योवी एंकर अनएन्क्रिप्टेड वीडियो तक पहुंच को स्वीकार करता है, योजनाओं को ठीक करने की योजना है

आलोचकों के साथ आगे और पीछे बहस करने के दो महीने बाद कि कैसे सुरक्षा शोधकर्ताओं के पास सुरक्षा कैमरों के कई पहलुओं तक “क्लाउडलेस” पहुंच थी, एंकर यूफी के स्मार्ट होम डिवीजन ने एक लंबी व्याख्या की पेशकश की और बेहतर करने का वादा किया।

में किनारे पर एकाधिक प्रतिक्रियाएँEufy, जिसने अपने सुरक्षा मॉडल के प्रमुख पहलुओं को संबोधित करने में विफल रहने के लिए बार-बार Eufy को बुलाया है, ने स्पष्ट रूप से कहा है कि इसके कैमरों द्वारा उत्पादित वीडियो स्ट्रीम को संदेशों और विपणन के बावजूद अन्यथा सुझाव देने के बावजूद, Eufy वेब पोर्टल के माध्यम से एक्सेस किया जा सकता है। Eufy ने यह भी कहा कि यह पैठ परीक्षकों को लाएगा, एक स्वतंत्र सुरक्षा शोधकर्ता की रिपोर्ट कमीशन करेगा, बग बाउंटी प्रोग्राम बनाएगा, और इसके सुरक्षा प्रोटोकॉल का बेहतर विवरण देगा।

नवंबर 2022 के अंत से पहले, Eufy का स्मार्ट होम सुरक्षा प्रदाताओं के बीच एक स्थान था। उन लोगों के लिए जो वीडियो फीड और अन्य घरेलू डेटा के साथ एक कंपनी पर भरोसा करना चाहते हैं, यूफी ने खुद को “कोई बादल या लागत नहीं” की पेशकश के रूप में विपणन किया है, केवल स्थानीय भंडारण के लिए एन्क्रिप्टेड फीड स्ट्रीमिंग के साथ।

फिर वह आया यूफी का पहला दुखद रहस्योद्घाटन. सुरक्षा सलाहकार और शोधकर्ता पॉल मूर ने ट्विटर पर यूफी से पूछा उन्होंने खोजे गए कई विरोधाभासों के बारे में। उनके डोरबेल कैमरे से छवियां, जाहिरा तौर पर चेहरे की पहचान डेटा के साथ टैग की गईं, सार्वजनिक URL से एक्सेस की जा सकती हैं। ऐसा प्रतीत होता है कि सक्रिय होने पर कैमरा फीड, वीएलसी मीडिया प्लेयर से प्रमाणीकरण के बिना एक्सेस किया जा सकता है (कुछ बाद में द वर्ज द्वारा पुष्टि की गई). Eufy ने एक बयान जारी करते हुए कहा कि, अनिवार्य रूप से, यह पूरी तरह से स्पष्ट नहीं करता है कि यह मोबाइल सूचनाएं देने के लिए क्लाउड सर्वर का उपयोग कैसे करता है और अपनी भाषा को अपडेट करने की कसम खाता है। यूफी की कानूनी टीम के साथ “लंबी चर्चा” के बारे में ट्वीट करने के बाद मूर चुप रहे।

कुछ दिनों बाद, एक अलग सुरक्षा शोधकर्ता ने पुष्टि की कि यूफी उपयोगकर्ता के वेब पोर्टल के भीतर से यूआरएल दिया गया है, यह प्रवाहित किया जा सकता है. URL पर एन्कोडिंग योजना में भी जटिलता का अभाव प्रतीत होता है; जैसा कि एक ही शोधकर्ता ने अर्स को बताया, यह केवल 65,535 क्रूर-बल संयोजनों को ले गया, “जो एक कंप्यूटर बहुत जल्दी से चल सकता है।” एंकर बाद में बढ़ गया उसने कहा कि URL स्ट्रीम का अनुमान लगाने के लिए आवश्यक यादृच्छिक वर्णों की संख्या ने मीडिया खिलाड़ियों के लिए उपयोगकर्ता स्ट्रीम चलाने की क्षमता को हटा दिया, भले ही उनके पास URL हो।

यूफी ने उस समय द वर्ज, एआरएस और अन्य प्रकाशनों को एक बयान जारी किया, जिसमें कहा गया था कि यह “हमारे उत्पादों की सुरक्षा के संबंध में कंपनी के खिलाफ लगाए गए आरोपों से” दृढ़ता से “असहमत” है। द वर्ज के निरंतर दबाव के बाद, एंकर लंबा बयान जारी किया विस्तृत पिछली गलतियाँ और भविष्य की योजनाएँ।

एंकर/योफ के उल्लेखनीय बयानों में:

• इसका वेब पोर्टल अब उपयोगकर्ताओं को “डीबग मोड” में प्रवेश करने से रोकता है।
• वीडियो स्ट्रीम की सामग्री एन्क्रिप्टेड है और इसे पोर्टल के बाहर एक्सेस नहीं किया जा सकता है।
• जबकि “केवल 0.1 प्रतिशत” वर्तमान दैनिक उपयोगकर्ता पोर्टल का उपयोग करते हैं, इसमें “कुछ मुद्दे थे” जिन्हें हल कर लिया गया है।
• Eufy WebRTC को अपने सभी सुरक्षा हार्डवेयर को एंड-टू-एंड एन्क्रिप्टेड स्ट्रीमिंग प्रोटोकॉल के रूप में आगे बढ़ाता है।
• मौजूदा इमेज सेट के साथ डोरबेल को बदलने/रीसेट/जोड़ने में मदद करने के लिए फेशियल रिकॉग्निशन इमेज को क्लाउड पर अपलोड किया गया है, लेकिन इसे बंद कर दिया गया है। क्लाउड को भेजी गई तस्वीरों में पहचान डेटा शामिल नहीं है।
• “वेब पोर्टल के साथ अंतिम समस्या” के बाहर, अन्य सभी वीडियो एंड-टू-एंड एन्क्रिप्शन का उपयोग करते हैं।
• एक “अग्रणी और मान्यता प्राप्त सुरक्षा विशेषज्ञ” यूफी सिस्टम्स पर एक रिपोर्ट तैयार करेगा।
• जोखिमों का आकलन करने के लिए कई “नई सुरक्षा परामर्श, प्रमाणन और पैठ परीक्षण” कंपनियों को लाया जाएगा।
• एक “यूफ़ी सुरक्षा पुरस्कार कार्यक्रम” स्थापित किया जाएगा।
• कंपनी “हमारे समुदाय (और मीडिया!) में अधिक समय पर अपडेट प्रदान करने का वचन देती है।”