Wyze musi przyznać się do błędów w zabezpieczeniach Wyze Cam

Kiedy Wyze ogłosiło pod koniec stycznia, że ​​zaprzestanie produkcji oryginalnej kamery Wyze Cam zaledwie kilka dni później, określiło ten ruch jako uroczystość, posuwając się nawet do stwierdzenia, że ​​kamera „zawsze będzie zajmować szczególne miejsce w naszych sercach".

Ale nawet gdy Wyze obiecał, że „nadal możesz używać swojej kamery Wyze Cam v1″ po zbliżającej się dacie zakończenia jej eksploatacji 1 lutego, firma dodała złowieszczo – i tylko w przypisie – że „dalsze korzystanie z kamery Wyze Cam v1 po 1 lutego 2022 r. wiąże się ze zwiększonym ryzykiem, jest odradzany przez Wyze i odbywa się na własne ryzyko”.

W tamtym czasie coś brzmiało trochę, no cóż, nie tak z powodu nagłego ogłoszenia Wyze’a. Teraz wygląda na to, że wiemy dlaczego. 

Na początku tego tygodnia firma Bitdefender, zajmująca się cyberbezpieczeństwem, ujawniła (jak po raz pierwszy poinformował BleepingComputer ), że wcześniej – podobnie jak trzy lata temu – odkryła trzy poważne luki w Wyze Cam, z których jedna umożliwiłaby atakującym dostęp do danych na karcie SD kamery karta, w tym nagrany materiał wideo.

Bitdefender twierdzi, że początkowo ostrzegł Wyze o błędach w marcu 2019 r. Pierwsze dwa błędy zostały załatane we wrześniu 2019 r. i listopadzie 2020 r., ale usterka karty SD pozostała niezałatana do 29 stycznia 2022 r., pozostawiając oryginalną kamerę Wyze podatną na lukę w zabezpieczeniach.

Ogłaszając, że „wycofuje” Wyze Cam v1, Wyze powiedział, że dzieje się tak, ponieważ kamera „nie może już obsługiwać niezbędnej aktualizacji zabezpieczeń”. Patrząc wstecz, z pewnością brzmi to tak, jakby aktualizacja, o której mówił Wyze, była poprawką luki w zabezpieczeniach karty SD, którą otrzymały Wyze Cam v2 i v3.

Nie otrzymałem jeszcze odpowiedzi od Wyze na temat raportu Bitdefender, ale w oświadczeniu dla BleepingComputer przedstawiciel Wyze powiedział:

W Wyze przywiązujemy ogromną wagę do zaufania naszych użytkowników i poważnie traktujemy wszelkie kwestie związane z bezpieczeństwem.

Nieustannie oceniamy bezpieczeństwo naszych systemów i podejmujemy odpowiednie środki w celu ochrony prywatności naszych klientów. Doceniliśmy odpowiedzialne ujawnienie tych luk przez firmę Bitdefender. Współpracowaliśmy z Bitdefender i załataliśmy problemy z bezpieczeństwem w naszych obsługiwanych produktach. Te aktualizacje są już wdrażane w naszych najnowszych aktualizacjach aplikacji i oprogramowania układowego.

To wszystko dobrze, ale nie odpowiada na pytanie, dlaczego Wyze po prostu nie wyjaśnił luki w zabezpieczeniach karty SD w oryginalnej, niezałatanej kamerze Wyze Cam i wyraźnie nie ostrzegł użytkowników o ryzyku.

Pewna mądra kobieta z branży technologicznej powiedziała mi kiedyś: „Nie sprzedajemy pasty do zębów; sprzedajemy zaufanie”. Cóż, Wyze stoi teraz w obliczu poważnej luki w wiarygodności i musi to wyjaśnić. Przeprosiny też się chyba należą.

Aktualizacja: Wyze przesłał mi link do swojej oficjalnej odpowiedzi wieczorem po pierwotnym opublikowaniu tej historii. Pełny tekst znajduje się poniżej.

W Wyze przywiązujemy ogromną wagę do zaufania naszych użytkowników i poważnie traktujemy wszelkie kwestie związane z bezpieczeństwem.
Nieustannie oceniamy bezpieczeństwo naszych systemów i podejmujemy odpowiednie środki w celu ochrony prywatności naszych klientów. Doceniliśmy odpowiedzialne ujawnienie tych luk przez Bitdefender i współpracowaliśmy bezpośrednio z nimi, aby załatać problemy bezpieczeństwa w naszych obsługiwanych produktach przed publicznym raportem.
Najpierw chcielibyśmy poinformować naszych użytkowników, że te luki w zabezpieczeniach wymagają jakiejś formy dostępu do sieci lokalnej. Musiałbyś więc narazić swoją sieć lokalną bezpośrednio na działanie złego aktora lub na cały Internet, aby te luki można było wykorzystać zdalnie (zapewniamy, że nie powinieneś i prawdopodobnie nie masz takiej konfiguracji).
Jak poinformował Bitdefender na swojej osi czasu, wydaliśmy pierwszą łatkę w miesiącu następującym po naszym powiadomieniu iz biegiem czasu kontynuowaliśmy zmniejszanie ryzyka tych exploitów za pomocą dodatkowych łatek w kolejnych miesiącach. Naprawiliśmy te problemy i nie uważamy ich za trwające po opublikowaniu ostatecznych krytycznych aktualizacji zabezpieczeń dla ostatniej z lokalnych luk wykrytych w raporcie w lutym 2022 r. Chociaż szybko rozpoczęliśmy prace rozwojowe, chcemy szybciej reagować w przyszłości i poczyniliśmy znaczne postępy w naszej infrastrukturze bezpieczeństwa, w tym zatrudniliśmy zespół dedykowanych inżynierów bezpieczeństwa, którzy będą pracować wyłącznie nad reakcjami na zdarzenia związane z bezpieczeństwem i wzmocnieniem ochrony naszych użytkowników.
Być może zastanawiasz się: „Dlaczego dopiero teraz o tym słyszę?” Bitdefender i Wyze poważnie traktują bezpieczeństwo użytkowników, których dotyczy problem. Wiedząc, że aktywnie pracujemy nad łagodzeniem ryzyka i aktualizacjami korygującymi, wspólnie doszliśmy do wniosku, że najbezpieczniej jest zachować ostrożność w kwestii szczegółów do czasu usunięcia luk w zabezpieczeniach.
Niestety, pomimo szeroko zakrojonych wysiłków sięgających 2022 r., stwierdziliśmy, że Wyze Cam v1 (ostatnio sprzedawany w marcu 2018 r.) nie obsługuje niezbędnych aktualizacji zabezpieczeń. Ograniczona pamięć aparatu, która skłoniła nas do stworzenia Wyze Cam v2, bezpośrednio uniemożliwiła załatanie tych problemów w tym produkcie. Zachowaliśmy przejrzystość wobec naszych klientów i ujawniliśmy naszą niezdolność do dalszego oferowania niezbędnych aktualizacji zabezpieczeń w wiadomości e-mail ogłaszającej koniec okresu eksploatacji (EOL) tego produktu. Ze względów bezpieczeństwa ponownie zdecydowaliśmy się zachować ostrożność co do konkretnego powodu, dla którego do tej pory ograniczyliśmy ryzyko do wszystkich naszych użytkowników, których dotyczy problem, we wszystkich modelach, których dotyczy problem. Zdecydowanie zalecamy, aby nasi klienci nie korzystali już z produktów EOL, ponieważ zabezpieczenia i inne krytyczne aktualizacje nie są już dostarczane, i nadal namawiamy właścicieli Wyze Cam v1 do zaprzestania korzystania z tych produktów.
Wybór technologii do ochrony domu i bliskich to poważna decyzja. Nasza podróż w celu udostępnienia wspaniałej technologii wszystkim trwa i dokładamy wszelkich starań, aby zapewnić niezawodne i bezpieczne doświadczenie dla wszystkich.
Jeśli ktoś ma pytania lub wątpliwości dotyczące bezpieczeństwa Wyze, wyślij wiadomość e-mail bezpośrednio do naszego zespołu ds. bezpieczeństwa na adres security@wyze.com.

Zaktualizowano 4 kwietnia 2022 r., aby dodać oficjalną odpowiedź od Wyze.