Telset.id – Kebocoran data pada kamera pembaca pelat nomor otomatis Flock memberikan gambaran belum pernah terjadi sebelumnya tentang sistem yang diklaim perusahaan dilindungi enkripsi on-device. Peretas berhasil menyalin penyimpanan kamera dan memulihkan kunci enkripsi yang tersimpan di perangkat, membuka akses ke video ribuan deteksi kendaraan. Temuan ini menjadi pukulan bagi klaim keamanan Flock sekaligus memicu pertanyaan besar soal privasi di ruang publik.
Materi hasil pembobolan itu dibagikan kepada 404 Media dan organisasi nirlaba transparansi Distributed Denial of Secrets, yang kemudian meneruskan data kepada WIRED. 404 Media dan WIRED lalu menganalisis berkas-berkas tersebut sebagai bagian dari investigasi bersama. Meski sebagian besar penyimpanan paling sensitif pada pembaca pelat nomor otomatis itu tetap terenkripsi dan tidak dapat diakses, analisis gabungan atas data yang berhasil dipulihkan menunjukkan bahwa perangkat lunak yang berjalan di perangkat secara eksplisit mendeteksi manusia, bukan hanya kendaraan, pelat nomor, dan sepeda.
Kamera tersebut dapat menghasilkan puluhan gambar dari satu kendaraan yang melintas. Berdasarkan log yang dipulihkan selama beberapa pekan, perangkat ini menghasilkan lebih dari satu juta gambar. Perangkat lunak computer-vision-nya bahkan kadang mengisolasi stiker bemper dan grafis lain, termasuk dalam satu kasus sebuah tambalan bendera Amerika pada tas sadel pengendara motor.
Kunci Enkripsi dan Klaim Keamanan Flock
Para peretas menyebut mereka mampu mengakses sistem Android pada kamera dan menemukan dua partisi—pada dasarnya bagian-bagian dari hard drive-nya. Beberapa di antaranya tidak terenkripsi, termasuk partisi bernama “vendor” dan “media”. Partisi terakhir berisi kunci enkripsi yang membuka bagian lain, yang memuat sebagian besar media—video dan foto—yang diambil kamera.
Aksi mencabut kamera dan membongkar perangkat lunaknya menunjukkan bahwa sebagian orang tidak puas hanya dengan merusak atau melepas kamera. Di seluruh negeri, sejumlah orang ditangkap karena diduga merusak atau menyabotase kamera Flock. Sebagai respons, beberapa kota mengumumkan akan berhenti menggunakan kamera Flock sepenuhnya, dan dalam satu kasus, sebuah departemen kepolisian bahkan membuat cangkang kamera Flock palsu hasil cetak 3D untuk memancing calon perusak.
“Mengapa hanya menghancurkannya kalau kami bisa merekayasa balik dan menemukan rahasia mereka yang memata-matai kami?” kata salah satu peretas dari kolektif yang menamakan diri stegan0gram dalam sebuah wawancara. “Kami membebaskan perangkat keras di lapangan, melumpuhkannya, dan melanjutkan rekayasa balik kamera serta peralatan surya terkait.”
Pada awal 2025, peneliti keamanan Jon “GainSec” Gaines merekayasa balik pembaca pelat nomor Flock dan mendokumentasikan celah yang bisa digunakan untuk mendapatkan akses tingkat root. Setelah Gaines mengungkap temuannya, perusahaan mengakui temuan itu tetapi meremehkan tingkat keparahannya. Flock menulis bahwa celah tersebut memerlukan akses fisik ke perangkat dan bahkan seseorang yang mendapatkan akses ke kamera “tetap tidak akan bisa mengakses rekaman”, karena gambar hanya tersimpan di perangkat sebentar setelah dikirim ke cloud.
Bagaimana Kamera Flock Bekerja dan Apa yang Terekam
Kamera Flock memotret kendaraan yang melintas dan mengirim gambar serta data lain ke server perusahaan. Di sana, sistem Flock diduga membaca pelat nomor dan dapat mengidentifikasi karakteristik seperti warna, merek, dan model kendaraan. Flock kemudian membuat catatan berstempel waktu ini dapat dicari oleh lembaga lokal mana pun yang memiliki atau punya akses ke kamera. Namun dalam banyak kasus, sistem Flock juga memungkinkan departemen kepolisian lain dari seluruh negeri mencari kamera tersebut sebagai bagian dari jaringan nasional perusahaan.
Di Alpharetta, Georgia, misalnya, WIRED menemukan bahwa catatan dari kamera Flock kota tersebut dapat diakses oleh lebih dari 2.000 lembaga, termasuk departemen kepolisian, kampus, bandara, dan secara tidak jelas, Office of Inspector General untuk federal General Services Administration. Jaringan nasional ini menjadi nilai jual Flock, tetapi juga sumber kontroversi mendalam.
404 Media mengungkap bahwa polisi lokal melakukan pencarian di jaringan nasional atas nama Immigration and Customs Enforcement, termasuk di wilayah yang melarang bekerja sama dengan otoritas imigrasi atau mentransfer data pelat nomor ke luar negara bagian. 404 Media juga mengungkap bahwa seorang polisi di Texas mencari kamera Flock secara nasional untuk seorang perempuan yang melakukan aborsi sendiri. Kisah-kisah itu, di antara yang lain, memicu percakapan nasional tentang apakah masyarakat menginginkan kamera Flock, atau pembaca pelat nomor otomatis secara lebih umum, di komunitas mereka.
Prosesor perangkat ini mirip dengan yang digunakan pada ponsel kelas menengah, dan menjalankan sekitar 20 aplikasi buatan Flock yang menangani berbagai hal mulai dari mendeteksi gerakan dan mengambil gambar hingga mengklasifikasikan objek, mengunggah data, dan menerima pembaruan jarak jauh. Menurut kode tersebut, ketika ada sesuatu yang bergerak masuk ke pandangan, kamera mengambil rangkaian foto dengan cepat. Kendaraan yang melintas biasanya menghasilkan sekitar 28 gambar, meski sebagian menghasilkan lebih dari 100.
Kamera menggunakan eksposur berbeda untuk menangkap pelat nomor dan pemandangan yang lebih luas, lalu memindai gambar, memilih dan memotong bingkai yang berguna, dan mengirimkannya bersama data lain ke Flock melalui jaringan seluler. Kamera itu sendiri tampaknya tidak membaca pelat atau mengidentifikasi merek, model, dan warna kendaraan. Hal itu tampaknya terjadi di server Flock.
Menurut analisis tersebut, log kamera mencatat sekitar 21 hari aktivitas dalam beberapa periode. Selama jendela waktu itu, perangkat memotret sekitar 50.200 kendaraan dan menghasilkan sekitar 1,6 juta gambar. Pada hari biasa, perangkat mencatat sekitar 3.300 kendaraan, dengan puncak 4.454. Angka-angka itu akan sangat bervariasi tergantung di mana kamera dipasang dan seberapa banyak lalu lintas di depannya. Kamera hampir pasti beroperasi di luar periode tersebut, tetapi log yang lebih lama telah tertimpa atau tidak lagi dapat dipulihkan dari perangkat.
Perangkat lunak yang berjalan di kamera secara eksplisit mendeteksi manusia, sesuatu yang biasanya terlewat dalam diskusi seputar kamera Flock. Ketika mendeteksi seseorang, perangkat mencatat di mana orang itu muncul dalam gambar dan seberapa yakin deteksinya. Untuk menguji apa yang sebenarnya bisa dilihat perangkat lunak, WIRED mengekstrak model dari berkas kamera dan menjalankannya terhadap gambar uji dan rekaman yang dipulihkan dari perangkat. Model tersebut dengan mudah mendeteksi manusia, termasuk swafoto seorang reporter.
WIRED kemudian menjalankannya pada 27.321 klip video pendek yang tersimpan di kamera. Klip tersebut adalah berkas MP4, masing-masing berdurasi sekitar satu hingga dua detik, direkam pada 1.024 kali 768 piksel tanpa audio. Klip itu terpisah dari ledakan cepat gambar diam resolusi lebih tinggi yang juga diambil kamera saat kendaraan melintas. Model mendeteksi manusia di 11 klip, semuanya mengendarai motor. Jumlah yang kecil itu kemungkinan karena posisi kamera di atas jalan raya, mengarah ke bawah pada lalu lintas yang melintas di mana pejalan kaki tidak mungkin muncul.
Pengujian juga menunjukkan seberapa luas detektor pelat nomor kamera dapat menafsirkan apa yang dilihatnya. Dalam beberapa kasus, ia salah mengira stiker bemper, bingkai dealer, dan grafis lain sebagai pelat nomor dan memotongnya seolah-olah itu pelat. Dalam satu video motor yang melintas, detektor memotong tambalan bendera Amerika pada tas sadel pengendara seolah-olah itu pelat.
Flock menegaskan kameranya tidak melakukan pengenalan wajah. WIRED dan 404 Media tidak menemukan bukti kemampuan pengenalan wajah apa pun dalam perangkat lunak kamera di luar yang disertakan secara default dalam sistem operasi Android. Kemampuan tersebut tampaknya tidak diaktifkan atau digunakan secara aktif.
Pada Agustus, WIRED memperoleh kode frontend untuk perangkat lunak kepolisian Flock, yang kini disebut OS Investigate dan sebelumnya dikenal sebagai Nightshift, dan merekonstruksi sebagian alat tersebut. Perangkat lunak itu menunjukkan bagaimana Flock dapat menggunakan catatan yang dihasilkan kameranya, bersama berkas kepolisian dan data komersial, untuk mengidentifikasi pengemudi, menampilkan kendaraan yang sering bepergian bersama, dan mencari orang berdasarkan pola pergerakan. Data tersebut memberikan pandangan dari ujung lain sebuah sistem.
Juru bicara Flock mengatakan dalam sebuah pernyataan: “Pencabutan dan perusakan kamera Flock tanpa izin adalah ilegal.” Ketika ditanya secara spesifik tentang kunci enkripsi yang tersimpan di kamera, perusahaan menambahkan, “Flock menanggapi keamanan dengan serius dan memelihara Kebijakan Pengungkapan Kerentanan publik bagi peneliti keamanan untuk melaporkan potensi kerentanan langsung kepada kami. Kami tidak menerima laporan melalui proses itu, dan berdasarkan informasi terbatas yang diberikan, kami tidak memiliki cukup detail untuk menilai klaim yang dibuat. Jika individu tersebut mengidentifikasi kerentanan yang sah, kami mendorong mereka untuk mengirimkan temuan teknis melalui proses pelaporan kerentanan kami agar tim keamanan kami dapat meninjaunya dan mengambil tindakan yang tepat.”
Salah satu peretas mengatakan, “Diselidiki adalah kekhawatiran yang sah dan sesuatu yang kami coba hindari. Saya yakin tindakan kami telah menarik perhatian, tetapi kami berhati-hati dan berusaha menjaga profil rendah.” Noel Pichardo, mantan perwira polisi Pawtucket, Rhode Island, yang menjadi kritikus vokal Flock setelah menantang penggunaan kamera di departemennya, mengatakan ia memahami frustrasi para aktivis tetapi khawatir sabotase perangkat pada akhirnya bisa memperkuat argumen untuk keberadaannya.
“Saya pikir jenis vigilantisme itu hanya akan mengkristalkan kepolisian dan negara secara luas dalam keyakinan mereka bahwa alat ini diperlukan,” kata Pichardo. “Semakin lama negara terus mengabaikan keluhan konstituen mereka yang menentang jenis pengawasan ini, semakin banyak hal ini akan terjadi.”
Log kamera juga menunjukkan kamera kesulitan dengan penyimpanan. Log-nya mencatat lebih dari 27.000 galat “no space left on device” saat mencoba menyimpan gambar resolusi penuh, bersama puluhan ribu galat terkait, crash, dan reboot. Pada saat yang sama, sekitar setiap dua menit, kode memeriksa bahwa kamera masih berjalan dan mencatat pesan, “Who’s a good boy?!” Lebih dari 12.000 pesan itu muncul dalam log yang dipulihkan. Ketika kamera benar-benar restart, layanan lain meninggalkan pesan terakhir di log: “A reboot was requested! ¡Adiós, Amigos!”
Kasus ini menambah daftar panjang insiden keamanan siber yang menyoroti kerentanan perangkat fisik yang terhubung jaringan. Sebelumnya, Hacker Klaim White Hat juga mengklaim telah mencuri dana besar dari dompet Bitcoin Liquid, sementara FBI Gagalkan Peretasan China ke NASA dan Federal Reserve. Ancaman serupa juga datang dari Serangan AI Otonom yang menandai babak baru keamanan siber.
Komentar
Belum ada komentar.