虽然“黑色星期五”和“网络星期一”已经结束，但更大的购物浪潮还在后面——圣诞节，一年中可以让快递包裹在门口和走廊堆积如山的时候。

有些公司认为，保护这些包裹免遭盗窃是很正常的，而恰巧的是，他们有防护装备——智能门铃。智能门铃配备了摄像头并时时连网，即使用户外出或者在床上睡觉，也可以看到门口24小时的监控情况。

据称，某些门铃可以区分门口是快递员还是一只山羊（确实发生过）。其他门铃，还宣称能够“识别包裹和熟人的面孔”或者当检测到周围的人员走动或者声音，还可以通知用户。

智能门铃的卖点很简单，即让人时时警觉。但是，仔细一想就会发现私人的社区网络监视危害更大。

首先，一些主流的智能门铃产品有严重的网络安全漏洞，而其他产品在启动时连基本功能都不能保证。其次，智能门铃制造商收集了用户的数据隐私，这使得该公司的员工监视用户更为便捷和肆意了。最后，警局和智能门铃制造商之间会达成某种共识，当出现犯罪案件时，警察无需犯罪证据就可以直接提取用户的智能门铃监控视频了。

改善物理安全不应以网络安全和隐私泄露为代价。对此，网络安全研究人员、立法者和网络隐私倡导者关于智能门铃的安全性发现了一些问题。

国会提出关于门铃的隐私问题

11月20日，根据今年年初的公开报告，五名美国参议员给亚马逊首席执行官Jeff Bezos发了一封信，要求其旗下的一家智能门铃公司Ring就隐私问题作出答复。Bezos这位零售巨头曾以8.39亿美元的价格收购了Ring。

根据参议员引用的一项The Intercept调查，从2016年开始，Ring为其乌克兰总部研发团队提供了亚马逊S3云存储服务上一个文件夹的访问权限，该权限几乎不受限制，文件夹中包含了每个Ring摄像头监控的视频。”

The Intercept调查还说到，“Ring领导层认为加密会使公司的价值降低，并且因为访问受限而减少收入，因此在提供乌克兰访问权限时，视频文件并未加密。”

不仅如此，根据Intercept的说法，Ring还“不必要地”为公司高管和工程师提供了一些客户摄像头的“全天候实时监控”。对于拥有这种访问权限的Ring员工来说，他们只要有客户的电子邮件地址就能观看视频。

该信件表达了参议员对该事件的愤怒。

参议员写道： “那些美国客户选择在房屋内外安装Ring产品是因为他们相信Ring摄像头能使社区更加安全。因此，他们有权知道谁在查看他们提供给Ring的数据，以及该数据是否安全。”

9月，在参议员Ed Markey弄清Ring是否泄漏儿童的数据隐私之后，此次提出的问题再次引发热议。这位参议员问道，比如，公司如何确保不会通过Ring设备无限期地记录和存储儿童的肖像呢？

根据《华盛顿邮报》的报道，亚马逊简要回答了参议员Markey的问题：

“当Markey询问该公司如何确保其摄像头不会记录儿童时，亚马逊公共政策副总裁Brian Huseman写道，不存在这样的监督系统，且其客户’拥有并控制他们的视频记录’，’和其他任何安全摄像头一样，Ring都无法知道或验证孩子是否在设备范围内’。”

但是，Markey参议员最初的要求不只是针对儿童的数据隐私保护，他还希望获得关于亚马逊内部监控的明确答案，直到今年亚马逊才作出了简要回答——因为亚马逊与数百个警察部门合作。

与警察的合作关系

8月，《华盛顿邮报》报道说，Ring与美国400多名警察建立了视频共享关系。如今，这一数字至少增长到677，在短短四个月内增长了约50％。

要想形成视频共享伙伴关系很简单。

当地警察部队通过与Ring合作，有特权从涉嫌犯罪现场半平方英里内的所有Ring设备中请求调取长达45天，每天12小时的监控视频。警务人员可以直接向Ring索取视频，不需要出示犯罪证据或申请逮捕证。

根据Ring的说法，一旦将视频移交给警察，他们可以决定其保留时间和分享对象。警察提取的视频有时包括客户家中的视频，而不仅仅是在他们家门口的视频。

乍一看，这更像是一种单方面关系，警察从Ring那里获得了无数小时的本地监视服务，却不需要付出什么。实际上，Ring的另一个动机远非其“减少社区犯罪”的号召性使命。Ring的动机是经济利益。

根据Gizmodo的说法， Ring和警察部门合作，为其提供客户视频，事实上，Ring获得了前所未有的控制权——通过这些警察为公司产品打广告。Gizmodo报告称，该公司“先写好警方在社交媒体上分享的消息，并试图依法警察的强制性对公司有关其产品的所有声明（包括与媒体共享的声明）拥有最终发言权。”

在Gizmodo的报告发布不到一周的时间里，Motherboard获得了官方回应文件，供警察在社交媒体上回答有关Ring的问题时使用。而Ring撰写的回复有时会直接推广公司的产品。

此外，在加利福尼亚州的埃尔蒙特市，警察提供了Ring智能门铃产品，以鼓励个人分享有关他们目击的任何犯罪的信息。

这种合作关系激怒了多数隐私权倡导者。

“执法是对民选官员和公众的回应，而不是对一个利益至上的跨国公司公关负责人的回应，毕竟这个跨国公司与他们声称保护的社区没有任何关系。” Fight for the Future副总监Evan Greer说道。

电子前沿基金会政策分析师Matthew Guariglia 赞同Greer的观点，“这种举措使推销员都不再是我们文明社会公正和可信赖的维护者了。”

网络安全问题

智能门铃的防护性与隐私性是有点矛盾的。当智能门铃不会潜在地侵犯隐私时，它们可能也缺乏必要的网络安全防护，无法按承诺工作。

上个月，来自Bitdefender的一组网络安全研究人员宣布，他们在Ring设备中发现了一个漏洞，该漏洞可能使黑客获取Ring用户的WiFi用户名和密码。

当Ring秘密得知该漏洞后便修复了它。该漏洞存在于Ring门铃和Ring所有者的Wi-Fi网络之间的设置过程。为了正确设置设备，Ring门铃需要将用户的Wi-Fi网络登录信息发送到门铃。但是，Bitdefender研究人员表示，在这种连接过程中，Ring一直在通过未加密的网络发送信息。

实际上，该漏洞之前就出现过了。在2016年，一家测试安全漏洞的公司发现Ring设备存在一个漏洞，该漏洞可能使黑客窃取WiFi密码。

此外，今年，另一家智能门铃制造商产品的基本功能出现问题，以至于在公开发行后仅17天就停止销售自己的设备。August View智能门铃，六个月后重新开始销售。

我们了解这些设备的吸引力。对于许多用户来说，他们认为智能门铃可以帮助防止社区盗窃或为保障孩子安全。这是一项让人安心的技术。但是，网络安全漏洞、隐私侵犯以及试图使公务人员代言产品这些问题反而违背了客户初衷。

*参考来源：Malwarebyte LABS，Sandra1432编译，转载请注明来自FreeBuf.COM