亚马逊修复了响铃视频门铃wi-fi安全漏洞

亚马逊的环形视频门铃PRO设备中存在安全漏洞，使得攻击者能够利用互联网连接的门铃拦截所有者的Wi-Fi凭据，让黑客未经授权访问网络，并可能会对其上的其他设备进行攻击。

网络安全公司BitDefender的研究人员披露了这一漏洞，他们指出，所有的门铃式摄像头都收到了安全补丁，以缓解这一问题。

环形门铃已经成为安装在智能家居中最受欢迎的互联网门铃之一。这些设备提供了运动感知和视频监控功能，让用户可以通过应用程序看到并与门外的任何人交流--即使他们不在家。

人们购买物联网门铃的原因之一是安全，以及通过设备与不受欢迎的访客交谈的能力。但是，在环形设备中发现的漏洞可能会使用户面临网络攻击的风险。

该漏洞源于当设备首次配置到本地网络时，当环形智能手机应用程序需要将无线网络连接发送到云中的Amazonring服务器时。

研究人员发现，这是以一种不安全的方式进行的，攻击者可以利用这种方式：不仅设备创建了一个没有密码的接入点，而且网络的凭据也是使用HTTP发送的，这意味着他们可以暴露在附近攻击者的窥探中。

BitDefender公司威胁研究和报告主管博格丹·博特扎图(Bogdan Botezato)告诉ZDNet，“应用程序和设备通过HTTP而不是HTTPS进行通信，这是最佳安全实践所要求的。”http是一种‘可嗅探’的协议，这意味着潜在的行为者可以在物理上接近地监听各方之间交换的一切信息。

攻击者与目标设备之间的距离取决于他们的设备，但他们很可能在目标受害者视线之外进行攻击。想要利用此漏洞的攻击者需要意识到他们的目标是亚马逊环网用户，但由于设备位于大楼的前面，因此很容易被发现。

为了在通过开放网络传输网络凭据时访问网络凭据，攻击者需要欺骗用户相信他们的设备存在故障，以便他们重新运行泄露网络详细信息的初始身份验证过程。

实现这一目标的一种方法是发送非身份验证信息，这些消息似乎表明门已不再与互联网连接。这导致应用程序建议设备应该重新配置。当用户完成此过程时，攻击者可以借助相对简单的开放源码工具来嗅探纯文本凭据。

使用这些凭据，攻击者可以使用它们连接到路由器本身--以及网络上没有密码保护的任何其他设备。这可能使攻击者能够访问网络上的私人文档、照片和其他文件，以及利用更多漏洞访问电子邮件和其他个人数据的能力。

参见：Amazon设备事件：进化，而不是革命性的，这没有什么问题。

网络上的其他物联网设备也有访问的空间，并以可能侵犯环网用户隐私的方式与它们进行交互--比如从家中监听或观看IP摄像头的视频。

“门铃以纯文本的形式接收Wi-Fi网络密码。任何能够在路由器附近访问密码的人都可以连接到各自的网络，并开始探测新设备、访问网络共享甚至控制设备，”博泰扎图说。

在发现漏洞后，BitDefender联系了Amazonring，此后该公司发布了一份安全更新。

“客户信任对我们来说很重要，我们非常重视设备的安全性。我们推出了一个自动安全更新来解决这个问题，现在它已经被修补了，”一位环形公司的发言人告诉ZDNet。