Hier ist Ihre Meinung öffentliche Sicherheit verantwortlichen Behörden über automatisierte Kennzeichenerkennung

Strafverfolgung, die Vertretungen des Landes gewesen nur allzu bereitwillig Massenüberwachung Technologien, aber manchmal nehmen, die Sie wenig Mühe gesteckt haben, sicherzustellen, dass die Systeme sicher sind und die sensiblen Daten, die sie auf alltägliche Menschen sammeln, ist geschützt.

Case In Point: automatisierte Kfz-Kennzeichen-Erkennungssysteme (Straßennutzung).

Anfang des Jahres erfuhr EFF, dass mehr als hundert Straßennutzung Kameras online, oft mit völlig geöffneten Webseiten, die von jedermann mit einem Browser zugänglich ausgesetzt waren. In fünf Fällen konnten wir die Kameras zu ihren Quellen verfolgen: St. Tammany Parish Sheriff Office, Jefferson Parish Sheriff's Office und Kenner Polizei in Louisiana; Hialeah Police Department in Florida; und öffentliche Sicherheit-Abteilung der University of Southern California. Diese Fälle sind sehr ähnlich, aber nicht im Zusammenhang mit größeren Schwachstellen in Bostons Straßennutzung Netzwerk aufgedeckt im September vom DigBoston und dem Boston-Institut für Non-Profit-Journalismus.

Nach fünf Monaten der Beschäftigung mit diesen Entitäten veröffentlichen wir die Ergebnisse unserer Forschung und die Aktionen, die diese Ämter in Reaktion auf unsere Warnungen eingegangen.

Was ist Straßennutzung?

ALPRs sind Netzwerke von Kameras, die Bilder von jedem vorbeifahrenden Auto und Datenerfassung auf jedes Auto Kfz-Kennzeichen, einschließlich der Zeit, Datum und Ort, wo das Fahrzeug fotografiert wurde. Straßennutzung Kameras sind oft auf Streifenwagen montiert oder an stationären am Straßenrand Strukturen, z. B. Straßenlaternen und Verkehrsschilder angebracht.

Systeme werden die Polizei benachrichtigen, wenn eine Kamera erkennt ein Auto auf ein "hot List", einen Index von Autos, die gestohlen oder glaubte an kriminellen Aktivitäten gebunden werden. Jedoch die meisten Straßennutzung Systeme sammeln und speichern Daten auf jedes Auto (d. h. nicht sie zwischen Verdächtigen und unschuldige Zivilisten zu unterscheiden). Selbst wenn ein Fahrzeug an einer Straftat beteiligt ist nicht, Verdacht Daten auf wo es war und wenn für viele Jahre gespeichert werden können, für den Fall, dass das Fahrzeug kommt später unter. Infolgedessen ist eine Verletzung eines Straßennutzung Systems einen Verstoß gegen potenziell jeder Fahrer reisen Geschichte. Je nachdem, wie viele Daten gesammelt hat kann diese Informationen in zusammengefasster Form alle Arten von persönlichen Informationen, einschließlich welche Ärzte, die Sie besuchen, welche Proteste zeigen, Sie besuchen, und wo Sie arbeiten, Einkaufen, Gottesdienst, und nachts schlafen.

Die Straßennutzung Systeme im Mittelpunkt unserer Untersuchung wurden verkauft, von einer Firma namens PIPS-Technologie, die seitdem von 3 M gekauft wurde. Im Jahr 2011, vor dem Erwerb prahlte das Unternehmen mehr als 20.000 Kameras rund um den Globus zu installieren. Nach unabhängigen Sicherheitsexperten uns auf die Schwachstellen aufmerksam gemacht, entdeckten wir, dass viele stationäre Straßennutzung Kameras von PIPS individuell mit dem Internet und frei zugänglich online für jeden, der wusste verbunden waren, wo Sie suchen müssen.

In einigen Fällen könnte jemand öffnet sich ein Fenster und eine Kamera video-Livestream und Zeugnis, das die Platte fängt in Echtzeit anzeigen. Im Wesentlichen gab es nichts zu verhindern jemand Absaugen der Stream der Straßennutzung Daten bei der Übertragung oder potenziell Steuerung der Kameras. Die Agenturen, die angeblich die Straßennutzung Systeme gesteuert hatte nicht sogar im Ort Warnung Sprache über unbefugten Zugriff auf die Systeme setzen.

Gefragt nach den Schwachstellen versehen 3 M EFF mit dieser schriftlichen Erklärung:

Wir kann nicht kommentieren, Fragen, die vor dem Erwerb PIPS gehabt haben können, aber ich kann sagen, dass Sie Probleme mit unseren Produkten sehr ernst genommen und mit dem Kunden direkt angesprochen.

Wir stehen hinter der Sicherheitsfunktionen unserer Kameras. 3M Straßennutzung Kameras haben inhärente Sicherheitsmaßnahmen, die aktiviert werden müssen, wie z. B. Kennwortschutz für die serielle, Telnet und Web-Schnittstellen. Diese Sicherheitsfeatures sind in unseren Verpackungen deutlich erklärt.

Zu den Agenturen Kredit haben den Louisiana-Agenturen und der University of Southern California (USC) nun zur Sicherung von der Systems gehandelt.

Eine kurze Geschichte der Straßennutzung Vulnerability Research

Vor ein paar Jahren begann Sicherheitsexperten klingelt den Wecker über was sie ursprünglich als Hunderte von Rotlicht-Kameras identifiziert, die Verbindung zum Internet ohne jegliche Sicherheiten vorhanden waren. Die Kameras wurden im ganzen Land, mit zwei unterschiedlichen Clustern in Kalifornien und Louisiana verbreitet.

Anfang dieses Jahres, EFF begann Drilldown in die Daten und bestätigt, dass dies keine Verkehrs-Kameras überhaupt, aber stationäre Straßennutzung Systeme waren — Netzwerke von Kameras montiert auf Straße Stangen, die Platten der vorbeifahrenden Autos im Rahmen der laufenden Gesetz Durchsetzung Rasterfahndung Überwachungsprogramme zu erfassen.

Der erste große Tipp erhielten wir kam von John Matherly, der Sicherheitsspezialist hinter Shodan, eine Suchmaschine, die Scans und Kataloge Geräte und Hardware, d. h. das Internet der Dinge miteinander verbunden. Wenn Sie bestimmte Keywords in Shodan angeschlossen, die Website abgerufen Hunderte PIPS-Kamerasysteme, die Verbindung mit dem Internet, oft mit Bedienfeldern offen und vollständig über einen Webbrowser zugänglich. Zu dieser Zeit hervorgehoben Matherly und sein Kollege Dan Tentler diese Schwachstellen auf Sicherheitskonferenzen. CNN sprach sogar über diese Kameras gleichzeitig mit Tentlers arbeiten.

Wenn CNN 3 M im Jahr 2013 kontaktiert, ausgeschlossen das Unternehmen Verantwortung:

3 M-Sprecherin Jacqueline Berry stellte fest, dass Autoplate Systeme verfügen über robuste Sicherheits-Protokolle, einschließlich Passwortschutz und Verschlüsselung. Sie müssen nur genutzt werden.

"Wir sind sehr zuversichtlich in die Sicherheit unserer Systeme", sagte sie.

Unabhängig, fand ein Forscher namens Darius Freamon, dass Sie Zugriff auf das Control Panel per Telnet und generieren von Statistiken über Platte erfasst. Gebäude aus Freamons Arbeit, ein Team von Informatikern an der University of Arizona grub tiefer in die Daten und gefährdeten Kameras in Washington, Kalifornien, Texas, Oklahoma, Louisiana, Mississippi, Alabama, Florida, Virginia, Ohio und Pennsylvania gefunden. Die größte Ansammlung war im südöstlichen Louisiana.

Es ist erschreckend, diese Forscher berichtet:

Wir konnten beobachten, die Platte Informationen und live-Bilder. Wir konnten auch die Konfigurationseinstellungen ändern.

Matherly revisited das Thema in diesem Jahr präsentiert auf der Hack in der Box-Konferenz auf wie er leicht 64.000 Platte Bilder und entsprechende standortbezogene Datenpunkte von diesen Kameras über einen Zeitraum von einer Woche abgezapft.

EFF begann bestätigt diese Forschung im Frühjahr 2015. Wir testeten mehr als 100 Kameras dokumentieren, wenn sie öffentlich sichtbar Konfiguration Web-Seiten, Telnet-Zugang hatten und vor allem, wenn ein Besucher konnte live-Feeds anzeigen und Daten erfassen. Der Testprozess Beteiligten bestätigt wird, dass eine Kamera war online und reagiert auf Anfragen durch Herstellen einer Verbindung mit einem Web-Browser oder durch Herstellen einer Verbindung über Telnet. Wenn die Kamera ein Passwort für das Web und Telnet Schnittstelle hatte wir es allein gelassen, aber wenn die Kamera nicht mit einem Passwort geschützt war, konnten wir Konfigurationsinformationen wiederherstellen. Jedoch wenn das Web wurde gesperrt, aber Telnet nicht war, wir manchmal Kennwortinformationen in der Telnet-Konfiguration anzeigen konnten. Oft diese Kennwörter auf den Standardwert festgelegt wurden oder anderweitig nicht anspruchsvoll genug, um sicher zu sein.

Wir begannen auch, verwenden auf diesen Seiten eingebetteten Informationen zuordnen, die besondere Lage dieser Kameras, die wir dann zu Nachrichtenartikeln und öffentlichen Aufzeichnungen zeigten, welche Agenturen wahrscheinlich verantwortlich für die Kameras (die USC-Kameras waren offensichtlich, weil sie Werbegeschenk URLs, z. B. "Pipscam7.usc.edu" hatten) verknüpft. Mit der Konfiguration und Google Streetview enthaltenen Informationen, waren wir in der Lage Pinpoint die Lage dieser Kameras.

Veröffentlichungen von Sicherheitslücken

Als langjähriger Kritiker der Massenüberwachung Systeme möchte nichts lieber, als eine Strafverfolgungsbehörde seine Straßennutzung Netzwerke offline schalten, EFF. In Briefen und e-Mails, die wir für Agenturen, sandten wir darauf hingewiesen, dass eine Abschaltung wäre in der Tat die wirkungsvollste Maßnahme. Aber das ist eine Entscheidung für die Agenturen zu machen, nicht Computer Forscher. Unser größte Anliegen wurde sichergestellt, dass sie weiterhin diese Systeme verwenden wollten, sie nicht der Öffentlichkeit Privatsphäre einer Datenschutzverletzung gefährdet.

Wenn die Straßennutzung Systeme zu sondieren, hütete EFF zu beobachten und unsere Ergebnisse dokumentieren. Wir keine Konfigurationen zu ändern oder sonst manipulieren mit den Systemen. Stattdessen haben wir die Systeme per Web-Browser und öffentliche Telnet Schnittstellen verbunden. Wir haben Noten und Screenshots und verwendet diese Daten, um unsere Briefe an die Agenturen zu komponieren. Zu diesem Zeitpunkt haben wir den Agenturen, dass wir unsere Daten nicht veröffentlichen würde, bis sie genug Zeit hatten, um die klaffenden Löcher in ihre Sicherheit zu beheben.

EFF ist nicht veröffentlichen, die Briefe, die wir geschickt oder die Kommunikation, die wir als Antwort erhalten. Allerdings empfehlen wir Reporter Fragen und öffentlichen Aufzeichnungen Dateianforderungen darstellen. Die Agenturen selbst eignen sich am besten zu wissen, welche Informationen kann und darf nicht losgelassen werden.

Wir sind jedoch komfortabel sharing Bilder und allgemeine Beschreibungen dessen, was wir gefunden – einschließlich der Lage der Kameras, die meisten davon sonst auf der Straße sichtbar sind.

Southeastern Louisiana

Wir haben diese interaktive Karte zeigt den Standort von rund 40 Straßennutzung Kameras basierend auf Informationen in jede Kamera-Konfiguration erstellt.

Karte von vermuteten Straßennutzung Kameras in southeastern Louisiana starten (Beachten Sie, dass diese Karte von Google gehostet wird. Wenn Sie auf diesen Link klicken, wird Ihr Besuch in Google Maps Googles Datenschutzerklärung unterliegen.)

Diese Geolocation Punkte möglicherweise nicht 100 % ig genau, da die Ortsbeschreibungen einige Kameras oft ungenau oder falsch waren. Wann immer möglich, haben wir die Existenz der einzelnen Kameras mit Google Streetview bestätigt. Folgen Sie in diesen Fällen den Links um den genauen Standort der Kamera zu sehen.

Die Louisiana-Kameras wurden in der Regel am Nord- und Südufer des Lake Pontchartrain gruppierten. News-Artikel darauf hingewiesen, dass die Agenturen in der Region begann die Installation von Kameras bereits PIPS als 2008. Zunächst konnte wir nicht endgültig ermittelt werden welche Kameras, welche Agentur gehörte, so wir Briefe und e-Mails auf fünf separaten Agenturen schickten. Es stellte sich heraus ungefähr die Hälfte der Kameras gehörte St. Tammany Parish Sheriffs Office, Hälfte gehörte, die Kenner Police Department und mindestens eine Kamera gehoerte der Jefferson Parish Sheriff Office.

St. Tammany Parish Sheriff Office

Von EFF kontaktiert, der St. Tammany Parish Sheriff Office begann sofort Neubewertung ihrer Systeme und Untersuchung von kurz- und längerfristigen Fixes, um die Systeme zu gewährleisten wurden nicht öffentlich zugänglich. Die Agentur beschäftigt in täglichen Gesprächen mit Unternehmern und Besuche für jede Kamera. EFF ausgezeichnet auch das Amt aufgefordert, die Geräte neu einlesen, sobald die neuen Sicherheitsmaßnahmen eingeführt wurden.

Veröffentlichung glauben wir, dass die St. Tammany System gesichert worden ist.

Kenner-Polizei-Abteilung

Frühzeitig, glaubten wir, dass diese Kameras an der Jefferson Parish Sheriff Office, basierend auf News-Artikel über die lang andauernde Straßennutzung Agentursystem gehört haben könnte.

Aber dank der Zusammenarbeit mit der St. Tammany Parish Sheriff Office – die kommuniziert mit mehreren anderen Agenturen – konnten wir feststellen, dass die andere Gruppe von Kameras für Kenner Police Department (KPD) gehörte.

KPD sicherte sich die Kameras innerhalb einer Angelegenheit von Wochen.

Jefferson Parish Sheriff Office

Sobald wir die Kenner und St. Tammany Parish Kameras aus unserer Liste der gefährdeten Straßennutzung Kameras eliminiert hatte, blieb eine einzelne Kamera. Dieser, in der Nähe einer Kirche im Bereich Woodmere war besonders anfällig.

Ein Beispiel dessen, was wir in der Lage, anzeigen (Platten haben zum Schutz der Privatsphäre der Fahrer unkenntlich gemacht worden):

Die Jefferson Parish Sheriff Office reagierte zunächst nicht auf unsere Kommunikation; Es scheint jedoch, dass nach der Kommunikation mit Kollegen in St. Tammany Parish, es in der Lage war, diese Kamera zu sichern. Schließlich reagierte der Jefferson Parish Sheriff: ein Vertreter bestätigt die Kamera war jetzt sicher, aber um zu überprüfen, sie geplant, um die Kamera für eine technische Prüfung zu entfernen.

Universität von Südkalifornien

USC hatte weit weniger Straßennutzung Kameras ausgesetzt sind als diejenigen in Louisiana – nur vier dessen, was wahrscheinlich ein 60-Plus Kameranetzwerk. Allerdings waren diese vier Kameras noch anfälliger als die Louisiana-Kameras, da ihre Kontrollen in öffentlichen Universität Seiten, mit offensichtlichen URLs wie pipscam9.usc.edu gehostet wurden.

Pipscam9 war besonders problematisch. Befindet sich im "Brüderlichkeit Row" (siehe hier) und direkt gegenüber dem Pi Kappa Phi-Haus die Straßennutzung Kamera völlig ungeschützt war. Man konnte nicht nur die Nummernschilder vorbei auf der Straße zu sehen sondern auch einen live video Feed (unten) von Menschen, die die Straße überqueren sehen.

Eine weitere Reihe von Kameras war ebenso sichtbar in einer Wohngegend am 29^th St. und Hoover.

In Korrespondenz mit EFF bestätigt USC Department of Public Safety Chief John Thomas unsere Ergebnisse nach Beginn eine systemweite Audit. Gefährdete Kameras wurden offline geschaltet. USC verbessert auch die Komplexität der Straßennutzung Administratorkennwörter.

Thomas schrieb:

Durch Ihre e-Mail-Adresse, ich glaube, dass wir mehr Straßennutzung zu sichern, Schwerpunkt Umwelt haben und dies in Zukunft verhindern. Ich fühle mich ermutigt durch die Möglichkeit des Department of Public Safety und EFF mit offenen Dialog über Sicherheit in der Informationstechnik und wird zu einer sicheren Kriminalität Unterdrückung Technologie-Umgebung weiterarbeiten.

Wir baten daraufhin USC für die Straßennutzung Daten Aufbewahrungs-Policies, aber Thomas reagierte nicht auf die Anforderung. Unter einem neuen Gesetz müssen USC zur Offenlegung dieser Daten ab 2016 (siehe unten S.B. 34).

Hialeah, Florida

Unsere Forschung aufgedreht mindestens zwei Kameras in Hialeah, eine Stadt im Miami-Dade County, Florida. Eine dieser Kameras war in der Nähe von einem öffentlichen Schießplatz und Waffenladen, positioniert in derart Lizenzen erfassen Platten, die direkt aus dem Parkplatz.

Wir initiierten Diskussion mit Hialeah Mitarbeiter, die uns versichert, dass sie die Systeme kümmern würde. Jedoch haben sie da reagiert nicht auf unsere Forderungen.

Gesetzgebung

Während wir vereinbart, nicht öffentlich über diese Systeme sprechen, wenn die Frage der Sicherheit noch angegangen werden mussten, fühlten wir uns war es wichtig, diese Forschung zu verwenden, um Entscheidungen über wichtige Straßennutzung-bezogenen Rechtsvorschriften in Kalifornien und Louisiana informieren.

Louisiana Senatsvorlage 250

EFF kontaktiert Louisiana Gouverneur Bobby Jindal legislative Mitarbeiter, die mit einem Gewicht von waren, ob der Gouverneur würde unterschreiben oder veto eine Rechnung, die eine massive landesweite Straßennutzung Netzwerk landesweit zur Identifizierung von nicht versicherten Autofahrer geschaffen hätte. Wir drückten unsere ablehnende Haltung gegenüber der Gesetzgebung, erklärt, dass die Regierung nicht Straßennutzung Überwachung ausbauen sollte, wenn es nicht bewiesen hat, dass es das System derzeit auf Platz sicher verwalten kann. Anschließend der Gouverneur sein Veto gegen das Gesetz zu schreiben:

Senat Rechnung Nr. 250 wäre die Verwendung von automatischen Nummernschild-Reader-Kamera Überwachungsprogramme in verschiedenen Pfarreien im ganzen Staat autorisieren. Die personenbezogene Daten, die diese Kameras, die Fahrzeug-Standort einer Person umfasst, würde in einer zentralen Datenbank gespeichert und zugänglich, nicht nur teilnehmenden Strafverfolgungsbehörden sondern andere angegebene private Einrichtungen für einen bestimmten Zeitraum hinweg unabhängig davon, ob das System diese Person erkennt stellt eine Verletzung des Fahrzeugs Versicherungsanforderungen. Kamera-Programmen wie diese privaten Informationen leicht zugänglich machen würde den Rahmen sprengen Rasen Durchsetzung eine grundsätzliche Gefahr für Privatsphäre und schaffen große Pools von Informationen, gesetzestreue Bürger, die extrem anfällig für Diebstahl von Missbrauch werden können gehören.

California Senate Bill 34

Die kalifornischen Legislative verabschiedete einen Gesetz, die Straßennutzung Daten als "persönliche Informationen" klassifiziert unter den Zustand der Verletzung Benachrichtigung Datenschutzgesetze. Die Rechnung erforderlich Betreibers Straßennutzung, einschließlich private Institutionen wie USC, weiterhin eine "angemessene Sicherheitsverfahren und Praktiken, einschließlich der operativen, administrative, technischen und physische Sicherungsmaßnahmen, um Straßennutzung Informationen vor unbefugtem Zugriff, Zerstörung, Verwendung, Änderung oder Offenlegung zu schützen." Darüber hinaus sind Straßennutzung Anlagenbetreiber verpflichtet, detaillierte Nutzungs- und Datenschutzbestimmungen veröffentlichen.

EFF schrieb einen Brief zur Unterstützung der Maßnahme und beschrieb die Situation mit USC, das Büro des Gouverneurs zu betonen, dass die Probleme mit Straßennutzung nicht hypothetisch waren. Am 6. Oktober unterzeichnet Gov.Jerry Brown die Rechnung in Gesetz.

Fazit

Während EFF Straßennutzung Systemsicherheit in diesen Ländern beeinflussen konnte, möglicherweise Dutzende von Kameras noch in irgendeiner Form gefährdet. Allerdings ist in vielen Fällen diese Ortungsgeräte zu ihren Quellen unmöglich gewesen. Es ist unsere Hoffnung, dass mit der Veröffentlichung dieses Berichts, alle Agenturen verantwortlich für PIPS Kameras überall im Land, umfassende Sicherheits-Audits ihrer Geräte initiieren. Straßennutzung Systeme sind eine Form der Massenüberwachung, schlicht und einfach. Diese Technologie erfasst Informationen über jeden Fahrer, unabhängig davon, ob sie unter Verdacht stehen. In der Tat als EFF und die ACLU des Los Angeles Police Department und Los Angeles County Sheriff Office einen öffentlichen Aufzeichnungen Antrag auf Straßennutzung Daten übermittelt, geweigert die Agenturen mit der hand über die Daten, unter Berufung auf eine Bestimmung in Kalifornien Gesetz, das ihnen verweigern, investigative Records ermöglicht. Wer sind sie untersuchen? Die Antwort: alle Autos in Kalifornien.

Wenn Strafverfolgungsbehörden sind, diese Technologie zu verfolgen, dann sollten sie Speicherung dieser Daten als einen Zeitraum möglichst kurz zu begrenzen – Tage, nicht Jahre oder auf unbestimmte Zeit, wie die bisherige der vielen Agenturen Praxis. Die sicherste Politik wäre nicht speichern Daten, die in keinem Zusammenhang mit Verbrechen überhaupt, sondern nur Datenerfassung auf heiße aufgeführten Fahrzeuge, die der Beteiligung an Verbrechen verdächtigt.

Da diese Fälle zeigen, wenn Strafverfolgungsbehörden Surveillance-Systeme verwenden, müssen sie weit mehr darauf achten, dass die Technologie sicher ist, bevor sie es bereitstellen. Sie müssen auch weiterhin Systeme zum Schutz vor neuen Bedrohungen und Schwachstellen zu modernisieren. Was Schneide im Jahr 2008 war, ist unwahrscheinlich, dass die Bedrohungen des Jahres 2015 zu widerstehen.

Strafverfolgungsbehörden sollten nicht Informationen sammeln, die sie nicht schützen können. Überwachungstechnologie ohne angemessene Sicherheitsmaßnahmen gefährdet die Sicherheit aller.

Dieser Artikel erschien auf der Electronic Frontier Foundation und ist hier unter Creative Commons Lizenz veröffentlicht.

Bild von Herr Leeds unter Creative Commons Lizenz.