▪︎ مجلس نيوز
اكتسبت Anker سمعة رائعة من حيث الجودة على مدار العقد الماضي ، حيث قامت ببناء أعمالها في مجال شحن الهواتف في إمبراطورية تغطي جميع أنواع الأجهزة الإلكترونية المحمولة – بما في ذلك كاميرات Eufy المنزلية الأمنية التي أوصينا بها على مر السنين. يوفي الالتزام بالخصوصية أمر رائع: يعد بأن يتم تخزين بياناتك محليًا ، وبأنها “لا تترك أمان منزلك أبدًا” ، وأن لقطاتها لا يتم إرسالها إلا بتشفير من الدرجة العسكرية “من طرف إلى طرف” ، وأنها سترسل فقط ذلك لقطات “مباشرة على هاتفك”.
لذا يمكنك أن تتخيل دهشتنا عندما تعلم أنه يمكنك بث الفيديو من كاميرا Eufy ، من الجانب الآخر من الدولة ، بدون تشفير على الإطلاق.
والأسوأ من ذلك ، أنه لم يتضح بعد مدى انتشار ذلك – لأنه بدلاً من معالجته وجهاً لوجه ، ادعت الشركة زوراً الحافة حتى أنه لم يكن ممكنًا.
في يوم عيد الشكر ، مستشار المعلومات والاتصالات بول مور والهاكر الذي يذهب من قبل الوسابي كلاهما مزعوم يمكن لكاميرات Anker Eufy البث بدون تشفير عبر السحابة – فقط عن طريق الاتصال بعنوان فريد في خوادم Eufy السحابية باستخدام مشغل الوسائط VLC المجاني.
عندما طلبنا من Anker Point-blank تأكيد ذلك أو نفيه ، نفته الشركة بشكل قاطع. أخبرني بريت وايت ، مدير العلاقات العامة في Anker ، عبر البريد الإلكتروني: “يمكنني أن أؤكد أنه من غير الممكن بدء بث ومشاهدة لقطات حية باستخدام لاعب من طرف ثالث مثل VLC”.
ولكن الحافة يمكن الآن تأكيد أن هذا ليس صحيحًا. هذا الأسبوع ، شاهدنا مرارًا وتكرارًا لقطات حية من اثنتين من كاميرات Eufy الخاصة بنا باستخدام مشغل وسائط VLC نفسه ، من جميع أنحاء الولايات المتحدة – مما يثبت أن Anker لديه طريقة لتجاوز التشفير والوصول إلى هذه الكاميرات التي يفترض أنها آمنة عبر السحابة.
هناك بعض الأخبار السارة: لا يوجد دليل حتى الآن على أن هذا قد تم استغلاله في البرية ، والطريقة التي حصلنا بها في البداية على العنوان المطلوب تسجيل الدخول باستخدام اسم مستخدم وكلمة مرور قبل أن يقوم موقع Eufy بإطلاق البث الخالي من التشفير. (نحن لا نشارك التقنية الدقيقة هنا.)
أيضًا ، يبدو أنه يعمل فقط على الكاميرات المستيقظة. اضطررنا إلى الانتظار حتى تكتشف كاميرا المصباح الكاشف لدينا سيارة عابرة ، أو ضغط مالكها على زر ، قبل أن يبدأ دفق VLC.
الرقم التسلسلي للكاميرا المكون من 16 رقمًا – الذي يظهر على الأرجح على العلبة – هو الجزء الأكبر من المفتاح
لكن الأمر يزداد سوءًا أيضًا: يبدو أن أفضل ممارسات Eufy غير المطابقة للمواصفات لدرجة أن الجهات الفاعلة السيئة قد تكون قادرة على معرفة عنوان موجز الكاميرا – لأن هذا العنوان يتكون إلى حد كبير من الرقم التسلسلي للكاميرا الخاصة بك المشفر في Base64 ، وهو شيء يمكنك عكسه بسهولة باستخدام آلة حاسبة بسيطة عبر الإنترنت.
يتضمن العنوان أيضًا طابعًا زمنيًا لـ Unix يمكنك إنشاؤه بسهولة ، ورمزًا مميزًا لا يبدو أن خوادم Eufy تتحقق منه بالفعل (لقد غيرنا الرمز المميز الخاص بنا إلى “تعسفي البطاطس” ولا يزال يعمل) ، وعرافة عشوائية مكونة من أربعة أرقام مكونة من 65.536 توليفة يمكن بسهولة أن يتم إجبارها الغاشمة.
“هذه بالتأكيد ليست الطريقة التي يجب أن تصمم بها” ، هذا ما قاله جاكوب طومسون ، مهندس الثغرات في مانديانت يروي الحافة. لسبب واحد ، الأرقام التسلسلية لا تتغير ، لذلك يمكن للممثل السيئ أن يعطي أو يبيع أو يتبرع بكاميرا للنوايا الحسنة ويستمر بهدوء في مشاهدة الخلاصات. لكنه يشير أيضًا إلى أن الشركات لا تميل إلى الحفاظ على سرية أرقامها التسلسلية. يقوم البعض بلصقها مباشرة على العلبة التي يبيعونها في Best Buy – نعم ، بما في ذلك Eufy.
على الجانب الإيجابي ، فإن الأرقام التسلسلية لـ Eufy طويلة عند 16 حرفًا وليست مجرد رقم متزايد. “لن تكون قادرًا على مجرد التخمين في بطاقات الهوية والبدء في ضربها” ، كما يقول مستشار فريق Mandiant Red ، ديلون فرانك ، واصفًا ذلك بأنه “نعمة توفير” لهذا الكشف. “لا يبدو الأمر بهذا السوء كما لو كان UserID 1000 ، ثم جرب 1001 ، 1002 ، 1003.”
يمكن أن يكون أسوأ. عندما دكتوراه وباحث أمن جورجيا تك. كان المرشح عمر الراوي يدرس ممارسات المنزل الذكي الرديئة في عام 2018 ، ورأى بعض الأجهزة تحل محلها عنوان MAC الخاص بهم للأمان – على الرغم من أن عنوان MAC يتكون من اثني عشر حرفًا فقط ، ويمكنك عمومًا معرفة الأحرف الستة الأولى فقط من خلال معرفة الشركة التي صنعت أداة ، كما يوضح.
“أصبح الرقم التسلسلي الآن أمرًا بالغ الأهمية للحفاظ على السرية.”
لكننا أيضًا لا نعرف كيف يمكن أن تتسرب هذه الأرقام التسلسلية ، أو ما إذا كان Eufy قد يوفرها عن غير قصد لأي شخص يسأل. يقول Franke: “في بعض الأحيان ، هناك واجهات برمجة تطبيقات ستعيد بعض معلومات المعرف الفريدة هذه”. “أصبح الرقم التسلسلي الآن أمرًا بالغ الأهمية للحفاظ على السرية ، ولا أعتقد أنهم سيتعاملون معه بهذه الطريقة.”
يتساءل طومسون أيضًا عما إذا كانت هناك نواقل هجوم محتملة أخرى الآن بعد أن علمنا أن كاميرات Eufy ليست مشفرة بالكامل: “إذا كانت البنية تسمح لهم بطلب الكاميرا لبدء البث في أي وقت ، فإن أي شخص لديه وصول إداري لديه القدرة على الوصول البنية التحتية لتكنولوجيا المعلومات وشاهد الكاميرا الخاصة بك ، ” هذا بعيد كل البعد عن ادعاء أنكر بأن اللقطات “تُرسل مباشرة إلى هاتفك – وأنت فقط تملك المفتاح”.
بالمناسبة ، هناك علامات أخرى مقلقة على أن ممارسات أنكر الأمنية قد تكون أكثر فقراً بكثير مما سمحت به. بدأت هذه القصة برمتها عندما بدأ مور بدأ بتغريد الاتهامات أن Eufy قد انتهك وعودًا أمنية أخرى ، بما في ذلك تحميل الصور المصغرة (بما في ذلك الوجوه) على السحابة بدون إذن و فشل في حذف البيانات الخاصة المخزنة. وبحسب ما ورد اعترف أنكر بالسابق لكن وصفها بسوء تفاهم.
الأكثر إثارة للقلق إذا كان هذا صحيحًا ، كما يدعي أن مفتاح تشفير Eufy لمقطع الفيديو الخاص به هو حرفياً مجرد سلسلة نص عادي “ZXSecurity17Cam @”. تظهر هذه العبارة أيضًا في مستودع GitHub اعتبارًا من 2019، جدا.
لم يرد أنكر الحافةسؤال مباشر بنعم أو لا حول ما إذا كان “ZXSecurity17Cam @” هو مفتاح التشفير.
لم نتمكن من الحصول على مزيد من التفاصيل من مور أيضًا ؛ أخبر الحافة لا يمكنه التعليق أكثر الآن بعد أن بدأ الإجراءات القانونية ضد انكر.
الآن بعد أن تم القبض على Anker في بعض الأكاذيب الكبيرة ، سيكون من الصعب الوثوق بكل ما تقوله الشركة بعد ذلك – ولكن بالنسبة للبعض ، قد يكون من المهم معرفة الكاميرات التي تعمل ولا تتصرف بهذه الطريقة ، وما إذا كان سيتم تغيير أي شيء ، وعندما. عندما كان لدى Wyze ثغرة أمنية مشابهة بشكل غامض ، جرفتها تحت البساط لمدة ثلاث سنوات ؛ آمل أن يفعل أنكر أفضل بكثير.
قد لا يرغب البعض في الانتظار أو الثقة بعد الآن. قال لي الراوي: “إذا وصلتني هذه الأخبار وكانت هذه الكاميرا داخل منزلي ، فسأطفئها على الفور ولا أستخدمها ، لأنني لا أعرف من يمكنه مشاهدتها ومن لا يستطيع ذلك”.
Wasabi ، مهندس الأمن الذي أوضح لنا كيفية الحصول على عنوان شبكة كاميرا Eufy ، يقول إنه يمزق كل ما لديه. “لقد اشتريت هذه لأنني كنت أحاول أن أكون مدركًا للأمان!” صرخ.
مع بعض كاميرات Eufy المحددة، ربما يمكنك محاولة تبديلها لاستخدام فيديو HomeKit الآمن من Apple بدلاً من ذلك.
مع إعداد التقارير والاختبار بواسطة Jen Tuohy و Nathan Edwards