【大纪元2023年03月16日讯】（大纪元记者黄芸芸、叶泽宇香港综合报导）消费者委员会测试了市面上10款家用监控镜头的网络安全，结果发现只有1款样本符合欧洲的网络安全标准，其余9款均有不同的网络安全隐患，包括没有以加密方式传送影像和资料、未能防御黑客以“暴力攻击”方式破解密码等。
另外，监控镜头的应用程式在储存用户资料方面安全度不足，当中半数样本可透过Android版本应用程式存取用户于智能装置中的档案，而部分应用程式存取的权限亦过多。
消委会促请生产商改善产品的网络安全，例如加入防御暴力攻击的设计及为影片及资料进行数据加密。消费者为监控镜头设定密码时亦要有足够强度并且定期更改，以及善用防火墙及网络监察等功能。
消委会是次测试的10款家居监控镜头样本，售价介乎269至1,888元，全部样本均提供双向语音对话、移动侦测、夜视、语音控制等功能。消委会委托独立实验室参考欧洲标准ETSI EN 303 645及工业标准OWASP MASVS，测试10款样本的网络安全以及硬件设计。
10款监控镜头中，总评分最高的为“arlo”，以5分满分获4分，其“防攻击能力”、“资料传送安全性”、“应用程式安全性”及“硬件设计”均为5分，唯“储存资料保密性”得3分，售价亦是样本中最高为1,888元，而且须另购配件才可把影片储存于USB记忆棒内。其余9款样本的机身设有micro-SD记忆卡内插槽，插入记忆卡便可储存影片。
五款没有加密传送资料
消委会指，监控镜头的应用程式会将拍摄所得的实时动态影像，串流至用户的流动装置，其中4款样本在传输影像时，没有使用“安全即时传输协定” （SRTP），只采用安全性较低的“即时传输协定”（RTP），过程中没有将影片数据加密。该4款样本分别是“imou”（型号：IPC-F88FIP-V2）、“TP – Link”（型号：Tapo C210）、“EZVIZ”（型号：CS-C6）及“D – Link”（型号：DCS-8350LH）。
另外，“reolink”（型号：Argus 3 Pro）连接用家的Wi-Fi无线网络时，是使用“超文本传输协定”（HTTP）传送资料，没有将敏感资料加密，黑客可从普通文字档找到路由器的账户资料。消委建议生产商改用安全性较高的“超文本传输安全协定”（HTTPS）为用户提供更大保障。
四款未能防暴力破解密码
测试发现，有3款样本在进行实时动态影像串流时，黑客可透过自动化工具和程式反复试验所有可能的密码组合，“暴力”破解密码。其中“EZVIZ”和“D – Link”的预设密码只有6位数字或字母，强度非常低，较容易被破解；余下一款则是“eufy”（型号：T8441X）。
消委会提到，“SpotCam”（型号：Solo 2）的样本若以手提电话应用程式登入账户，未有限制可登入次数，黑客可不断地重复尝试登入以获取账户资料。
消委会建议有关生产商为上述4款产品加入防暴力攻击设计，如采用多重认证（multi-factor authentication）及限制尝试密码的次数。
三款重新登入账户时
旧对话金钥仍有效
用户每次登入连接镜头时均会使用相当于临时密码的对话金钥，对话金钥会在中断连接后失效，用户再次登入会用一个新的对话金钥。但测试结果发现，“BotsLab”（型号：P4 Pro）、“ SpotCam”及“reolink”的样本在重新登入连接镜头时，用于上一次连接的对话金钥仍然有效。若黑客偷取旧的对话金钥，即可连接镜头，偷窥影像。
“reolink”于同一手提电话内的应用程式登出账户或登入另一个账户后，仍然可以看到已登出账户所连接的监控镜头拍摄的实时影像，存在安全漏洞。
全部样本应用程式
储存资料安全性不足
消委会又发现，全部样本在应用程式内储存资料时安全性均不足，例如将电邮地址、账户名称或密码等敏感资料储存于普通文字档但没有加密，相关资料要隔一段时间才会移除，存在风险。
另外，5款样本Android版本的内嵌浏览器没有封锁存取档案的权限，包括“imou”、“TP – Link”、“eufy”、“EZVIZ”及“D-Link”，黑客可透过植入程式码存取装置内的档案。此外，有5款样本的手提电话应用程式存取过多权限，装置内的资料有机会外泄，包括“小米Mi”（型号：MJSXJ09CM）、“imou”、“BotsLab”、“eufy”及“EZVIZ”。
消委会又指出，“BotsLab”的Android版本应用程式使用已过时的数据加密标准（Data Encryption Standard，DES），金钥长度较短，只有56位。
学者：只能倚赖生产商
提高产品质素
香港城市大学电子工程系副教授曾剑锋先生认为，部分样本的网络安全问题较大，例如非授权服务器访问、不安全数据传输、不安全数据加密，可能构成私隐泄露、手提电话数据泄露等风险。但家用监控镜头的产品设计及应用程式均由生产商负责，消费者只能倚赖生产商提高产品质素。
消委会建议市民选购家居监控镜头时，不应购买没有品牌或来历不明的产品；有需要监控时才开启镜头及应用程式；设置有足够强调的密码，例如长度不少于8位，并混合大小楷字母、数字及特殊符号，以及定期更改；若监控镜头由专人上门安装，切记在安装后立即更改密码。
此外消费者不应以任何公用及没有管理权限的装置登入账户，亦应避免使用公共Wi-Fi进行监控，以免账户资料被记录及盗取。◇
责任编辑：李薇
