Σοβαρό πρόβλημα ασφαλείας με τις κάμερες ασφαλείας "τοπικής αποθήκευσης" της Eufy

[timk]

Οι οικιακές κάμερες ασφαλείας έχουν βελτιωθεί πολύ τα τελευταία χρόνια, αλλά η ασφάλεια της μετάδοσης ήταν πάντα ένα θέμα που απασχολεί τους καταναλωτές.

Το brand Eufy της Anker ισχυρίζεται ότι τα δεδομένα διατηρούνται τοπικά, αλλά ένας ερευνητής ασφαλείας αποκάλυψε ότι ο ισχυρισμός αυτός απέχει πολύ από την αλήθεια, με τα πλάνα όχι μόνο να πηγαίνουν στο cloud, αλλά να παραμένουν ορατά ακόμη και μετά τη διαγραφή τους. Το κερασάκι στην τούρτα είναι ότι όλα αυτά γίνονται χωρίς καμία κωδικοποίηση.

Η Eufy φημίζεται για τις κάμερες ασφαλείας της, αναφέροντας ότι το βίντεο και άλλα δεδομένα που καταγράφονται από αυτές, παραμένουν σε τοπικό επίπεδο, τονίζοντας μάλιστα στον ιστότοπό της ότι "κανείς δεν έχει πρόσβαση στα δεδομένα σας εκτός από εσάς”.

Ο Paul Moore, ένας ερευνητής ασφαλείας, δημοσίευσε στο Twitter την περασμένη εβδομάδα ένα πολύ μεγάλο πρόβλημα ασφαλείας των προϊόντων οικιακής ασφάλειας της Eufy, συμπεριλαμβανομένων των κουδουνιών πόρτας που είναι εξοπλισμένα με κάμερες. Στο thread και στα συνοδευτικά βίντεο, ο Moore παρουσιάζει αποδείξεις ότι οι κάμερες της Eufy στέλνουν δεδομένα στο cloud, ακόμη και όταν η αποθήκευση στο cloud είναι απενεργοποιημένη.

Το κενό ασφαλείας ανακαλύφθηκε για πρώτη φορά με την κάμερα Doorbell Dual της Eufy, η οποία χρησιμοποιεί δύο κάμερες για να βλέπει τόσο τους ανθρώπους που πλησιάζουν την πόρτα σας όσο και το κατώφλι σας όπου μπορεί να υπάρχουν πακέτα.

Η κάμερα του κουδουνιού ανέβαζε δεδομένα αναγνώρισης προσώπου στους cloud servers της Eufy με συνημμένες πληροφορίες αναγνώρισης ενώ τα δεδομένα αυτά παρέμειναν στους servers ακόμα και όταν το σχετικό υλικό είχε διαγραφεί από την εφαρμογή της Eufy. Στο βίντεο, ο Moore αναφέρει επίσης ότι η Eufy χρησιμοποίησε τα δεδομένα αναγνώρισης προσώπου από δύο διαφορετικές κάμερες σε δύο εντελώς διαφορετικούς λογαριασμούς για να συνδέσει δεδομένα από τον καθένα, και επισημαίνει ότι η Eufy δεν ειδοποιεί ποτέ τον χρήστη ότι κάτι τέτοιο συμβαίνει.

Δεν είναι σαφές πόσες από τις κάμερες και τα προϊόντα οικιακής ασφάλειας της Eufy επηρεάζονται από το πρόβλημα αυτό. Το Android Central μπόρεσε να αναπαράγει τα ίδια προβλήματα ασφαλείας σε μια EufyCam 3 σε συνδυασμό με μια Eufy HomeBase 3.

Ίσως πιο ανησυχητικά ήταν τα ευρήματα ενός άλλου χρήστη ότι τα video streams από το hardware της Eufy είναι προσβάσιμα δημόσια χωρίς να είναι κρυπτογραφημένα. Χρησιμοποιώντας απλώς το δημοφιλές πρόγραμμα αναπαραγωγής πολυμέσων VLC, ένας χρήστης μπόρεσε να αποκτήσει πρόσβαση στην τροφοδοσία μιας κάμερας και ο Paul Moore επιβεβαίωσε (αν και χωρίς να δείξει πώς λειτουργεί) ότι οι μεταδόσεις βίντεο είναι προσβάσιμες χωρίς να απαιτείται κρυπτογράφηση ή έλεγχος ταυτότητας.

Η ιστοσελίδα The Verge επιβεβαίωσε περαιτέρω ότι το κενό ασφαλείας του VLC υπάρχει. Ένας υπεύθυνος δημοσίων σχέσεων της Anker δήλωσε με αυτοπεποίθηση: «Μπορώ να επιβεβαιώσω ότι δεν είναι δυνατόν ένα stream να το παρακολουθήσει κάποιος ζωντανά χρησιμοποιώντας εφαρμογή τρίτου κατασκευαστή όπως το VLC», κάτι που όμως δημοσιογράφοι διαψεύδουν κατηγορηματικά, καταφέρνοντας να κάνουν αυτό ακριβώς.

Η δημοσίευση σημειώνει ότι αρχικά χρειάστηκε έλεγχος ταυτότητας για να αποκτήσει πρόσβαση στα στοιχεία του stream, αλλά στη συνέχεια οι πληροφορίες λειτουργούν χωρίς περαιτέρω έλεγχο ταυτότητας. Κατάφεραν να κάνουν streaming βίντεο όσο η κάμερα ήταν σε λειτουργία εγρήγορση, δηλαδή όταν καταγράφει βίντεο μετά από ανίχνευση κίνησης ή όταν παρακολουθεί ζωντανά ο ιδιοκτήτης της. 

Ο Paul Moore, ο ερευνητής που ανέδειξε πρώτος αυτό το ζήτημα, μοιράστηκε επίσης με το δημοσίευμα ότι έχει ξεκινήσει νομικές διαδικασίες κατά της Anker. 

View full article

[dikasths]

Εγώ δεν έχω τέτοια θέματα. Έχω κάμερες xiaomi και ξέρω ότι με βλέπει μέχρι και ο τελευταίος κινεζος αγρότης στα βάθη της Κίνας. 

[nzeppos]

Μη μου λέτε τέτοια και μόλις σήμερα ζαχάρωνα μια Eufy doorbell. 

[dikasths]

4 λεπτά πριν, nzeppos είπε

Μη μου λέτε τέτοια και μόλις σήμερα ζαχάρωνα μια Eufy doorbell. 

Πάρτη, αν λείπεις από το σπίτι και χτυπήσει το κουδούνι, απαντάει κάποιος άλλος, καλή είναι 

[Thresh]

Μια ψύχραιμη τοποθέτηση θα έλεγα.

[miklas]

13 λεπτά πριν, nzeppos είπε

Μη μου λέτε τέτοια και μόλις σήμερα ζαχάρωνα μια Eufy doorbell. 

Την έχω εδώ κ ένα χρόνο τρομερή αυτονομία μπαταρίας φοβερό app,παρτην άλλωστε από παντού μας παρακολουθούν αν θέλουν σιγά 

[kyr123]

Και έδωσα σχεδόν 400ε για να πάρω της eufycam pro πριν 1 μήνα....

Δεν είναι κάτι καινούργιο βέβαια.Εδώ ο αλγόριθμος της Google χρησιμοποιεί τα ηχεία του κινητού σου για να ακούει λέξεις κλειδιά και να τις χρησιμοποιεί για διαφήμιση χωρίς εσύ να παίρνεις χαμπάρι

Επεξ/σία 2 Δεκεμβρίου 2022 από kyr123

[Devil9697]

Anker κανε κανεναν φορτιστή και power bank και ασε αυτα τα χωράφια, θα καψεις κοσμο!

Επεξ/σία 2 Δεκεμβρίου 2022 από Devil9697

[pollop]

Ρε παιδιά, επειδή είμαι κάποιας ηλικίας, με αφορμή το άρθρο και γενικά μιλώντας,το γνωρίζω ασφαλώς οτι μς παρακολουθούν απο όπου μπορούν, αλλά ας κάνουμε μια χάρη τουλάχιστον στα παιδιά μας να μην συνηθίζουμε αυτο το το ρουφιανιλικι, τα δικαιώματα  κερδήθηκαν με αίμα, φοβάμαι οτι οι επόμενες γενιες θα θεωρούν αυτονόητη την παρακολούθηση 

[filip123go]

1 ώρα πριν, kyr123 είπε

Και έδωσα σχεδόν 400ε για να πάρω της eufycam pro πριν 1 μήνα....

Δεν είναι κάτι καινούργιο βέβαια.Εδώ ο αλγόριθμος της Google χρησιμοποιεί τα ηχεία του κινητού σου για να ακούει λέξεις κλειδιά και να τις χρησιμοποιεί για διαφήμιση χωρίς εσύ να παίρνεις χαμπάρι

Spoiler

Source, dude trust me. 

 

[MrRush]

Κανένα κενό ασφαλείας, απλά δεν πάρθηκαν ποτέ μέτρα ασφαλείας και εν γνώση τους ήταν έτσι τρύπιο προϊόν έξω στην αγορά.

[warewolf]

Αυτού του είδους οι κάμερες, ακόμα κι αν δεν πληρώνεις συνδρομή στον server, η κάμερα εξακολουθεί να συνδέεται σε αυτόν, ώστε να μπορεί να ανεβάζει screeshots που εν συνεχεία θα σου στείλει στο κινητό, όταν ο ανιχνευτής κίνησης δώσει συναγερμό και εντολή καταγραφής βίντεο στην sd card.  Για να μπορείς να ξέρεις αν πρόκειται ή όχι για false alarm.

Linus και Luke, πολύ ωραία τα μούσλιμ μούσια και τα γεμάτα με conditioner μαλλιά, αλλά διαβάστε και κανένα manual.

Πάντως επειδή το θέμα έχει να κάνει με τη διαφορετική συμπεριφορά του αν η κάμερα χρησιμοποιεί το  eufy homebase 3 ή το wifi και ο ερευνητής ασφαλείας μιλούσε για κάμερες doorbell και πως αυτές έστελναν (κρυπτογραφημένα) στο cloud τυχόν πρόσωπα, όποιος θέλει, μπορεί να διαβάσει το παρακάτω που διαχωρίζει λίγο καλύτερα τα πράγματα.

https://time.news/a-security-researcher-says-that-eufy-has-a-major-security-problem/

Επεξ/σία 2 Δεκεμβρίου 2022 από warewolf

[jerry banana]

Η ιδιωτικότητα έχει χαθεί από τη στιγμή που υπάρχει η τεχνολογία. Πέφτουν όλοι από τα σύννεφα ενώ έχουμε όλοι κάτι στη τσέπη μας που αποτελεί όργανο παρακολούθησης από όσους γνωρίζουν.

[kyr123]

1 ώρα πριν, filip123go είπε

  Απόκρυψη περιεχομένων

Source, dude trust me. 

 

https://us.norton.com/blog/how-to/is-my-phone-listening-to-me#

Φάπα

 

Επεξ/σία 3 Δεκεμβρίου 2022 από kyr123

[Bourdoulas]

13 λεπτά πριν, kyr123 είπε

https://us.norton.com/blog/how-to/is-my-phone-listening-to-me#

Φάπα

Σε ακούει γιατί εσύ του έδωσες δικαίωμα μέσω της Siri/ Google Assistant. Καμία σχέση με αυτό που υπονοείς.