二手 TP-Link 摄像头可能留下前主人的秘密：恢复出厂设置不等于擦干净
韩启明｜OC 政策与安全编辑
韩启明｜OC 政策与安全编辑
安全研究者 Christopher Childress 在 IoT Vulnerability Research 项目中披露，Kasa Spot EC71 室内摄像头固件 2.3.26 存在共用 RSA 私钥、不安全保存账户密码摘要，以及未经认证暴露精确位置数据等问题。研究者称主要问题已在 2.4.1 修复，并给出了 CVE-2026-9770 与 CVE-2026-13230。
一句话结论： 最现实的攻击场景不是黑客隔着互联网瞬间接管所有摄像头，而是有人买到退货或二手设备、直接读取闪存，恢复前主人的账户痕迹与位置；这提醒用户，“恢复出厂设置”必须由厂商证明会安全擦除数据，不能只让界面回到欢迎页。
研究者没有从应用商店下载一个扫描工具就完成攻击，而是拆开摄像头，使用 CH341A 编程器直接读取 SPI 闪存，再分析固件文件系统和网络通信。这意味着攻击需要拿到实体设备，不是任何陌生人都能远程执行。
可物理访问并不是可以忽略的前提。摄像头会被退货、转卖、维修和回收。用户通常相信恢复出厂设置已经删除账户，下一位买家却可能愿意拆机读取芯片。对于安装在卧室、婴儿房和办公室的设备，残留信息比普通路由器配置更敏感。
三个问题分别是什么
第一个问题是整批设备共用的 RSA 私钥。研究者在两个文件系统层中发现两套完整密钥，其中一套仍对应设备运行时使用的证书。如果一把有效私钥在同固件设备间共用，那么从一台机器提取密钥，就可能获得针对整批设备进行协议分析或冒充的材料。
不过，研究者没有证明这把密钥可以直接拦截所有云端通信。其本地 ARP 欺骗测试没有成功抓到应用与设备的明文数据，通信可能主要绕经云端。因此“拿到一台摄像头就能实时监控全球同型号设备”没有证据支持。风险在于共享密钥破坏了设备身份隔离，而具体远程利用仍取决于协议路径。
第二个问题是账户凭证以无盐 MD5 摘要保存在可写分区。哈希不是明文，但无盐 MD5 对常见密码非常容易被字典和 GPU 暴力破解。研究者还描述了一条跨设备账户接管路径：如果用户在多个服务复用密码，攻击者从旧设备恢复摘要后，可能把风险带到摄像头之外。
第三个问题是未经认证的位置查询。相关协议能够返回设备记录的经纬度。对固定安装的室内摄像头来说，这几乎等于暴露家庭或办公室地址。研究者指出，同类问题在 TP-Link 其他产品线多年以前就出现过，摄像头产品却没有同步完成系统性修复。
为什么恢复出厂设置会失败
很多设备的“重置”只清除应用可见配置，再让设备进入配网状态。底层闪存可能采用只标记删除、重新挂载分区或覆盖少量索引的方式，旧数据仍能通过硬件读取恢复。
安全擦除需要厂商明确设计：每台设备使用独立加密密钥，用户数据始终加密保存；重置时销毁设备密钥，即使闪存残留也无法解密。单纯删除一个配置文件既慢，也可能被闪存磨损均衡机制留下副本。
研究者称 2.4.1 涉及跨组件架构修改，并在测试设备上验证主要问题已修复。但 TP-Link 官方美国下载页面会根据硬件版本和地区列出不同固件，公开页面目前可见的版本号未必与研究者测试版本完全一致。用户不应随便下载其他硬件版本固件，而应在 Kasa 应用或对应地区支持页检查更新。
披露过程也暴露了组织问题
研究者从 1 月开始协调披露，厂商确认部分问题后多次延期。GPS 报告一度收到与实际返回字段无关的 MD5 解释，研究者据此认为初次响应没有认真审阅报告。后续测试版 2.4.1 又因部署稳定性经历回滚，最终在 6 月完成验证，7 月发布披露。
半年修复复杂固件并不一定算慢，真正值得批评的是相同漏洞类别在不同产品线之间没有形成统一安全审查。一个团队修过智能插座的位置泄露，不代表摄像头团队自动获得修复。物联网厂商如果按单个 CVE 打补丁，而不回头搜索所有复用协议和代码，旧问题就会换个外壳重新出现。
OC 判断
这份报告来自单名独立研究者，远程攻击影响还有边界，不能把所有发现都写成“摄像头已被全面攻破”。但硬编码全局密钥、无盐 MD5 和重置后可恢复数据，都属于不应在 2026 年继续出现的基础设计问题。
用户能做的事情有限：升级固件、避免密码复用、转卖前解除账户并重置。真正的责任仍在厂商，因为用户无法验证闪存是否安全擦除，也无法把全局私钥变成每设备密钥。
关键事实
- 研究对象为 Kasa Spot EC71 固件 2.3.26，攻击分析需要物理读取 SPI 闪存。
- 披露包括共用 RSA 私钥、无盐 MD5 凭证摘要和未经认证的位置数据。
- 研究者描述了从恢复出厂的二手设备恢复前用户信息的攻击路径。
- 没有证据证明提取密钥即可远程接管全球所有 EC71。
- 研究者称主要问题已在 2.4.1 修复，用户需按地区和硬件版本核对实际更新。
为什么重要
- 对开发者： 设备重置应采用每设备加密与密钥销毁，不能只删除上层配置文件。
- 对企业： 物联网漏洞修复要横向排查复用协议和固件组件，而不是逐个产品关闭工单。
- 对用户： 出售摄像头前应升级、解绑、重置并避免密码复用；高度敏感设备更适合由厂商回收。
评论
围绕这篇文章补充信息、提出问题或分享观察。