泄密的“看家神器”

人称“看家神器”的智能摄像头，如今是越来越普及了，小小的摄像头使用成本低廉，作用却不小，因此颇受消费者欢迎，然而质检总局近日发布的智能摄像头质量安全风险监测结果，却显示这小小摄像头的安全风险状况很不乐观，来看记者调查。

小标题一：八成智能摄像头产品不符合标准

正文：经过几个月的风险监测，国家质检总局今日发布智能摄像头产品质量安全风险警示，40批次产品中，竟然有32批次存在不符合项，不符合率高达80%。最终经风险评估专家评估认定，此次智能摄像头产品的风险等级为“高等风险”。

同期：国家通用电子元器件及产品质量监督检验中心安全工程师 李乐言

高等风险意味着+整个产品信息安全问题非常严重。就是说目前正在投入使用的这些摄像头，都是存在相当大的信息安全隐患，还有未来生产的一些摄像头，还没办法进行一个监管，这样一个风险是长期存在的

正文：记者了解到，智能摄像头是一种不需要电脑连接，直接使用Wi-Fi联网的智能家居产品，与智能手机连接后，使用者可以远程随时随地查看家里或商店里的一切，查看老人儿童或员工状况，与家人语音通话，还支持视频分享、报警等功能。近几年，这种以“看家”“看店”为卖点的智能产品在家庭中的应用日益普遍。那么，这种新兴的智能产品到底会存在着什么样的高危安全漏洞呢？

正文：在北京市的几家电子商城，记者发现了多款名为“互联网摄像机”的智能摄像头，销售人员告诉记者，这些摄像头安装简便，使用方便，只要连接了家里的wifi，马上就能远程监控自己家里的情况。

同期：智能摄像头销售人员

简单三步，一分钟完成安装。太简单了

小标题二：电商是智能摄像头主要销售渠道

正文：记者了解到，目前智能摄像头在实体店的产品数量有限，主要的销售渠道在电商网站。记者登录了几家知名电商网站，发现在售的智能摄像头产品多达几十个品牌，价格大多在100到500块钱之间。不少网店的销售动态显示，目前这类产品在网上的人气还很高。多名销售人员告诉记者，因为这类产品需要使用者注册自己的账号密码，而且摄像头的识别数据要跟自己的手机绑定，安全性不成问题，几乎不存在被偷窥的可能。

同期：智能摄像头销售人员

拿你手机号注册账户，它有它的序列号，你拿你的注册号绑定它的序列号，一绑定，就是你的了，别人看不了，你想让谁看，你可以推荐他为好友，他才能看，要不他看不了。

小标题三：记者体验智能摄像头安装过程

正文：记者发现，安全可靠，是绝大多数智能摄像头品牌的宣传关键词。对记者隐私可能泄露的疑问，不少智能摄像头产品的商家表示，手机绑定、密码设定等安装程序已经确保了这类产品的私密性。记者随后购买了几款智能摄像头，体验了一次安装过程。

现场：设备可以连接了，请用摄像头扫描手机二维码，正在连接，可以使用了。

记者：看到了。

正文：记者发现，在注册了云平台账户后，有的智能摄像头使用扫描二维码的方式与记者的手机进行了绑定，有的需要输入摄像头设备的序列号和密码进行绑定。从使用者的角度，记者发现这些个人化的设置，使智能摄像头的隐私安全还是存在一定保障的。那么，国家质检总局在大量监测之后，得到的智能摄像头具有信息安全高等风险的结论，具体体现在哪里呢？记者来到了承担此次风险监测任务的国家通用电子元器件及产品质量监督检验中心。

小标题四：复杂密码仅为最低安全门槛

正文：记者了解到，手机绑定、设置足够复杂的账号密码等方式，只是保障智能摄像头安全的最低门槛，属于智能摄像头的终端安全项目。本次风险监测参考《信息系统安全等级保护基本要求》、《移动智能终端安全能力技术要求》和《移动智能终端安全能力测试方法》等标准要求，共对智能摄像头的终端安全、后端信息系统安全、数据传输安全和移动应用安全等4个方面进行检测。

正文：安全工程师随即对几款智能摄像头进行了数据传输是否安全的测试。根据相关要求，摄像头与接收终端的通信过程应进行数据加密，避免明文传输。而安全工程师测试中发现，用最简单的测试工具就截获了一款智能摄像头的视频数据。

同期：国家通用电子元器件及产品质量监督检验中心安全工程师 李乐言

现在我们通过一个简单的程序，来测试一个未加密的数据，看怎么劫持到的。好我们现在输入摄像头的ID值，现在开始劫持未加密的摄像头的视频，现在已经劫持成功了，我们现在通过一个播放软件来观看实时视频

正文：记者看到，输入截获的数据后，测试环境里的视频图像立即显现在播放软件里。安全工程师告诉记者，这款智能摄像头在使用设置过程中，虽然通过扫描二维码绑定了手机，摄像头的设备绑定具备了一定的强度，但是就是因为采用了未加密的数据传输方式，导致存在极高风险的安全漏洞。

正文：安全工程师透露，相对于通过扫描二维码绑定手机这种方式，不少智能摄像头要求输入的ID号和设备密码，而这样的方式较为原始，问题隐患更大。测试中发现，有的智能摄像头设备密码竟然还不能修改，安全工程师透露，这其实是等于公开了摄像头所在的环境隐私。

同期：国家通用电子元器件及产品质量监督检验中心安全工程师 李乐言

最弱的一个程度就是有些摄像头出厂时密码为123，有些摄像头出厂时密码为空，就是没有密码，没有密码的摄像头甚至还不能修改密码。+043606带来的一个隐患就是摄像头的弱密码就一直暴露在网络中，一旦有人连接它肯定是可以连接上，并且可以远程控制

正文：记者看到的这些智能摄像头，其显示的密码信息要么是简单的密码，要么是密码为空，安全工程师测试后发现，除了要求修改密码的摄像头，其余的智能摄像头产品即使采取了视频加密传输的方式，却因为密码不能修改而被轻易登录，工程师甚至可以远程操控摄像头进行不同视角的窥视。

同期：国家通用电子元器件及产品质量监督检验中心安全工程师 李乐言

这样的情况属于高风险的情况，这样的话就是说不用任何专业工具，普通的消费者就可以通过简单尝试，就可能控制别人的摄像头，那这个隐私（泄露）将是非常严重的一个问题

小标题五：专家提醒：安全的云平台应该做到权限分离

正文：记者了解到，目前的智能摄像头产品，大都是通过其自身或第三方的后端信息系统，也就是云平台来实现远程数据存储、传输，由此可见云平台安全的重要程度。安全工程师告诉记者，一个安全的云平台应该做到权限分离。

同期：国家通用电子元器件及产品质量监督检验中心安全工程师 李乐言

合理的摄像头设定，应该是一个权限隔离，就是摄像头和摄像头之间的话，用户不能查看到别人的摄像头，就是完全的一个权限控制，控制到最小权限范围之内，你只能控制自己的摄像头。就算是非法的技术人员进行专业攻击，来进行试探，也不能攻击到用户的摄像头。

小标题六：多数安全漏洞出现在云平台上

正文：而事实上，测试发现多数的安全漏洞恰恰就出现在云平台上，由于存在权限漏洞，连接同一个云平台的多个智能摄像头的视频数据，存在被同时窃取的可能。安全工程师测试了连接同一云平台，架设在不同环境空间的四款智能摄像头，其中三款摄像头的音视频数据，竟然同时被截获。

同期：国家通用电子元器件及产品质量监督检验中心安全工程师 李乐言

我们又看到这是志愿者家里面的客厅，还有是一个办公场所，总共这三个品牌的摄像头都是共用的一个云平台，并且可以互相越权查看，还可以远程操作。

正文：安全工程师告诉记者，由于存在权限漏洞，即使在不知道这些智能摄像头云平台账号密码的情况下，也实现了对多款摄像头的监控。这意味着连接同一云平台的所有智能摄像头，都存在被窃取隐私的风险。

正文：记者了解到，此次智能摄像头信息安全的风险监测，共从广东、湖南、江苏等8个省市的38家企业共采集了38个品牌共40个型号的智能摄像头产品，本次采样品牌涵盖了360、小米、中兴、三星、海康威视等排在市场关注度前5位的产品，覆盖智能摄像头品牌市场关注率的70%以上，同时还采集了部分新兴品牌的产品。价格区间分别为700块钱以上的高档产品、300到700块钱之间的中档产品，以及300块钱以下的低档产品，其中87.5%为中低档智能摄像头。最终经过对智能摄像头终端、云平台、数据传输以及移动应用等4个安全项目的测试，40批次产品中存在安全漏洞的就多达32批次，占比高达80%，其中数据传输安全不符合项最多，达到28批次。

同期：国家通用电子元器件及产品质量监督检验中心安全工程师 李乐言044055从这四个方面来讲的话，整个智能摄像头的信息安全问题是非常严重的，无论是从终端本身还是云平台，或者是数据传输这一块，都是非常大的一个隐患。

小标题七：智能摄像头图像被替换轻而易举

正文：本来定位为“看家神器”的智能摄像头，由于大量安全漏洞的存在，却面临着个人隐私被直播的尴尬。记者了解到，智能摄像头的安全风险带来的，不仅是使用者家庭隐私的泄露，还可能被不法者利用，欺骗蒙蔽智能摄像头的使用者，进而实现非法目的。由于存在安全漏洞，智能摄像头传输的视频图像甚至还可能被替换成延时图像，而使用者却毫不知情。国内一家物联网安全研究机构的技术人员做了一个演示。

同期：物联网安全技术人员 胡宇真

现在看到的，应该是同步的画面。此时我们这边要进行一个攻击演示，此时的电脑和摄像头都是在一个局域网里面。好，我们进行了攻击演示，你可以看到现在画面已经停止，此时此刻我们已将笔筒移开了，但是画面并没有任何的更改。

演播室：

刚才这个过程让我们联想到了一些谍战大片中的情节，很难想像的是，仅仅是在家里安装了一个智能摄像头就让类似的情节离我们这样的近。那么问题究竟出在了哪儿呢？

小标题八：智能摄像头厂商众多

正文：记者了解到，作为人工智能科技的一个缩影，智能摄像头虽然在近几年刚刚兴起，但却迅速被市场认可，因而短短的几年时间，智能摄像头的品牌已经达到107个，无品牌的山寨产品更是难以计数。而发展过于迅速带来的另一面，却是生产厂家对信息安全的把控，远远跟不上市场的发展速度。记者了解到，目前智能摄像头产品主要有三大类生产厂商：互联网企业、贴牌厂商和原来的一些安保企业，但是不同的定位使这些企业暴露出各自的安全防护缺陷，进而导致信息安全把控能力参差不齐。

同期：国家通用电子元器件及产品质量监督检验中心安全工程师 李乐言

最主要原因就是厂商的信息安全能力参差不齐，大量的原生电子厂或者是一些贴牌的厂商生产摄像头，有些没有生产摄像头的实力，（而且）共用云平台，会导致信息安全的漏洞。还有一些摄像头（厂商），虽然自己有实力开发自己的软件，但是在控制上没有严格要求，这样的不严格的控制会导致信息安全问题发生

正文：记者了解到，针对智能摄像头这种新兴的科技产品，信息安全项目涉及多个方面，既有产品本身的终端安全，也有云平台的安全，以及移动应用和数据传输的安全，但是现有的标准仅仅针对普通的信息系统进行规范，没有考虑到智能摄像头这种产品的独特属性。目前的实际情况是，由于智能摄像头专有标准的缺失，导致产品进入市场之前，缺乏有效的安全测试和监管。

同期：国家通用电子元器件及产品质量监督检验中心高级工程师 罗衡峰

就是摄像头能达到一个什么样的安全指标，没做明确的规范，然后相关的检测标准也没有，所以检测机构也不知道按照什么样的标准来进行检测.厂家生产时首先关注功能的实现，可能对信息安全关注不够，就是东西能用就行，会不会被别人（看到）可能考虑得还不是那么周全

正文：标准缺位，厂商安全把控能力不足，使得智能摄像头进入市场之后，在信息安全方面大多“带病作业”，带来了极大的安全隐患。如何让智能摄像头从现有的安全高风险降到低风险，甚至零风险，专家认为，除了需要生产厂商自觉提升信息安全把控能力，把摄像头这种新兴智能产品纳入到强制标准规范范畴，让每一个智能摄像头都能经过检测入市，才是保障信息安全最牢固的一把锁。

同期：物联网安全高级工程师 卢佐华

就像我们每个人的家 ，不希望陌生人能随便进入 。我们也不希望别人，能通过智能摄像头能看到家里的情况。短期来看，需要智能摄像头的生产厂家，根据安全问题增加安全控制 ，这样可能会增加一些安全成本 ，但对于消费者放心接受产品是有好处的。那更长远地来看呢 ，我们希望考虑尽快制定，相关高科技设备的安全标准，用法律标准来规范 ，这样才能让摄像头，成为消费者心中真正的安全看家神器。

演播室：

看家还是引狼入室，目的和结果发生了对立的时候，问题就变得难以回避，我们期待最大程度享受物联网的便利，避免不成熟不完善带来的风险。好感谢收看我们的节目，下周同一时间再见。