Lorsque nous avons évalué le Sonnette vidéo Eufy double comme l’un des meilleures sonnettes vidéo, l’une des raisons pour lesquelles nous avons vanté sa capacité à stocker la vidéo localement. C’est génial – en théorie – pour les utilisateurs qui ne veulent pas que leurs données personnelles soient stockées sur un serveur cloud qui pourrait être compromise. Malheureusement, dans la pratique, les utilisateurs peuvent envoyer des données sensibles vers le cloud sans le savoir.
Tel que rapporté par Centrale Android (s’ouvre dans un nouvel onglet)chercheur en sécurité Paul Moore (s’ouvre dans un nouvel onglet) a constaté que malgré les promesses d’Eufy d’un système de stockage entièrement local, lors de l’utilisation de la caméra Eufy Video Doorbell Dual, il a pu accéder aux vignettes des images utilisées pour la reconnaissance faciale et aux métadonnées qui pourraient être utilisées pour l’identifier stockées dans le cloud. Si le système est vraiment entièrement local, ces vignettes n’auraient pas dû arriver sur les serveurs d’Eufy. Pourtant, même après avoir supprimé les données stockées localement, Moore a toujours pu accéder aux vignettes et aux captures d’écran des serveurs AWS d’Eufy.
Ce n’était pas non plus un problème ponctuel, Moore a utilisé une autre caméra, HomeBase (pour le stockage local) et un nom d’utilisateur pour reproduire le problème et a constaté que malgré l’utilisation d’un système entièrement différent, Eufy était toujours capable de marquer et de lier son ID de reconnaissance faciale avec sa photo. Cela ne devrait être possible que si, en fait, Eufy stocke les données de reconnaissance faciale dans le cloud.
Confirmant que EufyCam 2C et le Homebase sont également problématiques. À l’aide de l’inspecteur Web, je peux trouver une URL que je peux coller dans un autre navigateur et voir une vignette en ligne du dernier événement enregistré.28 novembre 2022
Le pire dans tout cela est que ces données sensibles semblent être transmises de manière non cryptée. Lorsqu’il est combiné avec des informations identifiables sensibles, cela représente une violation potentiellement massive de la vie privée et de la sécurité. De plus, un autre utilisateur, André Oz (s’ouvre dans un nouvel onglet), aurait pu accéder aux vidéos des caméras diffusées à partir d’un navigateur Web en utilisant la bonne URL. Cela ne nécessiterait aucune authentification pour accéder et Moore dit (s’ouvre dans un nouvel onglet) qu’il a pu reproduire ce problème – bien qu’il ait refusé de fournir des preuves, probablement pour des raisons de sécurité.
La réponse d’Eufy aux problèmes de confidentialité et de sécurité
Je viens d’avoir une longue discussion avec le service juridique de @EufyOfficial. Il convient à ce stade de leur donner le temps d’enquêter et de prendre les mesures appropriées ; à l’inverse, ce n’est pas juste pour moi de commenter davantage. Je fournirai une mise à jour, dès que possible. Merci!28 novembre 2022
Pour sa part, Eufy a répondu aux allégations de Moore et d’autres. Dans une déclaration fournie à Android Central qu’un porte-parole d’Anker (Anker possède Eufy) a déclaré que nous pourrions également utiliser, Eufy déclare que ces problèmes peuvent en grande partie être causés par l’activation de certains paramètres. Eufy indique que les notifications de l’appareil photo sont définies par défaut sur du texte uniquement et ne génèrent ni ne téléchargent une vignette. Mais dans le cas de Moore, il a activé l’option d’affichage des vignettes avec la notification. Étant donné que ce paramètre a été activé, Eufy télécharge temporairement les données des vignettes sur ses services AWS pour les regrouper et les envoyer sous forme de notification à l’appareil de l’utilisateur. Selon sa déclaration, « Eufy affirme que ses pratiques de notification push sont » conformes au service Apple Push Notification et aux normes Firebase Cloud Messaging « et à la suppression automatique, mais n’a pas précisé de délai dans lequel cela devrait se produire. »
En ce qui concerne les problèmes de cryptage, Eufy déclare qu’ils utilisent un certain niveau de cryptage. Selon sa déclaration, Eufy dit que « les vignettes utilisent un cryptage côté serveur » et ne peuvent être visualisées que si un utilisateur est connecté. Bien qu’il soit en mode incognito sur son navigateur Web, Moore s’est connecté au client Web d’Eufy et a donc utilisé le même cache. il s’était déjà authentifié avec. C’est pourquoi il a pu accéder aux données sensibles.
Cela ne veut pas dire qu’Eufy refuse d’accepter toute responsabilité dans ce problème. La société déclare que « Nous révisons la langue de l’option de notifications push dans l’eufy [SIC] L’application de sécurité pour détailler clairement que les notifications push avec des vignettes nécessitent des images de prévisualisation qui seront temporairement stockées dans le cloud. Ils déclarent également qu’ils vont « être plus clairs sur l’utilisation du cloud pour les notifications push dans nos supports marketing destinés aux consommateurs ».
Conclusion : nous avons encore des inquiétudes concernant le traitement des données par Eufy
La déclaration d’Eufy nous amène définitivement à croire – du moins pour le moment – que certains de ces problèmes se résumaient à une mauvaise communication. Bien qu’il soit déconcertant qu’une entreprise qui vante sa capacité à s’affranchir du cloud dispose d’une fonctionnalité qui nécessite le stockage des données sur le cloud, il n’y a peut-être tout simplement pas de meilleur moyen de fournir des notifications sous forme de vignette. De plus, la solution de contournement consistant à n’utiliser que des notifications par SMS n’est pas intrinsèquement un facteur décisif.
Cependant, Eufy n’a pas encore répondu aux préoccupations concernant la possibilité de visualiser les vidéos des caméras diffusées via un navigateur Web. Étant donné qu’aucune authentification ne semble être requise – même si, encore une fois, aucune preuve de concept n’a été fournie par Moore – c’est une grave préoccupation. Eufy a déclaré dans son communiqué que ses « produits, services et processus sont pleinement conformes aux normes du Règlement général sur la protection des données (RGPD), y compris les certifications ISO 27701/27001 et ETSI 303645 ». Moore avait intenté une action en justice contre Eufy pour contester sa conformité au GDPR compte tenu de ces nouveaux développements, mais son tweet épinglé actuel indique qu’il est en pourparlers avec leur service juridique et leur permet d’enquêter plus avant. Si nous apprenons plus de détails, nous mettrons à jour cet article.
En attendant, si vous cherchiez une excellente sonnette vidéo pour améliorer votre maison intelligente, notre Guide d’achat d’une sonnette vidéo a une tonne d’options d’Eufy et de ses concurrents – mais attention, même nos meilleures sonnettes ne sont pas sans défauts. Cet été, nous avons expliqué comment Ring et Nest peuvent permettre à la police de voir votre sonnette vidéo sans votre consentement. Nous avons en fait recommandé l’Eufy Video Doorbell Dual dans cet article, mais si vous ne voulez pas d’une sonnette Eufy compte tenu de ces récentes allégations, le Sonnette vidéo Wyze Pro est une excellente option qui empêche l’utilisation des images des utilisateurs sans mandat ni ordonnance du tribunal, mais qui manque de cryptage de bout en bout ou de stockage local.