资安业者ESET近日揭露了一款D-Link的云端监视器含有众多安全漏洞，例如采用未加密的安全传输、允许黑客窜改韧体、或者是曝露了它的HTTP传输埠，研究人员表示，他们去年8月就知会D-Link，但迄今只有一个漏洞被修补。ESET所分析的装置为D-Link DCS-2132L，它是夜视型的无线网络摄影机，定位为云端监视器，在市场的售价为4,999元。研究人员指出，该云端监视器最严重的问题在于，它在传输影像时是未加密的，不管是摄影机与云端之间，或是云端与客户端程序之间，将允许黑客执行中间人（man-in-the-middle，MitM）攻击，拦截监视器所拍摄的画面。至于客户端程序与监视器之间则是藉由Port 2048上的代理服务器，透过客制化D-Link信道协议的TCP信道进行通讯，但这些信道中只有部份流量有加密，而诸如对IP/MAC地址的请求、版本信息、视讯与音频串流等内容都未加密。
另一个重要漏洞，则是藏匿在浏览器插件Mydlink Services中，此一插件允许使用者利用浏览器来管理TCP通道的建立与实时画面的播放，也负责利用信道转发对视讯与音频串流的请求，所含的漏洞，允许系统上的任何应用程序或用户，无需身分认证就能存取该监视器的网页接口，也能用来置换装置韧体。D-Link DCS-2132L上的Universal Plug and Play功能，还会把Port 80的HTTP接口曝露在公开网络上，以Shodan搜寻的结果发现全球有接近1,600个装置的Port 80曝露在外。ESET表示，该公司在去年8月就向D-Link通报研究结果，D-Link很快就修补了Mydlink Services漏洞，但韧体从2016年11月就未更新，也未修补其它漏洞，提醒用户在利用云端监视器保护家中安全时也需留意装置的安全风险。内文相关来源：http://www.cafes.org.tw/info.asp