Wyzen on selvitettävä Wyze Camin tietoturvapuutteet

Kun Wyze tammikuun lopulla ilmoitti lopettavansa alkuperäisen Wyze Camin valmistuksen vasta muutamaa päivää myöhemmin, se kuvasi muuton juhlaksi ja sanoi, että kameralla on aina erityinen paikka sydämissämme.

Mutta vaikka Wyze lupasi, että "voit silti käyttää Wyze Cam v1:täsi" sen lähestyvän käyttöiän päättymispäivän 1. helmikuuta jälkeen, yhtiö lisäsi pahaenteisesti – ja vain alaviitteessä –, että "jatkaa Wyze Cam v1:n käyttöäsi sen jälkeen Helmikuun 1. päivänä 2022 on lisääntynyt riski, Wyze ei rohkaisee sitä ja se on täysin omalla riskilläsi."

Tuolloin Wyzen äkillinen ilmoitus kuulosti hieman, no, outolta. Nyt näyttää siltä, ​​että tiedämme miksi. 

Aiemmin tällä viikolla kyberturvallisuusyritys Bitdefender paljasti (kuten BleepingComputer kertoi ensimmäisenä ), että se oli aiemmin – kuten kolme vuotta sitten – havainnut kolme vakavaa Wyze Cam -haavoittuvuutta, joista yksi olisi mahdollistanut hyökkääjien pääsyn kameran SD-muistin tietoihin. kortti, mukaan lukien tallennettu videomateriaali.

Bitdefender kertoo varoittaneensa Wyzeä puutteista maaliskuussa 2019. Ensimmäiset kaksi vikaa korjattiin syyskuussa 2019 ja marraskuussa 2020, mutta SD-korttivirhe pysyi korjaamattomana 29. tammikuuta 2022 asti, ja vain Wyze Cam v2 ja v3 saivat korjauksen., jolloin alkuperäinen Wyze Cam on haavoittuvainen tietoturva-aukolle.

Ilmoitettuaan Wyze Cam v1:n "poistavan käytöstä", Wyze sanoi, että se johtui siitä, että kamera "ei voi enää tukea tarpeellista tietoturvapäivitystä". Jälkeenpäin katsottuna kuulostaa varmasti siltä, ​​että Wyzen mainitsema päivitys oli SD-kortin haavoittuvuuskorjaus, jonka Wyze Cam v2 ja v3 saivat.

En ole vielä kuullut Wyzeltä Bitdefender-raportista, mutta BleepingComputerille antamassaan lausunnossa Wyzen edustaja sanoi:

Me Wyze arvostaa käyttäjiemme luottamusta meihin valtavasti ja otamme kaikki turvallisuuskysymykset vakavasti.

Arvioimme jatkuvasti järjestelmiemme turvallisuutta ja ryhdymme asianmukaisiin toimenpiteisiin asiakkaidemme yksityisyyden suojaamiseksi. Arvostamme Bitdefenderin vastuullista paljastamista näistä haavoittuvuuksista. Työskentelimme Bitdefenderin kanssa ja korjasimme tuettujen tuotteiden tietoturvaongelmat. Nämä päivitykset on jo otettu käyttöön uusimmissa sovellus- ja laiteohjelmistopäivityksissämme.

Se on hyvä ja hyvä, mutta se ei vastaa kysymykseen, miksi Wyze ei yksinkertaisesti selittänyt SD-kortin haavoittuvuutta alkuperäisessä, korjaamattomassa Wyze Camissa ja varoittanut käyttäjiä nimenomaisesti riskeistä.

Viisas nainen teknologia-alalla sanoi kerran minulle: "Emme myy hammastahnaa; myymme luottamusta." No, Wyze on nyt vakavan uskottavuusvajeen edessä, ja se on puhdistettava. Anteeksipyyntö on varmaan myös paikallaan.

Päivitys: Wyze lähetti minulle linkin viralliseen vastaukseensa iltana tämän tarinan alun perin julkaisemisen jälkeen. Koko teksti on alla.

Me Wyze arvostaa käyttäjiemme luottamusta meihin valtavasti ja otamme kaikki turvallisuuskysymykset vakavasti.
Arvioimme jatkuvasti järjestelmiemme turvallisuutta ja ryhdymme asianmukaisiin toimenpiteisiin asiakkaidemme yksityisyyden suojaamiseksi. Arvostamme Bitdefenderin vastuullista paljastamista näistä haavoittuvuuksista ja työskentelimme suoraan heidän kanssaan tuettujen tuotteidemme tietoturvaongelmien korjaamiseksi ennen julkista raporttia.
Ensinnäkin haluamme kertoa käyttäjillemme, että nämä haavoittuvuudet vaativat jonkinlaista pääsyä paikalliseen verkkoon. Sinun olisi siis täytynyt paljastaa paikallisverkkosi joko suoraan huonolle toimijalle tai Internetille yleensä, jotta näitä haavoittuvuuksia olisi voitu hyödyntää etänä (ole varma, että sinun ei pitäisi eikä todennäköisesti sinulla ole tällaista asennusta).
Kuten Bitdefender raportoi aikajanallaan, julkaisimme ensimmäisen korjaustiedoston ilmoitustamme seuraavan kuukauden aikana, ja ajan myötä jatkoimme näiden hyväksikäyttöjen riskin vähentämistä lisäkorjauksilla seuraavina kuukausina. Olemme korjanneet nämä ongelmat, emmekä pidä tätä enää käynnissä sen jälkeen, kun viimeiset kriittiset tietoturvapäivitykset julkaistiin raportissa löydetyistä viimeisistä haavoittuvuuksista helmikuussa 2022. Vaikka aloitimme kehityksen nopeasti, haluamme vastata nopeammin jatkossa. ja olemme tehneet merkittäviä edistysaskeleita tietoturvainfrastruktuurissamme, mukaan lukien palkkaamalla omistautuneiden tietoturvainsinöörien tiimin työskentelemään yksinomaan tietoturvatapahtumiin vastaamiseksi ja käyttäjien suojauksen vahvistamiseksi.
Saatat ihmetellä: "Miksi kuulen tästä vasta nyt?" Bitdefender ja Wyze ottavat molemmat käyttäjien turvallisuuden vakavasti. Tietäen, että työskentelimme aktiivisesti riskien vähentämisen ja korjaavien päivitysten parissa, tulimme yhdessä siihen tulokseen, että on turvallisinta olla tarkkana yksityiskohtien suhteen, kunnes haavoittuvuudet on korjattu.
Valitettavasti huolimatta laajoista ponnisteluista, jotka ulottuivat vuoteen 2022, havaitsimme, että Wyze Cam v1 (viimeksi myyty maaliskuussa 2018) ei voinut tukea tarvittavia tietoturvapäivityksiä. Rajoitettu kameramuisti, joka sai meidät luomaan Wyze Cam v2:n, esti suoraan näiden ongelmien korjaamisen kyseisessä tuotteessa. Olimme avoimia asiakkaidemme kanssa ja paljastimme kyvyttömyytemme tarjota tarvittavia tietoturvapäivityksiä sähköpostissa, jossa ilmoitimme tämän tuotteen käyttöiän päättymisestä (EOL). Turvallisuussyistä päätimme jälleen olla varovaisia ​​tarkastelemaan erityistä syytä, miksi tähän asti on rajoitettu riskiä kaikille käyttäjillemme, joita asia koskee, kaikissa malleissa, joita tämä koskee. Suosittelemme vahvasti, että asiakkaamme eivät enää käytä EOL-tuotteita, koska tietoturva- ja muita tärkeitä päivityksiä ei enää tarjota, ja kehotamme edelleen Wyze Cam v1:n omistajia lopettamaan näiden tuotteiden käytön.
Teknologian valitseminen kotisi ja läheistesi suojaamiseksi on suuri päätös. Matkamme tehdä hienosta tekniikasta kaikkien ulottuvilla jatkuu, ja olemme sitoutuneet tarjoamaan luotettavan ja turvallisen kokemuksen kaikille.
Jos jollain on kysyttävää tai huolenaiheita Wyzen turvallisuudesta, lähetä sähköpostia tietoturvatiimiimme suoraan osoitteeseen security@wyze.com.

Päivitetty 4. huhtikuuta 2022 Wyzen virallisen vastauksen lisäämiseksi.