消委會測試｜9成家用監控鏡頭有網絡安全隱患！易被駭客入侵、私隱影片外洩！邊款係唯一推薦？邊款問題最嚴重？（附詳細評分名單）

3樣本終斷連接後「對話金鑰」仍有效！

　　消委會又指，在正常情況下，用戶每次登入連接鏡頭時均會使用新對話金鑰（sessionkey），以加密及解密互相傳送的資料及數據，當中斷連接後便會失效。惟測試發現「BotsLab」、「SpotCam」及「reolink」用於上一次連接的對話金鑰仍然有效，若駭客成功偷取舊有的對話金鑰，便可連接鏡頭。

　　另外，「eufy」、「EZVIZ」及「D-Link」進行實時動態影像串流時，駭客可透過試誤法（trialanderror）等暴力攻擊（bruteforceattack），透過反覆試驗所有可能的密碼組合以獲得密碼。

BotsLab indoor cam pan & tilt P4-Pro （官網圖片）

　　測試還發現，「imou」、「TP-Link」、「EZVIZ」及「D-Link」採用即時傳輸協定（Real-timeTransportProtocol）來進行實時動態影像串流，沒有把影片數據進行加密，有機會受到中間人攻擊（maninthemiddleattack），駭客可輕易窺探影片內容！另外，「reolink」透過mysimplelink服務連接用家的Wi-Fi無線網絡時，沒有進行身分驗證，只使用超文本傳輸協定（HyperTextTransferProtocol）傳送資料，沒有把敏感資料加密，駭客可從普通文字檔找到路由器的帳戶資料，存有洩風險。

網上圖片

沒有封鎖存取檔案權限＝敏感資料會外洩

　　消委會亦指出，「imou」、「TP-Link」、「eufy」、「EZVIZ」及「D-Link」Android版本的應用程式內嵌瀏覽器沒有封鎖存取檔案的權限，駭客可植入程式碼以存取裝置檔案，令用戶私隱外洩。另外，「小米Mi」、「imou」、「eufy」及「D-Link」iOS版本的應用程式內嵌瀏覽器使用已過時的UIWebView或沒有停用JavaScript，駭客可進行跨網站指令碼攻擊（CrossSiteScripting，簡稱XSS）存取檔案位置。

小米智能攝影機2K雲台版（官網圖片）

　　測試同時檢視了應用程式的Android及iOS版本所要求的權限，發現「小米Mi」、「imou」、「BotsLab」、「eufy」及「EZVIZ」的應用程式存取權限過多，而當中部分樣本存取的資料亦較為敏感，例如讀取裝置上的行事曆、帳戶資料、用戶正在使用的應用程式等，裝置內的敏感資料有機會因而外洩。

imou Knight Outdoor Smart Security camera（網上圖片）

下一頁：即睇家居監控鏡頭測試總評分、選購及使用貼士

家居監控鏡頭測試總評分：

4星：

arlo Pro 4｜價錢：$1,888

3.5星：

小米智能攝影機2K雲台版｜價錢：$269

3星：

imou Knight Outdoor Smart Security camera｜價錢：$1,380

TP-Link 2K pan/Tilt home Security Wi-Fi camera tap C210｜價錢：$319

BotsLab indoor cam pan & tilt P4-Pro｜價錢：$598

Dufy outdoor cam pro T8441X｜價錢：$899

2.5星：

SpotCam Wire-free FHD Security camera Solo 2｜價錢：$1,270

2星：

EZVIZ smart home camera C6 2k+ CS-C6｜價錢：$630

Reolink Argus 3 Pro ｜價錢：$959

D-link 2k QHD無線網路攝影機DCS-8350LH｜價錢：$699

家用監控鏡頭選購及使用貼士

　　－消費者不應購買沒有品牌或來歷不明的產品，除了品質有保證外，網絡安全未必很完善。

　　－消費者於智能裝置的應用程式建立帳戶時，密碼應有足夠強度並定期更改。密碼的長度不應少於8位，並混合大小楷字母、數字及特殊符號來提高密碼強度，以防被駭客輕易破解。

　　－若監控鏡頭由專人上門安裝及設置，安裝後應立即更改密碼。

　　－消費者在有需要時，才開啟應用程式及啟動鏡頭，完成後建議把應用程式及鏡頭關掉。

網上圖片

　　－消費者應善用防火牆、網絡監察及活動紀錄等功能，經常查看紀錄以偵測可疑活動。

　　－消費者應使用個人智能裝置登入鏡頭觀看畫面，不應用任何公用及沒有管理權限的裝置登入帳戶，亦應避免使用公共無線網絡Wi-Fi進行監控，以防帳戶資料被暗中記錄及盜取。

　　－消費者應不時檢查及更新韌體（firmware），因生產商在產品出廠後會透過韌體改善產品的運作及修補漏洞，使用更安全。

　　－若懷疑鏡頭內部系統曾被入侵或植入程式，不妨重刷一次官方韌體及全機還原出廠狀態，重新安裝時亦可建立一個全新帳戶及密碼。