美國(guó)網(wǎng)絡(luò)安全研究團(tuán)隊(duì)stegan0gram近日從一條公路旁物理拆除了一臺(tái)Flock車牌自動(dòng)識(shí)別相機(jī)，在完整復(fù)制其內(nèi)存后發(fā)現(xiàn)，設(shè)備的加密密鑰以明文形式存放在未受保護(hù)的分區(qū)中，與該設(shè)備記錄的160萬(wàn)張車輛圖像一同暴露。相關(guān)調(diào)查由404 Media與WIRED聯(lián)合完成，并于2026年9月16日公開(kāi)。

Flock是一家向美國(guó)警方及地方政府銷售自動(dòng)車牌讀取器的企業(yè)，此前曾向客戶承諾設(shè)備內(nèi)置的加密功能可在硬件被竊取時(shí)保護(hù)錄像數(shù)據(jù)。此次發(fā)現(xiàn)直接推翻了該宣傳點(diǎn)。根據(jù)系統(tǒng)架構(gòu)分析，Android設(shè)備的內(nèi)存分為多個(gè)分區(qū)，其中“vendor”和“media”分區(qū)未進(jìn)行加密，“media”分區(qū)內(nèi)直接存放了用于解鎖另一加密分區(qū)的密鑰，而該加密分區(qū)才實(shí)際保存著相機(jī)拍攝的影像文件。

在被提取的數(shù)據(jù)中，該相機(jī)在21天內(nèi)記錄了約5.02萬(wàn)輛次車輛，生成160萬(wàn)張照片及2.7萬(wàn)余段短視頻。系統(tǒng)不僅能讀取車牌，還能放大保險(xiǎn)杠貼紙等細(xì)節(jié)，部分視頻片段甚至捕捉到騎摩托車人員衣物上的補(bǔ)丁。記錄中還包含超過(guò)2.7萬(wàn)條“設(shè)備存儲(chǔ)空間已滿”的系統(tǒng)提示，表明該設(shè)備在內(nèi)存滿載狀態(tài)下仍在持續(xù)運(yùn)行。

技術(shù)層面，該相機(jī)搭載Android 8.1操作系統(tǒng)，該系統(tǒng)已于2017年發(fā)布，官方支持于2021年終止，安全補(bǔ)丁停止更新時(shí)間為2018年6月5日，底層Linux內(nèi)核為2017年的3.18.71版本（維護(hù)周期至2019年5月結(jié)束）。研究人員指出設(shè)備存在兩項(xiàng)已知漏洞：CVE-2021-1905涉及高通Adreno GPU驅(qū)動(dòng)內(nèi)存管理缺陷，CVE-2018-9568（WrongZone）可導(dǎo)致管理員權(quán)限提升。此外，固件代碼庫(kù)中硬編碼了一個(gè)API密鑰，攻擊者僅需獲取設(shè)備的MAC地址即可向Flock服務(wù)器請(qǐng)求任意相機(jī)的認(rèn)證憑證。

Flock公司回應(yīng)稱，未經(jīng)授權(quán)拆卸并篡改其設(shè)備屬于違法行為，并表示公司設(shè)有漏洞披露政策，但至今未收到相關(guān)報(bào)告，且目前缺乏足夠依據(jù)評(píng)估黑客主張。盡管公司強(qiáng)調(diào)了非法操作的法律風(fēng)險(xiǎn)，但其回應(yīng)并未解決密鑰明文存儲(chǔ)、系統(tǒng)長(zhǎng)期未獲安全更新及固件硬編碼憑證等技術(shù)問(wèn)題。

該事件已引發(fā)監(jiān)管層面的關(guān)注。美國(guó)國(guó)會(huì)已提出《No FLOCK Act》法案，擬授權(quán)交通部長(zhǎng)對(duì)未對(duì)車牌數(shù)據(jù)使用設(shè)定限制各州的聯(lián)邦公路資金扣留10%，并將數(shù)據(jù)用途限定為收費(fèi)、尋回被盜車輛、搜救失蹤或遇險(xiǎn)人員、追查重罪嫌疑人及重罪涉案車輛等五項(xiàng)。波士頓當(dāng)局已因擔(dān)憂數(shù)據(jù)共享風(fēng)險(xiǎn)宣布停用Flock服務(wù)。在歐洲，車輛牌照受《通用數(shù)據(jù)保護(hù)條例》（GDPR）管轄，意大利數(shù)據(jù)保護(hù)局此前已叫停奧林匹克體育場(chǎng)內(nèi)的面部識(shí)別系統(tǒng)，大規(guī)模公共空間監(jiān)控設(shè)備的數(shù)據(jù)保管責(zé)任正受到更嚴(yán)格審視。