Προσωπικά δεδομένα 2,4 εκ. χρηστών καμερών ασφαλείας της Wyze βρέθηκαν εκτεθειμένα online

[Hik]

Περισσότερες πληροφορίες γράφει στο post της εταιρείας security που το έβγαλε στην επιφάνεια.

https://blog.12security.com/wyze-essay-2-aresflare/

Οι τύποι είναι απαράδεκτοι, ο τρόπος που έφτασαν στα δεδομένα είναι τόσο απλός που ακόμα και 1st year Computer Science student θα μπορούσε να το κάνει.

Πρακτικά είχαν public κώδικα project που είχε μέσα στοιχεία σύνδεσης σε βάση MySQL. Και το καλύτερο από όλα ήταν ότι μπορούσες να συνδεθείς στη βάση χωρίς κανένα password. Είναι τόσο τραγικά ανεύθυνο αυτό που είχαν κάνει που η μόνη απάντηση θα μπορούσε να είναι ότι το κάνανε επίτηδες.

Όπως λένε και στο blog

Αναφορά σε κείμενο

Second, the source code has multiple databases the addresses were hardcoded into. This is significant because these servers were left open on the public internet (no firewall that restricts say access to just a few IP addresses that passwords were allowed to come from). So the address was all you needed to get started bruteforcing a correct password combination into the database. This was neither needed or done because the credentials for accessing these databases were hardcoded AS WELL into the source code. Yet even this was unnecessary to access the database because if one simply logged in without any password...the database immediately granted access.

I will stop at this point to note that only the databases hosted in mainland China did appear to have protection, and the US databases did not appear to have passwords (although they might very well have on other interfaces we did not see). It’s strange that they seem to be protecting data in China more than data in the United States and this should be noted.

 

 

 

Επεξ/σία 31 Δεκεμβρίου 2019 από Hik

[DaemonLord92]

You could say that it was un-wyze to trust this company 😎

[_filippos_]

μου ήρθε το ενημερωτικό της Wyze στο email.
Αν και δεν εκλάπησαν κωδικοί προτείνουν να τους αλλάξουμε και να ενεργοποιήσουμε την ασφάλεια 2βηματων , η οποία απαιτεί αμερικάνικο νουμερο.
Το πιο αστείο πάντως ειναι οτι προτείνουν να ελέγχουμε απο ποιά σημεία (διευθύνσεις) γίνεται πρόσβαση στους λογαριασμούς Wyze κι εαν κάποια ειναι ύποπτη να παίρνουμε τα ανάλογα μέτρα.
Οκ... κάποιος εξοικειωμένος θα το κάνει, η πλειοψηφία που δεν έχει την παραμικρή ιδέα δεν θα ασχοληθεί καν.
Κρίμα για την εταιρία, γιατι το εχει φτιάξει το σύστημα πολύ ωραία αλλά σουρωτήρι η ασφάλεια.

[Jophiel]

13 ώρες πριν, nikchris είπε

Αυτό που δεν κατάλαβα είναι γιατί μερικοί μένετε σε σπίτια και δεν πάτε σε σπηλιές. 
 

Δηλαδή το θέμα σου είναι ότι διέρρευσε το ιστορικό μιας......ζυγαριάς; Τι λε ρε παιδί μου. Ξέρουν ποσό ζύγιζες την προηγούμενη βδομάδα.

Μιλάμε για καθαρό βιασμό της ιδιωτικοτητας

Δε μίλησα για "βιασμό της προσωπικότητας". Ρώτησα τί τα χρειάζονται. Αφού δεν έχουν καμιά σοβαρή αξία, συμφωνα με τη λογική σου, τότε γιατί τα συγκεντρώνουν; Δε θα ενδιαφέρει πχ καμία ασφαλιστική εταιρεία το αν είσαι χρόνια παχύσαρκος... Λέμε τώρα... Εξάλλου με τη χρήση κάποιου email τα δεδομένα αυτα μπορούν να συνδυαστούν με άλλα που μαζεύονται.

Απλές απορίες εξέφρασα. Είπα : για ποιο λόγο επιβάλλεται η συλλογή τους. Ζυγαριά είναι... Για όνομα δηλαδή...

 

Επεξ/σία 31 Δεκεμβρίου 2019 από Jophiel

[flyer]

3 ώρες πριν, _filippos_ είπε

...προτείνουν να ελέγχουμε απο ποιά σημεία (διευθύνσεις) γίνεται πρόσβαση στους λογαριασμούς Wyze....

Πως το ελέγχεις αυτό? Δεν έχω βρει κάτι στο app ούτε στη σελίδα τους....

[Doubt]

Τι γράφετε;

Έχει δικαίωμα η οποιαδήποτε wyze να βγάζει στη φόρα ή να εκθέτει δεδομένα από συσκευές της; Αυτό σηκώνει δικαστήριο και γενναία αποζημίωση.