安防摄像头惊现硬编码 GitHub 管理员令牌，IoT 设备供应链安全再引担忧

近日，Hacker News 上的一则帖子揭示了物联网（IoT）设备供应链中存在的严重安全隐患。有用户发现，一款消费级安防摄像头在出厂时，其登录页面的代码中竟然硬编码了一个 GitHub 管理员令牌。这意味着该设备的出厂固件中直接包含了能够访问特定 GitHub 仓库的高权限凭证。任何获取到该设备的用户，只需简单的网络抓包或查看网页源代码，即可提取出该敏感令牌，进而对相关的代码仓库进行未授权的操作。

这一发现引发了关于硬件设备开发流程安全的广泛讨论。评论区的技术人员指出，这种“硬编码凭证”的现象并非个例，在各类低成本的 IoT 设备中屡见不鲜。更有开发者分享了类似的案例，指出部分 OBD-II 汽车诊断加密狗曾因出厂时使用相同的 MAC 地址，导致攻击者可以通过伪造 MAC 地址直接获取相关网站的完全控制权。这种将安全验证依赖于客户端可控参数（如 MAC 地址）的做法，暴露了极其薄弱的安全意识。

从技术角度看，这些案例共同指向了 IoT 设备供应链中的普遍问题：开发者为了生产便利或疏忽，将测试用的管理员凭证、密钥留在了正式发布的固件中；或者后台服务过度信任设备上报的硬件信息。这种行为不仅危及设备自身的安全，更可能将上游的开发工具（如 GitHub 仓库）或关联的云服务卷入安全风险之中。

事件分析

💡 核心观点：IoT 设备硬编码高权凭证暴露了供应链安全底层的薄弱，物理设备的不透明性往往掩盖了软件层面的巨大漏洞。