Miks peaksite (veel) pesa rohkem kui helinat usaldama
Pesa
Eile teatas Ring, et hakkab koheselt nõudma kõigi kasutajakontode kahefaktorilist autentimist . Ja kuigi see on suurepärane algus, ei piisa sellest. Ettevõte saab ja peaks tegema rohkem. Tõde on see, et see püüab järele jõuda teisele turvakaamerate ettevõttele: Nestile. Kui peate valima, peaksite enne helistama Nesti usaldama ja siin on põhjus.
Turvakaamerad, mille oma koju paigaldate, on ausalt öeldes hirmutav pakkumine. Mõelge sellele – paned digitaalse salvestussüsteemi oma elu kõige intiimsematesse piirkondadesse ning neile juurdepääsuks on vaja ainult õiget kasutajanime ja parooli. Selle kontseptsiooni oht muutus hiljuti liiga ilmseks, kuna aruannete järel näitas Ring-kaameratega inimesi, kelle kontod olid ohustatud.
Värskendus, 27.02.: pärast selle artikli avaldamist võttis Ringi pressiesindaja meiega ühendust järgmise väitega:
Ring kontrollib iga sisselogimise korral IP-de asukohta ja võtab meetmeid, kui tuvastatakse kahtlane tegevus. Lisaks teavitatakse Ringi kasutajaid meili teel igast uuest kliendiseadmest, mis logib Ringi kontole sisse õigete mandaatidega, et nad saaksid oma konto parooli muuta, kui nad sisselogimist ära ei tunne, mis logib automaatselt välja kõik kliendiseadmed.
Ring skannib perioodiliselt erinevaid allikaid, nii Internetis kui ka pimedas veebis, et leida mandaate, mis sattusid helinaga mitteseotud rikkumise tõttu. Kui avastame rikutud mandaadid, mis vastavad Ringi kliendi praegusele kasutajanimele ja paroolile, keelame tema praeguse parooli ja saadame kliendile meili, et teavitada, et tema mandaat võib olla rikutud. Anname neile teada, et nad peavad kõikidest kliendiseadmetest väljalogimiseks oma parooli viivitamatult muutma ja soovitame neil lubada kahefaktoriline autentimine.
Helina sagedus piirab sisselogimistaotlusi, nii et ühelt IP-lt pärit sisselogimiskatsete ebatavaline hulk piiratakse. Korduvate piiramiskatsete korral keelame ja blokeerime IP-aadressi.
Kui küsisime Ringi dokumentatsiooni, millele võiksime lisateabe saamiseks viidata, keeldus Ring ja juhtis meid CNET-i artiklile, milles väideti, et Ring kontrollib paroole kahtlase käitumise suhtes.
CNET viitab siiski ka VICE testimisele, mis näitas, et need turvameetmed ei olnud paigas.
Algne artikkel jäetakse allpool puutumata.
Nest seevastu on probleemist juba aru saanud. Ettevõte rakendas (või rakendab) mitmeid funktsioone, mis Ringil puuduvad, nagu IP logimine, parooli tugevusnõuded, rikutud paroolide kontrollimine ja kiire sisselogimiskatsete vältimine.
Tänu IP logimisele teab Google, kus te olete
Te ei pruugi sellest aru saada, kuid veebisaidid teavad, kus te olete. Teie IP-aadress paljastab selle teabe alati, kui mõnda saiti külastate. Mida enamik saite ei tee, on teie tavapärase asukoha jälgimine.
Aga Google teeb. Kui logite sisse alati Washington DC-st, kuid hüppate poole tunni pärast järsku Floridasse või Hiinasse, märkab Google seda sisselogimiskatset ja käsitleb seda kahtlasena. See teavitab teid ja takistab sisselogimist seni, kuni saate kinnitada, et see olete teie, mitte keegi, kes üritab sisse logida rikutud andmebaasi parooliga.
Kuigi see on võimalus, mida Google tutvustas esmakordselt Google’i kontode jaoks (Gmaili, Google’i kalendri jne jaoks), tõi see võimaluse hiljuti ka Nesti kontodele.
Praegu ei kontrolli Ring teie IP-asukohta kahtlase tegevuse suhtes. See ilmneb tõsiasjast, et halvad näitlejad said sisse logida teiste kasutajate Ringi kontodele (kui just õnne tõttu ei olnud nad ohvrile alati väga lähedal).
Ettevõte ei maininud seda funktsiooni ka oma viimases privaatsus- ja turvamuudatuste värskenduses. Ja sellest on kahju, sest see aitaks probleemiga tegelemisel palju kaasa.
Ring võimaldab teil kasutada mis tahes parooli, ükskõik kui nõrk
Esimene takistus teie kontole on teie parool ja on üllatav näha, et Ring lubab teil kasutada kõike. Kindluse mõttes lõin täna uue konto ja see lubas mul paroolina kasutada "parooli". See on maailma nõrgim parool ja ükski veebisait, rääkimata turvafirmast, ei tohiks seda lubada.
Halvim on see, et Ring teab oma nõrka parooli. Ülaltoodud ekraanipildil näete, et Ring ütleb, et "parool" on nõrk. Kuid see lubas mul seda kõike samamoodi kasutada. Kui näeksite kedagi veoauto ette astumas, ei ütleks te lihtsalt: "Hei, see on halb mõte." Sa takistaksid neil kohutavat viga tegemast. Kuid Ring ei takista teid kasutamast kohutavat parooli.
Nest seevastu kontrollib teie paroolide põhinõudeid ega luba teil kasutada kergesti äraarvatavaid vaikestiilis paroole. Tundub peaaegu rumal Nesti selle fakti eest kiita, sest see on miinimum, mida turvafirma peaks tegema, kuid Nest teeb seda ja Ring mitte, nii et siin me oleme.
Nest kontrollib rikutud paroole
Niikaua kui me teile tõepomme viskame, on siin veel üks: keegi on juba rikkunud selle ühe parooli, mida kasutate oma e-posti, Adobe, Disqusi, Dropboxi, Tumbleri ja xkcd jaoks. Mitu korda. Kui kasutate kõikjal sama parooli, peaksite lõpetama. Hankige paroolihaldur.
Kuid me võime seda fakti korrata aegade lõpuni ja inimesed hakkavad paroole uuesti kasutama. Nii et järgmine parim asi on kaitsta inimesi nende endi eest. Nest kontrollib teie praegust kasutajanime ja parooli teadaolevate andmebaasirikkumiste suhtes. Kui see leiab vaste, annab see teile teada ja laseb teil oma parooli muuta.
See takistab häkkeritel mõne teise saidi halva turvalisuse tõttu leitud mandaatide abil teie kontole sisse logida. Kahjuks ei kontrolli Ring teie paroole andmebaasi rikkumiste suhtes. Kui kasutate ohustatud kasutajanime ja parooli kombinatsiooni, peate selle välja mõtlema ja probleemi lahendama. Soovitame teil vaadata HaveIBeenPwned, kui te pole seda juba teinud.
Nest kasutab kiirete sisselogimiskatsete vältimiseks reCAPTCHA-d
Kui häkker teie parooli ei tea, võib ta proovida seda ära arvata. Üks võimalus on kasutada robotit sadade või tuhandete paroolide esitamiseks, lootes tabamust saada. Kuid see ei tööta Nesti (või Google’i) kontodega.
Nest on juba reCAPTCHA oma sisselogimislehel juurutanud. Tõenäoliselt olete sellega isegi varem kokku puutunud. Kui olete kunagi pidanud pildiruudust valima "kõik ülekäigurajad" või "kõik tuletõrjehüdrandid", on see reCAPTCHA. Põhiidee on see, et see on test, mida "ainult inimene" saab lahendada. Samuti aeglustab see sisselogimiskatseid, isegi kui robot mingil moel testi läbib.
Teoreetiliselt peaks see takistama massilisi sisselogimiskatseid teie parooli ära arvamast. Kahjuks pole Ringil selliseid kaitseid paigas. Nii et halvad näitlejad võivad vabalt ära arvata, kuni nad asja õigesti aru saavad (eriti kui teil on nõrk parool, mida Ring lubab).
Mõlemad pakuvad kahefaktorilist autentimist, kuid teil on Google’iga parem
Sõrmus
Alates eilsest nõuab Ring kahefaktorilist autentimist. Alates kevadest nõuab Nest seda ka oma kontode jaoks. See seab Ringi Nestist veidi ette, kuid see pole veel kogu lugu.
Mõlemal juhul peate oma kontole sisselogimiseks sisestama ühekordselt kasutatava PIN-koodi. Ringi puhul saate selle meili või tekstisõnumiga. Nesti jaoks on meil ainus võimalus. Meili või tekstiga saadetud ühekordsed koodid on parem kui mitte midagi, kuid see pole kahefaktorilise autentimise kõige turvalisem versioon.
Kui soovite rohkem turvalisust, peaksite kasutama oma telefoniga seotud autentimisrakendust. Kui koodid saadetakse tekstisõnumi või meili teel, peavad halvad ostud lihtsalt teie kontosid ohustama. Kuid autentimisrakenduse korral peaksid nad teie seadme varastama (ja sel hetkel on turvakaamerad teie kõige väiksemad probleemid).
See on oluline, sest kui viite oma Nesti konto üle Google’i kontole, ei saa te mitte ainult rohkem turvalisust, kui Nest praegu pakub (mis on rohkem kui Ring), vaid saate oma Google’i kontot kaitsta autentimisrakendusega.
Google arvab, et tema kontod on nii turvalised, et erinevalt Nestist ei vaja see kahefaktorilist autentimist, kuid me arvame, et peaksite selle sisse lülitama, kui teil on turvakaamerad.
See on südameasi
Me pole isegi rääkinud toodete erinevusest, kuid kui soovite meie arvamust, siis arvame, et Nesti kaamerad on paremad kui Ring-kaamerad. Integratsioon teiste Nesti toodetega (nt Nest Hub) on palju tihedam kui Ringi ja Amazon Echo toodete integreerimine.
Kuid isegi kui Nesti ja Ringi kaamerad oleksid kvaliteedi poolest täpselt samad, on selge, et peaksite siiski kasutama Nesti.
Kui Ring süüdistab kiiresti oma kliente turvaprobleemides ja võtab lahendusi aeglaselt kasutusele, siis Nest (ja Google) on lahendusi kiiresti rakendanud ja kliente aeglaselt süüdistanud.
Harvadel juhtudel, kui midagi juhtus, näiteks Winki ja Nesti halb integratsioon, võttis ettevõte vastutuse ja töötas kiiresti probleemi lahendamise nimel. Just sellist käitumist soovite oma turvakaamerate valmistajalt.
Nesti tegevus näitab, et ta teeb teie usalduse teenimiseks ja teie kontode kaitsmiseks kõvasti tööd. Ja Ringi tegevus tundub miinimumina. Nii et valik on selge, valige oma turvakaamerate jaoks Nest enne helinat.