全军覆没：亚马逊11款智能门铃全都存在安全漏洞

通过对在线电商平台（如亚马逊和eBay）出售的近十种廉价视频门铃的安全审查发现，每台设备都存在多个安全漏洞。其中最严重的是某些设备的做法，没有明显的理由将Wi-Fi名称、密码、位置信息、照片、视频、电子邮件和其他数据发送回制造商。

近日，NCC集团安全咨询公司与英国消费者组织Which合作进行了一次智能门铃的安全性调研，抽样测试了11种英国市场流行的，亚马逊商城上出售的视频门铃。这些产品中有些看起来彼此非常相似，但来自不同的制造商；有些产品看起来像是Amazon Ring的模仿者。所有产品的价格都大大低于Ring和谷歌的Nest Hello智能门铃等知名品牌的平均零售价格。

尽管大多数送测的产品都是一些不知名品牌，但其中一些产品获得了较高的用户评分，甚至其中一种产品甚至被附上了Amazon’s Choice的徽标，这意味着亚马逊官方对该产品的背书和推荐。

研究发现，接受检测的智能门铃的硬件、APP和监控视频存储服务器等多个方面都存在安全问题。

例如，Victure和Ctroncs这两个品牌的视频门铃产品在安全性方面存在漏洞，攻击者可以利用这些漏洞窃取网络密码，并利用该密码入侵门铃和路由器以及其他连接到该网络的设备。

来自Victure的另一款智能门铃被亚马逊标记为最畅销产品，在有1000多个用户参与的评分中获得了4.3的高分，结果测试发现该产品以未加密的方式发送许多敏感数据，包括Wi-Fi网络名称和密码。

在亚马逊和eBay上出售的另一个白牌门铃产品设备则采用了易受攻击的WPA-2协议实施方式，使攻击者可以访问门铃所有者的整个家庭网络。亚马逊上销售的360智能门铃也存在一个物理“安全隐患“——仅需使用标准的SIM卡弹出插针即可轻松搞定（编者：只是取下设备，而且会触发防拆警报，如果你没有在APP端关闭该警报的话）。

NPC Group的研究主管Matt Lewis说：“最令人惊讶的发现是，一些门铃通过互联网发送未加密的家庭Wi-Fi账号密码到远程服务器。目前尚不清楚厂商这么做的目的是什么，但这肯定会将一个人的整个家庭网络暴露给潜在的攻击者和罪犯。”

Lewis说，检测发现几乎所有的门铃都会将至少一些数据发送到位于英国和欧洲之外的远程服务器，但这并不总是敏感数据。

此外，所有接受测试的11台设备都具有一个或多个高风险安全漏洞，并且普遍使用脆弱的默认密码。其中两个产品被认定极易受攻击，另外九个存在“严重影响”安全性的问题。