数月来，对Flock Safety车牌识别网络最明显的抵制形式一直是物理性的：摄像头被从杆子上锯下、镜头被喷涂、线路被剪断。一项新披露表明，一种更安静却更具深远影响的方式正在登场——它将这些摄像头变成了记录其自身能力的证据来源。
据404 Media与WIRED联合调查，一群黑客从道路上方的位置拆下了一台Flock摄像头，复制了其中存储的几乎所有内容，并将所得文件交给了这两家媒体。这些材料罕见地展示了该系统内部的情况——Flock曾公开宣称该系统受设备端加密保护——并表明该硬件所做的远不止编录车牌。
黑客们表示，他们还打算公布获取该软件的方法描述，明确希望其他人能重复这一过程。这些数据被分享给了404 Media以及透明度非营利组织Distributed Denial of Secrets，后者又将其转交给了WIRED；随后两家新闻编辑部共同分析了这些文件。
一台本不应可读的摄像头内部
这次行动始于黑客们所称的从现场移除硬件。一位代表自称stegan0gram的集体发言的参与者，将这一努力描述为超越破坏行为的合理下一步：“既然我们能逆向工程它们并找出那些监视我们的人的秘密，为什么只是摧毁它们？”同一人表示，该组织拆下了这些设备，解除了它们的武装，然后转而逆向工程摄像头以及为其供电的太阳能设备。
技术上的突破似乎是恢复了存储在设备本身上的一个加密密钥。在复制了摄像头的存储并拿到该密钥后，黑客们得以解锁涵盖数千次车辆检测的视频。并非所有内容都被打开——分析表明，自动车牌识别器最敏感存储中的相当一部分仍处于加密状态、无法触及——但可访问的部分已足够描述该系统在常规运行中的行为方式。
恢复的日志揭示了什么
其中最明确的发现之一是：摄像头运行的软件被设计用来识别人员，而不仅仅是汽车。联合分析发现，设备端的计算机视觉明确检测人员以及车辆、车牌和自行车。
图像数量同样引人注目。一辆经过的车辆就能生成数十张独立图像，而仅从几周运行中恢复的日志就包含总计超过一百万张图像。
该软件似乎还对与车牌几乎无关的细节感兴趣。在恢复数据中记录的一个实例里，计算机视觉单独识别出贴在一名摩托车手鞍袋上的一面美国国旗贴片——这是该系统将图案和保险杠贴纸标记为独立关注对象的一个例子。
- 软件中可见的检测类别：人员、车辆、车牌和自行车。
- 图像生成：每辆经过车辆生成数十帧，恢复的数周日志中包含超过一百万张图像。
- 对象级关注：保险杠贴纸和其他图案，包括摩托车鞍袋上的一面国旗贴片。
- 加密：恢复了一个设备端密钥，但一些最敏感的存储数据仍无法访问。
该系统本应如何运作
Flock的摄像头拍摄经过的车辆，并将图像及相关数据传输到公司服务器。在那里，系统读取车牌并可识别车辆特征——这一流程将路边原始图像转化为执法客户可用的可搜索数据库。
该公司一直将设备端加密宣传为这一流程的核心保护措施，而恢复的材料并未否定其最强防护在某些地方确实有效。但这一事件使这种说法变得复杂：放在摄像头本身上的密钥，任何取得该硬件的人都能提取，这就把安全边界定位在物理设备上，而不是网络中的某个位置。
从喷漆到烙铁
这一披露正值围绕自动车牌识别的更广泛摩擦浪潮之中。美国各地社区的人们一直在拆下摄像头，多人因涉嫌篡改或破坏Flock设备而被捕。
各方反应不一。一些城镇已宣布将完全停止使用Flock的摄像头。至少在一个案例中，一个警察部门尝试了不同策略：用3D打印机制作了一个假的Flock摄像头外壳并将其安装在公共场所，显然是为了抓住潜在破坏者的诱饵。
在这一背景下，逆向工程努力代表着策略转变。摧毁一台摄像头只是从网络中移除一个节点。提取并公布其软件则告诉公众该节点在做什么——并为任何有意愿的人提供了重复这一过程的模板。
为何其意义超越单台摄像头
这一披露最重要的方面可能是证据性的，而非技术性的。关于监控系统的争论往往取决于供应商声称其产品能做什么。一份恢复的软件副本，即便是部分副本，也提供了具体的替代依据：检测类别、图像数量和分类行为来自设备本身，而不是来自营销页面。
这很重要，因为检测类别的范围并非无关紧要的细节。读取车牌的系统是一种工具。读取车牌同时还能识别人、自行车和鞍袋上图案的系统则是另一种工具，而这种区别会影响社区如何权衡在街道上部署此类硬件的利弊。
黑客们公布其方法的既定目标也带来了自身问题。同一份帮助居民了解道路上方的设备的文档，也可能帮助他人破坏设备，而篡改设备仍面临真实的法律风险，迄今为止的逮捕案例已证明了这一点。
这些文件无法展示的是全貌。摄像头最敏感的存储中有许多内容抵御了已恢复的密钥，这意味着披露的记录只是一扇窗口，而非完整清单。Flock将其系统描述为受加密保护，而这一事件与其说否定了这一说法，不如说界定了其限度。
尽管如此，趋势已经清晰。曾经将这些摄像头视为匿名灰色盒子的社区，如今已能部分窥见其内部——而一群黑客公开承诺将向任何其他人展示如何获得同样的视野。
本文基于404 Media的报道。阅读原文。
Originally published on 404media.co