在你的筆記本電腦上貼上攝像頭并不是一個愚蠢的想法。一位安全工程師發現，通過刷新聯想ThinkPad X230筆記本電腦上的攝像頭固件，可在攝像頭本身激活的情況下獨立控制其LED。換句話說，可以在攝像頭指示器不亮的情況下，悄悄調用筆記本的攝像頭。

Andrey Konovalov，一位以xairy為名在GitHub上的Linux內核安全工程師，發布了一個工具，可以在商務筆記本ThinkPad X230上獲得對攝像頭LED指示器的軟件控制。雖然這款筆記本型號已經超過十年歷史，但該代碼在社區上引發了熱烈討論：為什么攝像頭和指示器不是硬連接？

Andrey發現X230的攝像頭是通過USB連接器連接，基于Ricoh R5U8710 USB攝像頭控制器。這在當時并不是特例，其他品牌的筆記本電腦也有類似操作。這就留下了一個隱患，控制器可以獨立啟用或禁用LED。這一發現存在一個比較敏感的場景，當黑客悄悄調用了攝像頭，但用戶卻無法發現，因為攝像頭LED指示燈沒有亮起來。

在實驗中，xairy成功開發并刷新了自定義固件。為了實現這一點，工程師不得不轉儲并分析控制器的SROM（只讀存儲器）的十六進制代碼，并在沒有任何文檔的情況下反匯編代碼，以找到負責流式傳輸視頻和啟用LED引腳的位置。

Xairy展示了USB設備固件可以使用軟件重寫，然后由損壞的代碼控制，并指出，“筆記本電腦的攝像頭通常通過USB內部連接，許多USB設備的固件可以通過USB刷新。”他認為，許多攝像頭的LED可以通過軟件和固件的組合以類似的方式控制。

對此，聯想表示，這是因為X230這類舊的、停產的系統沒有包含固件更新的驗證。自2019年以來，聯想的圖像處理器“已經包含了攝像頭固件的數字簽名檢查，支持帶有寫保護的安全膠囊更新。”

許多人更傾向于物理開關

Cybernews的研究人員表示，類似的攻擊可以繞過攝像頭指示器LED，在過去已經發生過許多次。“這種類型的攻擊的意義在于，它允許攻擊者通過在受影響的筆記本型號上安裝惡意軟件，未被察覺地監視他們的受害者。雖然我更傾向于將攝像頭指示器LED硬連接到攝像頭啟用/活動/電源信號，但并非所有內置攝像頭都這樣工作。”

Nazarovas指出，用于演示概念驗證的聯想X230筆記本已經超過10年歷史（發布于2012年）。在那個時候，通過軟件控制攝像頭指示器LED的做法更普遍和被接受，因為這類攻擊并不那么常見和已知。

與此同時，GitHub上該項目已經引起了很多關注。人們擔心，演示的方法可能影響許多其他通過USB連接攝像頭并允許刷新固件的筆記本電腦。用戶強烈表示，LED指示器應該連接到攝像頭的電源，或者是攝像頭的“啟用”信號，而不應該通過任何固件操作。LED還必須通過單次觸發器（一個晶體管+一個電容器）連接，以便它至少亮起500毫秒，防止制作難以察覺的單次射擊。

一些人認為，現代計算機有更強大的基于硬件的解決方案，以確保LED在攝像頭使用時始終亮起。但也有許多人更傾向于設置攝像頭物理硬件開關，以繞過任何基于軟件的指示器。

參考來源：https://cybernews.com/security/hackers-can-access-laptop-webcams-without-activating-the-led/