庭看護(hù)，以高性?xún)r(jià)比、科技感為特點(diǎn)。這一市場(chǎng)正處于發(fā)展初期，數(shù)千家企業(yè)參與其中混戰(zhàn)，近年來(lái)在低價(jià)攝像頭市場(chǎng)上的競(jìng)爭(zhēng)激烈，導(dǎo)致部分品牌在安全成本方面的投入存在壓力，加劇安全隱患。

 

一名行業(yè)人士介紹，C 端市場(chǎng)需求巨大，其公司旗下的一款智能攝像頭曾出現(xiàn)上線 3 秒售罄的情形。各方仍在爭(zhēng)奪新增市場(chǎng)份額，市場(chǎng)規(guī)模每年以 50%以上速度增長(zhǎng)，市場(chǎng)競(jìng)爭(zhēng)維度主要是功能、性?xún)r(jià)比和產(chǎn)品顏值。

 

需求巨大、缺乏行業(yè)準(zhǔn)入門(mén)檻的 C 端攝像頭市場(chǎng)吸引大量廠商參與其中，按其背景可分為三類(lèi)勢(shì)力：傳統(tǒng)安防廠商的 C 端產(chǎn)品、互聯(lián)網(wǎng)企業(yè)的智能硬件設(shè)備，以及數(shù)量眾多的貼牌山寨廠商。

 

前瞻產(chǎn)業(yè)研究院在一份行業(yè)報(bào)告中認(rèn)為，視頻安防低端的設(shè)備技術(shù)含量較低，進(jìn)入門(mén)檻也較低，從事這類(lèi)硬件生產(chǎn)的企業(yè)因?yàn)橐?guī)模小、技術(shù)含量低，在技術(shù)升級(jí)和價(jià)格戰(zhàn)壓力下生存不易。

 

“B 端客戶的安全敏感性非常高，在招標(biāo)選擇廠商時(shí)會(huì)對(duì)安全標(biāo)準(zhǔn)有著很高的要求。但 C 端客戶是價(jià)格敏感性客戶，更在乎產(chǎn)品的性?xún)r(jià)比。”上述傳統(tǒng)安防廠商安全總監(jiān)告訴記者。

 

但一家生產(chǎn)智能攝像頭的互聯(lián)網(wǎng)企業(yè)則表示，其實(shí)他們?cè)跀z像頭的安全保障方面比傳統(tǒng)廠商更有優(yōu)勢(shì)。

 

傳統(tǒng)安防廠商的安全能力長(zhǎng)板在于生產(chǎn)端的供應(yīng)鏈管理，互聯(lián)網(wǎng)企業(yè)的安全能力長(zhǎng)板在于網(wǎng)絡(luò)安全維護(hù)能力，問(wèn)題在于智能攝像頭的安全問(wèn)題要補(bǔ)短板，而非拼長(zhǎng)板，因?yàn)槁┒醇劝l(fā)生于軟件，也可能潛藏在硬件中。

 

監(jiān)控?cái)z像頭市場(chǎng)存在兩種生產(chǎn)模式，一是海康威視、大華股份等巨頭廠商通過(guò)自有供應(yīng)鏈體系生產(chǎn)，二是大多數(shù)互聯(lián)網(wǎng)企業(yè)和中小廠商選擇通過(guò)代工廠生產(chǎn)。兩種生產(chǎn)模式有不同的安全短板，自有供應(yīng)鏈體系往往在生產(chǎn)環(huán)節(jié)安全系數(shù)較高，網(wǎng)絡(luò)安全防護(hù)能力較弱；而互聯(lián)網(wǎng)企業(yè)的優(yōu)勢(shì)在于網(wǎng)絡(luò)安全防護(hù)能力較強(qiáng)，通過(guò)代工廠生產(chǎn)卻缺乏對(duì)于生產(chǎn)環(huán)節(jié)安全問(wèn)題的把控。

 

至于山寨貼牌廠商，則在生產(chǎn)端和網(wǎng)絡(luò)端均存在安全短板。

 

360 ADLAB（攻防實(shí)驗(yàn)室）曾發(fā)布《國(guó)內(nèi)智能家庭攝像頭安全狀況評(píng)估報(bào)告》，認(rèn)為許多智能攝像頭存在用戶隱私泄露、未加密數(shù)據(jù)傳輸等九大風(fēng)險(xiǎn)。國(guó)內(nèi)市場(chǎng)價(jià)格競(jìng)爭(zhēng)激烈，安全成本的增加會(huì)直接削弱其價(jià)格競(jìng)爭(zhēng)優(yōu)勢(shì)，一些山寨廠商對(duì)安全性甚至完全不加考慮，這些都是國(guó)內(nèi)智能設(shè)備在安全方面出現(xiàn)如此亂象的主要原因。

 

安全攻防戰(zhàn)

“我們一款攝像頭產(chǎn)品，代碼多達(dá)上百萬(wàn)行，沒(méi)有任何漏洞，怎么可能？”一名杭州的安防從業(yè)者認(rèn)為，安全隱患和漏洞不可避免，企業(yè)也無(wú)奈。

 

“安全漏洞會(huì)永遠(yuǎn)不斷出現(xiàn)，與黑產(chǎn)的較量是永久性博弈。”在上述網(wǎng)絡(luò)安全從業(yè)人士看來(lái)，攝像頭安全現(xiàn)狀的破局，取決于廠商、用戶、監(jiān)管部門(mén)等各方的重視和投入程度，以及各方能否形成一套協(xié)同應(yīng)急機(jī)制。

 

楊衛(wèi)告訴記者，技威時(shí)代發(fā)現(xiàn)旗下應(yīng)用被黑產(chǎn)利用后，立刻對(duì)所有端口和數(shù)據(jù)進(jìn)行排查，并對(duì)應(yīng)用更新迭代，告別已被破解的傳統(tǒng)“ID+密碼”管理設(shè)備的模式。此外，已成立安全項(xiàng)目小組，負(fù)責(zé)網(wǎng)絡(luò)、賬號(hào)、數(shù)據(jù)等方面的安全防護(hù)。

 

在 B 端市場(chǎng)上能夠得到的另一個(gè)啟發(fā)是，2015 年 2 月 27 日，江蘇省公安廳曾發(fā)出特急通知，稱(chēng)江蘇省各級(jí)公安機(jī)關(guān)使用的?？低暠O(jiān)控設(shè)備存在嚴(yán)重安全隱患，部分設(shè)備已經(jīng)被境外 IP 地址控制。?？低暿潞蟪吻?，是由于用戶使用弱口令所致。此事曾引發(fā)安防行業(yè)震動(dòng)，幾家龍頭廠商在事發(fā)后都加強(qiáng)對(duì)安全問(wèn)題的重視和投入，包括組建網(wǎng)絡(luò)安全團(tuán)隊(duì)、強(qiáng)制取消弱口令使用、建立安全事故緊急應(yīng)對(duì)體系等措施。

 

對(duì)于用戶安全意識(shí)的提高，高勝建議，用戶應(yīng)定期修改攝像頭關(guān)聯(lián)的應(yīng)用賬號(hào)密碼，盡量不要將攝像頭直接聯(lián)網(wǎng)或置于私密區(qū)域。不使用時(shí)，要遮擋鏡頭或關(guān)閉電源，非必要時(shí)禁用錄音功能。

 

這一行業(yè)目前還缺乏市場(chǎng)準(zhǔn)入和安全標(biāo)準(zhǔn)。

 

就市場(chǎng)準(zhǔn)入而言，按照公安部和質(zhì)檢總局發(fā)布的《安全技術(shù)防范產(chǎn)品管理辦法》，對(duì)安防產(chǎn)品有三種市場(chǎng)管理方式，即工業(yè)許可證制度、強(qiáng)制安全認(rèn)證制度以及生產(chǎn)登記制度。其中，監(jiān)控?cái)z像頭管理適用生產(chǎn)登記制度，廠家進(jìn)行銷(xiāo)售和安裝業(yè)務(wù)需向當(dāng)?shù)毓矙C(jī)關(guān)申請(qǐng)辦理。企業(yè)需持營(yíng)業(yè)執(zhí)照，法定檢驗(yàn)機(jī)構(gòu)出具的檢驗(yàn)報(bào)告和鑒定證明等，獲得相應(yīng)登記證書(shū)。違反這一制定于 2000 年的規(guī)范，將受到不超過(guò) 3 萬(wàn)元的罰款。

 

但這一標(biāo)準(zhǔn)多針對(duì)傳統(tǒng)安防產(chǎn)品，消費(fèi)類(lèi)智能攝像機(jī)的檢測(cè)和認(rèn)證標(biāo)準(zhǔn)尚未出臺(tái)，即便企業(yè)想要辦理，亦苦于沒(méi)有適用的相關(guān)標(biāo)準(zhǔn)和機(jī)構(gòu)。一位從事智能攝像頭供應(yīng)的安防廠家經(jīng)理告訴記者，他曾向檢測(cè)中心咨詢(xún)，得到“沒(méi)有這方面業(yè)務(wù)”的回復(fù)。

 

據(jù)了解，行業(yè)標(biāo)準(zhǔn)已在路上。鮑逸明表示，公安部第三研究所制定的《智能聯(lián)網(wǎng)產(chǎn)品信息安全技術(shù)規(guī)范》和《網(wǎng)絡(luò)攝像機(jī)產(chǎn)品信息安全技術(shù)規(guī)范》已于 2017 年 10 月份完成向國(guó)家認(rèn)證認(rèn)可監(jiān)督管理委員會(huì)的備案工作，開(kāi)始受理相關(guān)認(rèn)證工作，正在進(jìn)行?？?、大華等廠商的智能攝像頭網(wǎng)絡(luò)安全認(rèn)證。

 

此外，《網(wǎng)絡(luò)攝像機(jī)安全技術(shù)要求》、《物聯(lián)網(wǎng)感知層接入信息網(wǎng)絡(luò)的安全要求》、《聯(lián)網(wǎng)智能終端口令安全技術(shù)規(guī)范》等多個(gè)標(biāo)準(zhǔn)亦正在制定過(guò)程中，為機(jī)構(gòu)開(kāi)展檢測(cè)、認(rèn)證工作提供判定依據(jù)，旨在引導(dǎo)企業(yè)達(dá)到最基本安全要求。

 

打擊黑產(chǎn)和建立行業(yè)標(biāo)準(zhǔn)提高基本安防水平都需時(shí)間，面對(duì)已經(jīng)形成亂象的存量市場(chǎng)，還需提高產(chǎn)品安防能力，以及建立安全響應(yīng)機(jī)制。剛生效半年的《網(wǎng)絡(luò)安全法》要求，網(wǎng)絡(luò)產(chǎn)品、服務(wù)應(yīng)符合相關(guān)國(guó)家標(biāo)準(zhǔn)的強(qiáng)制性要求，采取數(shù)據(jù)加密、分類(lèi)等措施，并在存在安全缺陷和漏洞等風(fēng)險(xiǎn)時(shí)，立即采取補(bǔ)救措施和安全相應(yīng)機(jī)制。

 

隋剛舉例，對(duì)許多未提供遠(yuǎn)程更新功能的智能攝像頭來(lái)說(shuō)，發(fā)現(xiàn)安全漏洞的唯一解決方案是關(guān)閉處理。但許多中小廠家既無(wú)能力更新產(chǎn)品，也無(wú)動(dòng)力召回產(chǎn)品或提示用戶關(guān)閉，只能“放任漏洞存在”。因此他建議，廠商應(yīng)為智能攝像頭提供遠(yuǎn)程更新功能，以便發(fā)現(xiàn)安全隱患及時(shí)消除。

 

隨著物聯(lián)網(wǎng)設(shè)備的普及，智能攝像頭所面臨的黑產(chǎn)和黑客攻擊風(fēng)險(xiǎn)不斷增強(qiáng)，安全攻防戰(zhàn)也將長(zhǎng)久持續(xù)。

 

可以預(yù)見(jiàn)，對(duì)中小廠家來(lái)說(shuō)，達(dá)到市場(chǎng)準(zhǔn)入門(mén)檻、完成安全認(rèn)證并建立安全響應(yīng)機(jī)制，將意味著沉重的負(fù)擔(dān)。上述杭州安防從業(yè)者告訴記者，不久前他們購(gòu)置一套安全標(biāo)準(zhǔn)檢測(cè)工具，耗資上百萬(wàn)美元，對(duì)于許多小廠商和創(chuàng)業(yè)公司而言，安全投入成本難以承受。

 

不過(guò)，隨著企業(yè)加大投入，形勢(shì)可能得到好轉(zhuǎn)。有兩支黑客團(tuán)隊(duì)向記者表示，近兩年來(lái)安全問(wèn)題呈好轉(zhuǎn)的趨勢(shì)，這受益于中國(guó)安防龍頭企業(yè)的市場(chǎng)擴(kuò)大和海外業(yè)務(wù)增加，倒逼企業(yè)提高安全水準(zhǔn)。隋剛也表示，有幾家大廠商已經(jīng)在組建自己的安全團(tuán)隊(duì)。

 

但隨著 5G 和 IPv6 的推行，云端控制的需求會(huì)跟隱私意識(shí)沖突，監(jiān)控?cái)z像頭安全前景仍會(huì)充滿不確定性。