[Update: Erklärung] Ein Eufy-Sicherheitsfehler ermöglicht es Fremden, die Kamera-Feeds der anderen anzuzeigen und zu steuern
Update, 19.05.21 11:36 Uhr: Eufy hat uns mit einer Erklärung geantwortet, die unten verfügbar ist. Wir kommunizieren mit dem Unternehmen für weitere Informationen.
Ein Eufy-Sicherheitsfehler verschaffte Benutzern vollständigen Zugriff auf die Konten von Fremden, einschließlich Live-Video-Feeds, Aufzeichnungen, Kameraschwenk- und Zoomsteuerung sowie Informationen zu privaten Konten. Während Eufy behauptet, das Problem behoben zu haben, schlägt es vor, dass alle Benutzer ihre Kamera-Hardware abstecken und wieder anschließen und sich bei der Eufy Security-App abmelden und wieder anmelden. Das ist ein schlechtes Zeichen, Leute!
Der Fehler wurde von mehreren Eufy-Benutzern auf Reddit gemeldet, die feststellten, dass sie bei zufälligen Eufy-Sicherheitskonten angemeldet waren. Laut Eufy trat der Fehler während eines Server-Upgrades um 4:50 Uhr EST auf, was erklärt, warum nur sehr wenige Menschen in den USA darauf gestoßen sind. Dennoch hatten viele der Australier, die diesen Fehler auf Reddit gemeldet haben, Zugriff auf Eufy Security-Konten in den USA und anderen Teilen der Welt.
Wir haben Eufy um eine Erklärung gebeten, die Sie hier lesen können. Wir werden diesen Artikel weiter aktualisieren, wenn das Unternehmen weitere Informationen bereitstellt:
Wir haben eng mit dem eufy-Team zusammengearbeitet, um herauszufinden, was passiert ist und was das Unternehmen als nächstes tun wird, und unten ist das Update:
Während eines Software-Updates, das auf unserem Server in den Vereinigten Staaten am 17. Mai um 4:50 Uhr EDT durchgeführt wurde, trat ein Fehler auf, der eine begrenzte Anzahl von Benutzern in den Vereinigten Staaten, Kanada, Mexiko, Kuba, Neuseeland, Australien und Argentinien betraf. Nutzer in Europa und anderen Regionen bleiben davon unberührt. Unser Engineering-Team hat das Problem um 5:30 Uhr EDT identifiziert und die Serverversion sofort zurückgesetzt und ein Notfallupdate bereitgestellt. Der Vorfall wurde um 6:30 Uhr EDT behoben. Wir haben bestätigt, dass in diesem Fall insgesamt 712 Benutzer betroffen waren.
Obwohl das Problem behoben wurde, empfehlen wir Benutzern in den betroffenen Ländern (USA, Kanada, Mexiko, Argentinien, Neuseeland, Australien und Kuba):
- Bitte trennen Sie die eufy Security Home Base und schließen Sie sie wieder an.
- Melden Sie sich aus der eufy Security App ab und wieder an.
Alle unsere Benutzervideodaten werden lokal auf den Geräten der Benutzer gespeichert. Als Dienstanbieter bietet eufy Kontoverwaltung, Geräteverwaltung und Remote-P2P-Zugriff für Benutzer über AWS-Server. Alle gespeicherten Daten und Kontoinformationen werden verschlüsselt.
Um dies in Zukunft zu vermeiden, ergreifen wir folgende Maßnahmen:
- Wir aktualisieren unsere Netzwerkarchitektur und verstärken unseren Zwei-Wege-Authentifizierungsmechanismus zwischen den Servern, Geräten und der eufy Security App.
- Wir aktualisieren unsere Server, um ihre Verarbeitungskapazität zu verbessern und potenzielle Risiken zu beseitigen.
- Wir sind auch dabei, die TÜV- und BSI-Zertifizierungen für das Privacy Information Management System (PIMS) zu erhalten, die unsere Produktsicherheit weiter verbessern werden.
Wir verstehen, dass wir bei Ihnen, unseren Kunden, wieder Vertrauen aufbauen müssen. Es tut uns unglaublich leid und wir versprechen, alle notwendigen Maßnahmen zu ergreifen, um zu verhindern, dass dies jemals wieder passiert. Vielen Dank, dass Sie uns Ihre Sicherheit anvertrauen. Unser Team ist rund um die Uhr unter support@eufylife.com und Mo-Fr 9:00-17:00 (PT) über unseren Online-Chat auf eufylife.com erreichbar.
Einige Benutzer des r/EufyCam-Subreddit berichten, dass sie ungefähr zu der Zeit, als der Fehler zum ersten Mal gemeldet wurde, seltsame Geräusche von ihrer Kamera gehört haben, ein Zeichen dafür, dass sie von jemandem beobachtet wurden, der die Freisprechfunktion der Kamera aktiviert hat. Es überrascht nicht, dass diese Benutzer sagen, dass sie ihre Eufy-Kameras nicht mehr behalten möchten.
Abgesehen von seinem kurzen Tweet hat Eufy den Fehler nicht kommentiert. Wir wissen nicht, warum Benutzer plötzlich in die Konten der anderen stolperten oder warum Eufy fast 2 Stunden brauchte, um das Problem zu lösen – und wir wissen nicht wirklich, ob es behoben ist. Der Vorschlag des Unternehmens, dass sich Benutzer von ihren Konten abmelden und wieder anmelden, impliziert, dass einige Personen möglicherweise immer noch Zugriff auf die Konten von Fremden haben. Es ist auch unklar, ob dieses Problem Benutzer von HomeKit Secure Video betrifft, die vor solchen Sicherheitslücken geschützt werden sollten.
Wenn Sie Eufy-Überwachungskameras besitzen, sollten Sie sich von Ihrem Konto abmelden und wieder anmelden und Ihre Kamerahardware für einen schnellen Reset vorübergehend vom Stromnetz trennen. Oder schalten Sie Ihre Kameras aus, bis Eufy echte Informationen darüber liefert, wie es zu dieser Sicherheitsverletzung kam. Sie können auch darum bitten, Ihre Kameras zurückzugeben und zu einer anderen Marke zu wechseln .
Quelle: Eufy, r/EufyCam über Engadget