แฮกเกอร์รื้อกล้อง Flock Safety

กลุ่มแฮกเกอร์ได้ถอดและทำวิศวกรรมย้อนกลับกล้องริมถนนที่ผลิตโดย Flock Safety บริษัทที่อยู่เบื้องหลังหนึ่งในเครือข่ายเครื่องอ่านป้ายทะเบียนอัตโนมัติ (ALPR) ที่ใหญ่ที่สุดที่ดำเนินงานอยู่ทั่วถนนในอเมริกา ตามรายงาน แฮกเกอร์สามารถกู้คืนคีย์การเข้ารหัสจากอุปกรณ์พร้อมกับข้อมูลภายในที่แสดงให้เห็นอย่างชัดเจนว่ากล้องเหล่านี้จับภาพยานพาหนะ ตรวจจับบุคคล และประมวลผลภาพที่เก็บรวบรวมมาได้อย่างไร การค้นพบนี้มีความสำคัญเพราะ Flock Safety ได้ประกาศต่อสาธารณะว่ากล้องของบริษัทไม่เคยถูกแฮก เหตุการณ์นี้ ไม่ว่าจะมีขอบเขตเพียงใด ย่อมท้าทายคำกล่าวอ้างนั้นโดยตรง และเปิดหน้าต่างที่หาได้ยากสู่ระบบเฝ้าระวังที่ผู้ขับขี่ส่วนใหญ่พบเจอทุกวันโดยไม่เคยเห็นว่ามันทำงานอย่างไรจริง ๆ

กล้อง Flock ถูกติดตั้งตามถนนและทางหลวงในหลายพันชุมชน เก็บภาพป้ายทะเบียนอย่างเงียบ ๆ และตามข้อมูลที่กู้คืนได้รายงาน ยังตรวจจับบุคคลในเฟรม ไม่ใช่แค่ยานพาหนะ รายละเอียดนี้สำคัญ Flock ได้ทำการตลาดเทคโนโลยีของตนมานานในฐานะเครื่องมืออ่านป้ายทะเบียนสำหรับหน่วยงานบังคับใช้กฎหมาย แต่ข้อมูลที่ดึงมาจากอุปกรณ์ที่ถูกแฮกบ่งชี้ว่าความสามารถของระบบนั้นขยายไปไกลกว่าการระบุและบันทึกยานพาหนะ ไปสู่การระบุและบันทึกตัวบุคคล

เครือข่ายกล้อง Flock ทำงานอย่างไรจริง ๆ

การเข้าใจว่าทำไมเรื่องนี้จึงสำคัญ ต้องเข้าใจก่อนว่ากล้อง Flock ถูกออกแบบมาให้ทำอะไร แต่ละหน่วยจับภาพยานพาหนะที่ผ่านไปมา อ่านป้ายทะเบียน และป้อนข้อมูลนั้นเข้าสู่ฐานข้อมูลที่ค้นหาได้ซึ่งหน่วยงานบังคับใช้กฎหมายสามารถสอบถามได้ เนื่องจากกล้องเชื่อมต่อกันเป็นเครือข่าย การค้นหาครั้งเดียวในทางทฤษฎีสามารถติดตามการเคลื่อนไหวของยานพาหนะข้ามหลายเขตอำนาจในช่วงเวลาหนึ่งได้ ซึ่งเท่ากับสร้างประวัติการเดินทางโดยไม่ต้องมีหมายค้นที่ผูกกับคดีใดคดีหนึ่งโดยเฉพาะ

ความพยายามทำวิศวกรรมย้อนกลับของแฮกเกอร์นั้นสำคัญเพราะมันเปิดเผยกลไกทางเทคนิคของกระบวนการนั้น การกู้คืนคีย์การเข้ารหัสที่ปกป้องข้อมูลบนอุปกรณ์บ่งชี้ว่าความปลอดภัยที่ปกป้องภาพเหล่านี้ไม่แข็งแกร่งอย่างที่บริษัทอ้าง เมื่อการเข้ารหัสที่ควรปกป้องข้อมูลเฝ้าระวังที่ละเอียดอ่อนสามารถถูกเจาะได้โดยนักวิจัยภายนอกที่ถอดหน่วยเดียวออกจากเสา มันย่อมตั้งคำถามที่ชอบธรรมว่าทั้งเครือข่ายที่ใหญ่กว่าและบันทึกหลายล้านรายการที่มันสร้างขึ้นนั้นได้รับการปกป้องจากการเข้าถึงโดยไม่ได้รับอนุญาตได้ดีเพียงใดจริง ๆ

มันยังตั้งคำถามที่ใหญ่กว่าซึ่งติดตามเทคโนโลยีเครื่องอ่านป้ายทะเบียนมาหลายปี: ใครอีกที่สามารถเข้าถึงข้อมูลนี้ และภายใต้การกำกับดูแลอะไร โครงสร้างพื้นฐานการเฝ้าระวังมวลชนที่สร้างขึ้นสำหรับหน่วยงานบังคับใช้กฎหมายไม่ได้ดำรงอยู่ในสุญญากาศ เมื่อเครือข่ายถูกสร้างขึ้นและพิสูจน์แล้วว่ามีช่องโหว่ต่อการถูกบุกรุก การสนทนาก็เปลี่ยนจากความกังวลเรื่องความเป็นส่วนตัวในทางทฤษฎีไปสู่ความล้มเหลวด้านความปลอดภัยที่เป็นรูปธรรมซึ่งประชาชนไม่มีทางตรวจจับหรือปฏิเสธได้

สิ่งนี้หมายความว่าอะไรสำหรับคุณ

คนส่วนใหญ่ไม่ได้เลือกที่จะมีปฏิสัมพันธ์กับกล้อง Flock พวกเขาเพียงแค่ขับผ่านมันไป โดยมักไม่รู้ด้วยซ้ำว่ามันจับภาพป้ายทะเบียน ตำแหน่งของพวกเขา และตอนนี้ดูเหมือนว่าจะรวมถึงภาพของพวกเขาในฐานะบุคคลด้วย ธรรมชาติของการเฝ้าระวัง ALPR ที่เป็นแบบถูกกระทำและหลีกเลี่ยงไม่ได้นี้เองที่ทำให้การเปิดเผยครั้งนี้มีความสำคัญ ต่างจากการสมัครแอปหรือการกดยอมรับแบนเนอร์คุกกี้ ตรงนี้ไม่มีกลไกการให้ความยินยอม โครงสร้างพื้นฐานนี้ตั้งอยู่บนถนนสาธารณะและจับภาพทุกคนที่ผ่านไป

การเปิดเผยว่ากล้องเพียงตัวเดียวสามารถถูกถอดออกทางกายภาพและเอาชนะการเข้ารหัสได้ ควรกระตุ้นให้เกิดการตรวจสอบที่กว้างขึ้นว่าผู้จำหน่ายเทคโนโลยีเฝ้าระวังรักษาความปลอดภัยของข้อมูลที่พวกเขาเก็บรวบรวมอย่างไร ไม่ใช่แค่การทำการตลาดถึงประโยชน์ในการต่อสู้อาชญากรรม มันเป็นรูปแบบที่สะท้อนเรื่องราวอื่น ๆ เกี่ยวกับว่าเครื่องมือเฝ้าระวังที่เชื่อมโยงกับรัฐหรือใกล้ชิดรัฐสามารถถูกใช้ย้อนกลับมาทำร้ายประชาชนธรรมดาได้อย่างไรเมื่อความปลอดภัยถูกมองเป็นเรื่องรองจากฟังก์ชันการทำงาน รายงานเกี่ยวกับแคมเปญสปายแวร์บน Telegram ของอิหร่านที่มุ่งเป้านักข่าวและผู้เห็นต่างแสดงให้เห็นพลวัตที่คล้ายกัน: เครื่องมือที่สร้างขึ้นเพื่อการเฝ้าติดตามสามารถกลายเป็นเครื่องมือของการบุกรุกที่กว้างขึ้นเมื่อการป้องกันของมันล้มเหลวหรือถูกทำให้อ่อนแอลงโดยเจตนา

สำหรับผู้ขับขี่ทั่วไป ไม่มีวิธีง่าย ๆ ในการหลีกเลี่ยงกล้อง ALPR ทั้งหมด เนื่องจากมันฝังตัวอยู่ในโครงสร้างพื้นฐานสาธารณะทั่วหลายชุมชน แต่การตระหนักรู้ยังมีประโยชน์ การรู้ว่าการเฝ้าระวังแบบนี้มีอยู่ มันควรทำงานอย่างไร และมันสามารถล้มเหลวได้อย่างไร ให้พื้นฐานแก่ผู้อยู่อาศัยในการถามคำถามที่ยากขึ้นกับเจ้าหน้าที่ท้องถิ่นและหน่วยงานบังคับใช้กฎหมายเกี่ยวกับนโยบายการเก็บรักษาข้อมูล การควบคุมการเข้าถึง และว่าการเข้ารหัสและการตรวจสอบความปลอดภัยนั้นถูกบังคับใช้จริงหรือเป็นแค่การโฆษณา

ประเด็นสำคัญ

เหตุการณ์นี้เป็นเครื่องเตือนใจว่าระบบเฝ้าระวังมวลชนนั้นน่าเชื่อถือได้เพียงเท่ากับวิศวกรรมความปลอดภัยที่อยู่เบื้องหลังมันเท่านั้น คำรับรองต่อสาธารณะของบริษัทว่าอุปกรณ์ของตนไม่เคยถูกบุกรุกนั้นแทบไม่มีความหมายเมื่อนักวิจัยอิสระพิสูจน์เป็นอย่างอื่น ผู้อ่านที่กังวลเกี่ยวกับเครือข่าย ALPR ในพื้นที่ของตนสามารถตรวจสอบว่าหน่วยตำรวจท้องถิ่นมีนโยบายสาธารณะเกี่ยวกับการเก็บรักษาและแบ่งปันข้อมูลกล้อง Flock Safety หรือไม่ เนื่องจากหลายเขตอำนาจเผยแพร่ข้อมูลนี้เมื่อมีการร้องขอ นอกจากนี้ยังควรติดตามการสอบสวนด้านความเป็นส่วนตัวและสิทธิพลเมืองที่ดำเนินอยู่เกี่ยวกับเครื่องอ่านป้ายทะเบียนอัตโนมัติ เนื่องจากการกำกับดูแลและความท้าทายทางกฎหมายยังคงพัฒนาต่อไป ท้ายที่สุด เรื่องราวเช่นนี้ตอกย้ำว่าทำไมการวิจัยความปลอดภัยอิสระจึงสำคัญ: มันมักเป็นวิธีเดียวที่สาธารณชนจะได้เรียนรู้ว่าเทคโนโลยีเฝ้าระวังมีพฤติกรรมอย่างไรจริง ๆ เมื่อถูกนำไปใช้งานในวงกว้าง