婴儿监视器比以前聪明多了。这些设备最初只不过是双向音频和视频馈送，但较新的机型配备了复杂的网络服务，包括应用程序访问和远程查看。但随着**商增加新功能，一份新的报告显示，他们的安全性可能跟不上步伐。

该报告由安全分析提供商Rapid7的markstanislav和todbeardsley撰写，主要关注零售视频婴儿监视器的安全性。Stanislav和Beardsley分析了飞利浦（Philips）、Summer和iBaby等8家不同厂商的9款相机，在评估了它们的移动应用程序、设备固件和网络服务的安全性后，给它们分配了A-F字母等级。然后对每台设备进行了250分的安全等级评定。”他们加密web服务API调用吗？当摄像头验证服务时，是加密的吗？如果没有扣分，”斯坦尼斯拉夫解释计分系统时说。

九台摄像机中有八台不及格

结果糟透了。九个摄像头中有八个接收到失败的F，而另一个接收到D。这些安全故障包括许多已知的漏洞，包括在不加密的情况下传输视频和向服务器发送数据。许多连接的设备也有内置的密码，攻击者可以猜测（或者更糟的是，发布），这是嵌入式设备中长期存在的问题。

Rapid7的研究人员还发现了一些新的漏洞，其中一个漏洞可以让攻击者访问Summer Baby Zoom WiFi监视器的视频源。摄像头包括一个网络访问功能，它允许远程用户（例如，其他州的亲戚）远程观看视频，只要他们通过电子邮件发送的URL进行了身份验证。但触发电子邮件比它应该的要容易。根据Stanislav的说法，web服务不提供任何类型的安全令牌，因此如果攻击者想远程观看视频，他们很容易伪造远程访问请求。从那里，可以利用一个单独的权限提升漏洞，让他们通过设备进行管理员访问。

两款飞利浦in.Sight机型也出现了类似的漏洞。该显示器允许用户通过飞利浦的应用程序点击摄像头的流，但为了显示该流，摄像头将其放在公共广播上。如果有人扫描了承载这些提要的有限地址，他们可以很容易地看到哪些摄像头正在被监视，并直接点击这些视频提要。对谁可以访问流没有任何限制，一旦攻击者闯入，即使用户关闭了应用程序，他们也可以保持提要打开。

幸运的是，对于视而不见的客户来说，飞利浦有望在本周晚些时候修补这个漏洞。”该公司在一份声明中说：“虽然安全漏洞是一个问题，正在得到解决，但目前我们还不知道有任何消费者受到这一问题的直接影响。”。虽然Rapid7在7月初披露了漏洞，但没有其他供应商报告即将发布的修补程序。

许多处理器不具备支持实时视频加密数据的能力

许多漏洞与服务架构有关，而不是与设备本身有关，因此理论上，它们应该易于修补。不幸的是，大多数监控公司仍然习惯于漏洞披露的苛刻环境。正如报告所说，“缺乏快速、可靠、安全的补丁管道是物联网（IoT）的一个严重且持续的部署失败。”未加密的视频流尤其棘手，因为许多摄像头中的处理器根本不具备支持实时视频加密数据的能力，通过设计使设备不安全。

报告中描述的许多攻击媒介很难完全停止。随着婴儿显示器变得更加网络友好，他们也越来越依赖**商的远程服务器，通常由第三方运行。如果链中的任何一个环节被破坏，使用该服务的每个摄像头都将受到攻击。这是一条强大的攻击线，如果不让设备完全脱离网络，就很难阻止它。”斯坦尼斯拉夫说：“你的相机可能在八道防火墙后面，但只要它连接到互联网，就有危险。”