Skip to main content

Владелец бренда Anker наконец-то ответил на доказательства серьезного нарушения безопасности камеры Eufy, но его официальное заявление по-прежнему оставляет без ответа множество вопросов.

Теперь компания признала, что солгала пользователям о том, что все кадры и изображения хранятся локально и никогда не отправляются в облако, после того как исследователь безопасности доказал, что это неправда…

Дополнение

Одним из самых больших достижений в области домашних камер видеонаблюдения потребительского уровня стало добавление технологии распознавания лиц. Вместо того, чтобы просто идентифицировать движение, камера может определить разницу между человеком и, например, домашним животным. Кроме того, распознавание лиц предотвращает отправку ненужных предупреждений системы безопасности при обнаружении известного члена семьи.

Большинство технологий распознавания лиц выполняются на облачных серверах, но Анкер сказал, что его камеры Eufy делают это на самих устройствах, без необходимости отправлять изображения в облако. На сайте компании по-прежнему недвусмысленно указано, что она не отправляет данные в облако.

Никаких облаков и затрат. Это означает, что никто не имеет доступа к вашим данным, кроме вас.

Нарушение безопасности камеры Eufy

Пол Мур недавно представил доказательства того, что заявление Анкера о конфиденциальности не соответствует действительности.

Мур демонстрирует доказательство того, что камеры Eufy отправляют данные, которые, как говорят, «хранятся локально» в облако, даже если облачное хранилище отключено. […]

Камера дверного звонка загружала данные распознавания лиц с камеры на облачные серверы Eufy с прикрепленной идентифицирующей информацией, и что эти данные фактически не удалялись с серверов Eufy, когда соответствующие кадры были удалены из приложения Eufy. В видео ниже Мур также отмечает, что Eufy использовала данные распознавания лиц с двух разных камер на двух совершенно разных аккаунтах, чтобы связать данные с каждого, и указывает, что Eufy никогда не уведомляет пользователя о том, что это происходит — рынок компании скорее подразумевает просто противоположный.

Хуже того, другой пользователь обнаружил, что можно просматривать незашифрованное живое видео без аутентификации.

Просто используя популярный медиаплеер VLC, пользователь мог получить доступ к потоку с камеры, и Пол Мур подтвердил (хотя и не показал, как это работает), что к потокам можно получить доступ без необходимости шифрования или аутентификации.

The Verge также подтвердил это.

Компания частично признает проблемы

На этой неделе Анкер опубликовал сообщение в блоге, в котором частично признал наличие проблем, заявив при этом, что никакие пользовательские данные не были раскрыты (выделено нами):

«eufy Security использует облако для отправки пользователям мобильных push-уведомлений»

Это верно. Как упоминалось ранее, eufy Security стремится по возможности сократить использование облака в наших процессах безопасности. Однако сегодня некоторые процессы по-прежнему требуют от нас использования нашего защищенного сервера AWS.

Например, в случае push-уведомлений безопасности — когда пользователь решил включить миниатюру в это уведомление безопасности — небольшое изображение предварительного просмотра события безопасности отправляется на наш защищенный сервер AWS, а затем передается на телефон пользователя. Это изображение защищено сквозным шифрованием и удаляется вскоре после отправки push-уведомления. Этот процесс также соответствует всем отраслевым стандартам.

Он также признал недостатки своего веб-портала, но отрицал раскрытие каких-либо пользовательских данных.

Никакие пользовательские данные не были раскрыты, и потенциальные недостатки безопасности, обсуждаемые в Интернете, носят спекулятивный характер. Тем не менее, мы согласны с тем, что есть некоторые ключевые области для улучшения. Итак, мы сделали [authentication] изменения.

Компания продолжает отрицать, что данные распознавания лиц отправляются в облако.

Многие вопросы остаются без ответа

The Verge пишет, что заявление оставляет без ответа множество вопросов, начиная с ключевого:

Почему любой может просматривать незашифрованный поток в VLC Media Player на другом конце страны, с якобы всегда локальной, всегда сквозно зашифрованной камеры.

Сайт отправил Анкеру длинный список дополнительных вопросов:

Почему ваши камеры с якобы сквозным шифрованием вообще выдают незашифрованные потоки?

При каких обстоятельствах видео действительно шифруется?

Используют ли какие-либо другие части службы Eufy незашифрованные потоки, такие как настольный веб-портал Eufy?

Как долго доступен незашифрованный поток?

Существуют ли модели камер Eufy, которые не передают незашифрованные потоки?

Будет ли Eufy полностью отключать передачу незашифрованных потоков? Когда? Как? Если нет, то почему?

Если нет, расскажет ли Eufy своим клиентам, что их потоки на самом деле не всегда зашифрованы сквозным шифрованием? Когда и где?

Изменил ли Eufy URL-адреса потоков на что-то более сложное для обратного проектирования? Если нет, сделает ли это Юфи? Когда?

Доступны ли незашифрованные потоки, когда камеры используют HomeKit Secure Video?

Правда ли, что «ZXSecurity17Cam@» является фактическим ключом шифрования? Если нет, то почему это появилось в вашем коде, помеченном как ключ шифрования, и появилось в репозитории GitHub с 2019 года?

Помимо эскизов и незашифрованных потоков, есть ли какие-либо другие личные данные или элементы идентификации, к которым камеры Eufy разрешают доступ через облако?

Помимо потенциального подключения к незашифрованному потоку, есть ли какие-либо другие вещи, которые серверы Eufy могут удаленно указать камере?

Что мешает сотрудникам Eufy и Anker подключиться к этим потокам?

Какие еще конкретные меры предпримет Eufy для обеспечения безопасности и успокоения клиентов?

Наняла ли Anker какие-либо независимые охранные фирмы для проведения аудита своей деятельности после раскрытия информации? Который?

Будет ли Anker предлагать возмещение тем клиентам, которые купили камеры в соответствии с обязательствами Eufy по обеспечению конфиденциальности?

Почему Анкер сказал The Verge, что невозможно просмотреть незашифрованный поток в таком приложении, как VLC?

Делится ли eufy видеозаписями с правоохранительными органами?

Это не первый случай, когда третьи стороны могут просматривать якобы сквозные зашифрованные видеопотоки с камер Eufy: то же самое произошло еще в мае прошлого года.