Flock guardaba la clave de cifrado dentro de sus cámaras pese a negar los fallos

Un grupo de piratas informáticos se llevó una cámara de Flock instalada sobre una calzada, la analizó y encontró dentro la clave de cifrado que abría el resto del contenido del aparato. La empresa sostiene que sus equipos van cifrados en local y que solo se pueden explotar con acceso físico; el caso confirma lo segundo y deja bastante peor lo primero.

El grupo se llama stegan0gram, según la investigación que publicó 404 Media. Entraron al sistema operativo Android del dispositivo y dieron con dos particiones, etiquetadas "vendor" y "media". En la segunda estaba la clave que desbloqueaba otra partición, la que guardaba todo el material capturado. No llegaron a los datos más sensibles del equipo, pero lo que sí sacaron da la medida de lo que pasa por delante de una de estas cámaras.

Ahí había 1,6 millones de imágenes tomadas a lo largo de 21 días. El aparato detectó unos 50.200 vehículos y, más llamativo, 11 personas. También guardaba 27.321 clips de vídeo en local: archivos MP4 a 1024 x 768 y con una duración de uno o dos segundos.

Retención contra cifrado

La versión de Flock es que las imágenes solo se quedan un rato en el dispositivo antes de subir a la nube. Tres semanas de capturas y más de 27.000 vídeos en el mismo aparato apuntan a otra cosa. Un investigador de seguridad ya había señalado fallos en el sistema de la compañía, y la respuesta fue la de siempre: hace falta acceso físico.

El matiz importa. Que el atacante necesite el hardware en la mano descarta el robo remoto y masivo, pero coloca todo el peso sobre el cifrado en reposo. Si la llave vive en una partición del propio aparato, cualquiera que lo abra la tiene. Es la llave debajo del felpudo, con la diferencia de que aquí el felpudo viaja en una cámara que se puede descolgar con una escalera.

Flock fabrica cámaras de lectura de matrículas que usan policías y comunidades en Estados Unidos. Lo que no ha aclarado es por qué la clave acaba almacenada en el mismo equipo que protege, ni cuánto material se queda dentro y durante cuánto tiempo.