Pourquoi devriez-vous (toujours) faire plus confiance à Nest qu’à Ring
Nid
Hier, Ring a annoncé qu’il commencerait à exiger une authentification à deux facteurs pour tous les comptes d’utilisateurs avec effet immédiat. Et même si c’est un bon début, ce n’est pas suffisant. L’entreprise peut et doit faire plus. La vérité est qu’il rattrape une autre société de caméras de sécurité : Nest. Si vous devez choisir, vous devez faire confiance à Nest avant Ring, et voici pourquoi.
Les caméras de sécurité que vous installez dans votre maison sont honnêtement une proposition effrayante. Pensez-y: vous placez un système d’enregistrement numérique dans les zones les plus intimes de votre vie, et pour y accéder, tout ce dont vous avez besoin est le bon nom d’utilisateur et le bon mot de passe. Le danger de ce concept est devenu trop évident récemment, car rapport après rapport a montré des personnes avec des caméras Ring dont les comptes avaient été compromis.
Mise à jour, 27/02 : Après avoir publié cet article, un porte-parole de Ring nous a contacté avec cette déclaration :
Ring vérifie l’emplacement des adresses IP pour chaque connexion et prend des mesures lorsqu’une activité suspecte est détectée. De plus, les utilisateurs de Ring sont informés par e-mail de tout nouvel appareil client qui se connecte à un compte Ring avec des informations d’identification correctes afin qu’ils puissent modifier le mot de passe de leur compte s’ils ne reconnaissent pas la connexion, ce qui déconnecte automatiquement tous les appareils clients.
Ring analyse périodiquement diverses sources, à la fois sur Internet et sur le dark web, à la recherche d’informations d’identification compromises dans le cadre d’une violation non liée à Ring. Lorsque nous découvrons des informations d’identification compromises qui correspondent au nom d’utilisateur et au mot de passe actuels d’un client Ring, nous désactivons son mot de passe actuel et envoyons un e-mail au client pour l’informer que ses informations d’identification peuvent avoir été compromises. Nous leur faisons savoir qu’ils doivent changer leur mot de passe immédiatement afin de se déconnecter de tous les appareils clients et nous leur recommandons d’activer l’authentification à deux facteurs.
Le taux de sonnerie limite les demandes de connexion afin qu’un volume inhabituel de tentatives de connexion à partir d’une seule adresse IP soit limité. En cas de tentatives répétées de limitation, nous interdisons et bloquons l’adresse IP.
Lorsque nous avons demandé de la documentation Ring vers laquelle nous pouvions nous référer pour plus d’informations, Ring a refusé et nous a indiqué un article de CNET qui indiquait également que Ring vérifie les mots de passe pour détecter tout comportement suspect.
Cependant, CNET souligne également les tests effectués par VICE qui suggèrent que ces mesures de sécurité n’étaient pas en place.
L’article original est laissé intact ci-dessous.
Nest, en revanche, a déjà résolu le problème. La société a implémenté (ou implémentera) plusieurs fonctionnalités qui manquent à Ring, telles que la journalisation IP, les exigences de sécurité des mots de passe, les vérifications de mots de passe enfreints et la prévention rapide des tentatives de connexion.
Google sait où vous êtes grâce à la journalisation IP
Vous ne vous en rendez peut-être pas compte, mais les sites Web savent où vous vous trouvez. Votre adresse IP révèle ces informations chaque fois que vous visitez un site. Ce que la plupart des sites ne font pas, c’est garder une trace de l’endroit où vous vous trouvez habituellement.
Mais Google le fait. Si vous vous connectez toujours depuis Washington DC mais que vous passez soudainement en Floride ou en Chine en une demi-heure, Google remarquera et traitera cette tentative de connexion comme suspecte. Il vous avertira et empêchera la connexion jusqu’à ce que vous puissiez confirmer que c’est vous et non quelqu’un qui essaie de se connecter avec un mot de passe à partir d’une base de données piratée.
Bien qu’il s’agisse d’une capacité que Google a introduite pour la première fois pour les comptes Google (pour Gmail, Google Agenda, etc.), elle a récemment apporté cette capacité aux comptes Nest.
À l’heure actuelle, Ring ne vérifie pas votre emplacement IP pour détecter toute activité suspecte. Cela ressort clairement du fait que les mauvais acteurs ont pu se connecter aux comptes Ring d’autres utilisateurs (à moins que, par pure chance, ils aient toujours été très proches de la victime).
La société n’a pas non plus mentionné la fonctionnalité dans sa dernière mise à jour concernant les changements de confidentialité et de sécurité. Et c’est bien dommage car cela contribuerait grandement à résoudre le problème.
Ring vous permettra d’utiliser n’importe quel mot de passe, peu importe sa faiblesse
Le premier obstacle à votre compte est votre mot de passe, et il est surprenant de voir que Ring vous permettra d’utiliser n’importe quoi. Juste pour être sûr, j’ai créé un nouveau compte aujourd’hui, et cela m’a permis d’utiliser "mot de passe" pour mon mot de passe. C’est le mot de passe le plus faible au monde, et aucun site Web, encore moins une entreprise de sécurité, ne devrait permettre cela.
Le pire, c’est que Ring sait que c’est un mot de passe faible. Vous pouvez voir dans la capture d’écran ci-dessus que Ring indique que le "mot de passe" est faible. Pourtant, il m’a permis de l’utiliser tout de même. Si vous voyiez quelqu’un sur le point de se placer devant un camion, vous ne diriez pas simplement «hé, c’est une mauvaise idée ». Vous les empêcheriez de faire une terrible erreur. Mais Ring ne vous empêche pas d’utiliser un mot de passe terrible.
Nest, d’autre part, vérifie vos mots de passe pour les exigences de base et ne vous permet pas d’utiliser des mots de passe par défaut faciles à deviner. Il semble presque idiot de féliciter Nest pour ce fait, car c’est le strict minimum que toute entreprise de sécurité devrait faire, mais Nest le fait, et Ring ne le fait pas, alors nous y sommes.
Nest vérifie les mots de passe piratés
Tant que nous larguons des bombes de vérité sur vous, en voici une autre : quelqu’un a déjà compromis ce mot de passe unique que vous utilisez pour votre messagerie, Adobe, Disqus, Dropbox, Tumbler et xkcd. Plusieurs fois. Si vous utilisez le même mot de passe partout, vous devriez arrêter. Veuillez obtenir un gestionnaire de mots de passe.
Mais nous pouvons répéter ce fait jusqu’à la fin des temps, et les gens vont devenir des gens et continuer à réutiliser les mots de passe. Donc, la meilleure chose à faire est de protéger les gens d’eux-mêmes. Nest vérifie votre nom d’utilisateur et votre mot de passe actuels contre les violations connues de la base de données. S’il trouve une correspondance, il vous le fera savoir et vous demandera de changer votre mot de passe.
Cela empêche les pirates de se connecter à votre compte en utilisant les informations d’identification qu’ils ont trouvées grâce à la mauvaise sécurité d’un autre site. Malheureusement, Ring ne vérifie pas vos mots de passe contre les violations de la base de données. Si vous utilisez un combo nom d’utilisateur/mot de passe compromis, c’est à vous de le découvrir et de corriger le problème. Nous vous recommandons de vérifier HaveIBeenPwned si vous ne l’avez pas déjà fait.
Nest utilise reCAPTCHA pour empêcher les tentatives de connexion rapides
Si un pirate ne connaît pas votre mot de passe, il peut essayer de le deviner. Une façon consiste à utiliser un bot pour soumettre des centaines ou des milliers de mots de passe dans l’espoir d’obtenir un résultat. Mais cela ne fonctionnera pas avec les comptes Nest (ou Google).
Nest a déjà implémenté reCAPTCHA sur sa page de connexion. Vous l’avez probablement déjà rencontré auparavant. Si vous avez déjà dû choisir "tous les passages pour piétons" ou "toutes les bouches d’incendie" dans une grille d’images, c’est reCAPTCHA. L’idée de base est que c’est un test que "seul un humain" peut résoudre. Cela ralentit également les tentatives de connexion même si un bot réussit le test d’une manière ou d’une autre.
En théorie, cela devrait empêcher les tentatives de connexion en masse de deviner éventuellement votre mot de passe. Malheureusement, Ring ne dispose d’aucune protection de ce type. Ainsi, les mauvais acteurs sont libres de deviner jusqu’à ce qu’ils réussissent (surtout si vous avez un mot de passe faible, ce que Ring autorise).
Les deux offrent une authentification à deux facteurs, mais vous êtes mieux avec Google
Anneau
Depuis hier, Ring requiert une authentification à deux facteurs. À partir du printemps, Nest en aura également besoin pour ses comptes. Cela place Ring légèrement devant Nest, mais ce n’est pas toute l’histoire.
Dans les deux cas, vous devrez saisir un code PIN à usage unique pour vous connecter à votre compte. Pour Ring, vous le recevrez par e-mail ou SMS. Pour Nest, l’e-mail est la seule option. Les codes à usage unique envoyés par e-mail ou SMS valent mieux que rien, mais ce n’est pas la version la plus sécurisée de l’authentification à deux facteurs.
Si vous souhaitez plus de sécurité, vous devez utiliser une application d’authentification liée à votre téléphone. Avec les codes envoyés par SMS ou par e-mail, les mauvais achats n’ont qu’à compromettre vos comptes. Mais avec une application d’authentification, ils auraient besoin de voler votre appareil (et à ce stade, les caméras de sécurité sont le moindre de vos problèmes).
C’est important, car si vous migrez votre compte Nest vers un compte Google, non seulement vous bénéficiez de plus de sécurité que ce que Nest offre actuellement (ce qui est plus que Ring), mais vous pouvez sécuriser votre compte Google avec une application d’authentification.
Google pense que ses comptes sont si sécurisés qu’il ne nécessitera pas d’authentification à deux facteurs, contrairement à Nest, mais nous pensons que vous devriez l’activer si vous avez des caméras de sécurité.
C’est une affaire de coeur
Nous n’avons même pas parlé de la différence de produits, mais si vous voulez notre avis, nous pensons que les caméras Nest sont également meilleures que les caméras Ring. L’intégration avec d’autres produits Nest (comme le Nest Hub) est beaucoup plus étroite que l’intégration entre les produits Ring et Amazon Echo.
Mais même si les caméras Nest et Ring étaient exactement les mêmes en termes de qualité, il est clair que vous devriez toujours opter pour Nest.
Alors que Ring est prompt à blâmer ses clients pour les problèmes de sécurité et lent à mettre en œuvre des solutions, Nest (et Google) ont été rapides à mettre en œuvre des solutions et lents à blâmer les clients.
Dans les rares cas où quelque chose s’est produit, comme une mauvaise intégration entre Wink et Nest, l’entreprise a pris ses responsabilités et a travaillé rapidement pour résoudre le problème. C’est précisément le comportement que vous attendez de votre fabricant de caméras de sécurité.
Les actions de Nest montrent qu’il travaille dur pour gagner votre confiance et sécuriser vos comptes. Et les actions de Ring semblent être le strict minimum. Le choix est donc clair, choisissez Nest avant Ring pour vos caméras de sécurité.