Nieuws
image

Deurbelcamera's fabrikant Eken zeer eenvoudig over te nemen

donderdag 29 februari 2024, 13:36 door Redactie, 7 reacties

Deurbelcamera's van fabrikant Eken, die ook onder allerlei andere namen worden verkocht, zijn zeer eenvoudig door kwaadwillenden over te nemen, die daarna ermanent met beelden van de videofeed kunnen meekijken. Dat meldt de Amerikaanse consumentenorganisatie Consumer Reports. Het enige dat een aanvaller hoeft te doen is een account aanmaken via de Aiwit-app.

Vervolgens kan de aanvaller naar de deurbelcamera van zijn slachtoffer gaan en de bel indrukken om de pairingmode te starten. Vervolgens is het mogelijk om de deurbel met een wifi-netwerk te verbinden en het apparaat zo volledig over te nemen. Daarna is het mogelijk om live met de camera mee te kijken. Ook kan de aanvaller dan het serienummer van de camera achterhalen.

De oorspronkelijke eigenaar krijgt, wanneer een aanvaller zijn telefoon aan de deurbelcamera koppelt, bericht dat hij geen toegang meer heeft. Door zijn telefoon opnieuw te pairen is het mogelijk voor de eigenaar om de controle weer terug te krijgen. Een probleem is echter dat een aanvaller met het achterhaalde serienummer van de deurbelcamera beelden van de videofeed kan blijven bekijken, ook al is zijn telefoon niet meer gepaird. Hiervoor is geen account of wachtwoord vereist en de eigenaar krijgt hier geen melding van.

Tevens blijkt dat de deurbelcamera's ook het ip-adres en wifi-netwerknaam onversleuteld naar het internet versturen. De camera's worden in allerlei webshops en op online marktplaatsen aangeboden, ook in Nederland. De Android-app van Eken is meer dan een miljoen keer gedownload. Consumer Reports meldde de problemen bij de deurbelcamerafabrikant, maar kreeg naar eigen zeggen geen reactie.

Reacties (7)
Reageer met quote
29-02-2024, 14:58 door Anoniem
Maar ze zijn vast wel heel erg handig. Toch?
Reageer met quote
29-02-2024, 15:57 door Anoniem
Heel slecht dat dit soort privacy schendende en AVG negerende apparatuur op de markt is, maar "Tevens blijkt dat de deurbelcamera's ook het ip-adres en wifi-netwerknaam onversleuteld naar het internet versturen"

Een onversleuteld IP adres, dat is toch logisch? anders kun je je IP pakketjes niet over het internet versturen. (ook bij tunnelling technieken is uiteindelijk is het buitenste IP adres onversleuteld, anders kan het niet over het indernet)
Reageer met quote
29-02-2024, 18:56 door Anoniem
Gemakkelijk toch? Even naar het huis van het slachtoffer rijden om de bel in te drukken. Welke internet crimineel zie je dat doen.
Reageer met quote
29-02-2024, 22:20 door Anoniem
Vervolgens kan de aanvaller naar de deurbelcamera van zijn slachtoffer gaan en de bel indrukken om de pairingmode te starten.
Dus iedere voorbijganger kan dat doen. Dit laat zien dat de fabrikant werkelijk niet heeft nagedacht over de mogelijkheid van misbruik. En dat voor een apparaat dat mensen kopen omdat ze denken dat het bijdraagt aan hun veiligheid.
Reageer met quote
01-03-2024, 08:34 door Anoniem
Door Anoniem:

Een onversleuteld IP adres, dat is toch logisch? anders kun je je IP pakketjes niet over het internet versturen. (ook bij tunnelling technieken is uiteindelijk is het buitenste IP adres onversleuteld, anders kan het niet over het indernet)

Nooit van MACSEC gehoord?
Reageer met quote
01-03-2024, 13:58 door Anoniem
Door Anoniem:
Vervolgens kan de aanvaller naar de deurbelcamera van zijn slachtoffer gaan en de bel indrukken om de pairingmode te starten.
Dus iedere voorbijganger kan dat doen. Dit laat zien dat de fabrikant werkelijk niet heeft nagedacht over de mogelijkheid van misbruik. En dat voor een apparaat dat mensen kopen omdat ze denken dat het bijdraagt aan hun veiligheid.
Hoe wil jij de deurbel anders gebruiken dan op de knop te drukken? Zeker niet nagedacht van jou.
Reageer met quote
01-03-2024, 14:05 door Anoniem
Door Anoniem:
Door Anoniem:

Een onversleuteld IP adres, dat is toch logisch? anders kun je je IP pakketjes niet over het internet versturen. (ook bij tunnelling technieken is uiteindelijk is het buitenste IP adres onversleuteld, anders kan het niet over het indernet)

Nooit van MACSEC gehoord?
MACSEC is apekool voor een thuisnetwerk, en al helemaal voor een internet verbinding. Geen enkele consumenten switch ondersteunt dat, en geen enkele consumentenfirewall zet een MACSEC verbinding op met de internet provider. Bovendien is MACSEC een L2 encryptie, dus het enige wat je er mee bereikt is dat de packets tussen jou en de glasswitch/router van de provider in de wijkcentrale versleuteld is. Voor het geval dat Piet-hack-me-niet besluit om een schep in de grond te stoppen. Quod non. MACSEC is dus alleen interessant voor laag2 verbindingen tussen datacenters en tussen datarooms binnen een datacenter als daar vertrouwelijke data overheen loopt. Leuk voor Hosting partijen en ISP's en voor bedrijven met meerdere datacenters.

Het gaat er kennelijk om dat in de DATA sectie van de packets die over het internet worden gestuurd ook informatie staat over het interne/lokale netwerk van de thuisgebruiker (zoals SSID en de interne ip adressen (192.168.1.nogwat bij de meesten). De interne netwerk gegevens zijn niet relevant buiten het lokale netwerk, dus die informatie zou niet naar welke cloud oplossing dan ook gecommuniceerd moeten worden en indien toch, dan idd versleuteld in transit en versleuteld in opslag. Maar leg eerst maar uit waarom die data uberhaupt buiten jouw huis inzichtelijk zou moeten zijn....
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.

Zoeken
search
Certified Secure