Warum Sie Nest (noch) mehr vertrauen sollten als Ring
Nest
Gestern kündigte Ring an, ab sofort eine Zwei-Faktor-Authentifizierung für alle Benutzerkonten zu verlangen. Und obwohl das ein toller Anfang ist, reicht es nicht. Das Unternehmen kann und sollte mehr tun. Die Wahrheit ist, dass es zu einem anderen Überwachungskameraunternehmen aufholt: Nest. Wenn Sie sich entscheiden müssen, sollten Sie Nest vor Ring vertrauen, und hier ist der Grund.
Überwachungskameras, die Sie in Ihrem Haus aufstellen, sind ehrlich gesagt eine beängstigende Angelegenheit. Denken Sie darüber nach – Sie platzieren ein digitales Aufzeichnungssystem in den intimsten Bereichen Ihres Lebens, und um darauf zuzugreifen, brauchen Sie nur den richtigen Benutzernamen und das richtige Passwort. Die Gefahr in diesem Konzept wurde kürzlich nur allzu offensichtlich, als Berichte nach Berichten Personen mit Ring-Kameras zeigten, deren Konten kompromittiert wurden.
Update, 27.02.: Nach der Veröffentlichung dieses Artikels wandte sich ein Ring-Sprecher mit dieser Aussage an uns:
Ring überprüft den Standort von IPs bei jeder Anmeldung und ergreift Maßnahmen, wenn verdächtige Aktivitäten erkannt werden. Darüber hinaus werden Ring-Benutzer per E-Mail über jedes neue Client-Gerät benachrichtigt, das sich mit den richtigen Anmeldeinformationen bei einem Ring-Konto anmeldet, sodass sie ihr Kontopasswort ändern können, wenn sie die Anmeldung nicht erkennen, wodurch automatisch alle Client-Geräte abgemeldet werden.
Ring durchsucht regelmäßig verschiedene Quellen, sowohl im Internet als auch im Dark Web, nach Zugangsdaten, die im Rahmen einer Verletzung, die nicht mit Ring in Zusammenhang steht, kompromittiert wurden. Wenn wir kompromittierte Zugangsdaten entdecken, die mit dem aktuellen Benutzernamen und Passwort eines Ring-Kunden übereinstimmen, deaktivieren wir sein aktuelles Passwort und senden dem Kunden eine E-Mail, um ihn darüber zu informieren, dass seine Zugangsdaten möglicherweise kompromittiert wurden. Wir teilen ihnen mit, dass sie ihr Passwort sofort ändern müssen, um sich von allen Client-Geräten abzumelden, und empfehlen ihnen, die Zwei-Faktor-Authentifizierung zu aktivieren.
Die Klingelrate begrenzt Anmeldeanforderungen, sodass eine ungewöhnliche Anzahl von Anmeldeversuchen von einer einzelnen IP gedrosselt wird. Bei wiederholten Drosselungsversuchen sperren und sperren wir die IP-Adresse.
Als wir um Ring-Dokumentation baten, auf die wir für weitere Informationen verweisen könnten, lehnte Ring ab und verwies uns auf einen CNET-Artikel, in dem auch angegeben wurde, dass Ring Passwörter auf verdächtiges Verhalten überprüft.
CNET weist jedoch auch auf Tests von VICE hin, die darauf hindeuten, dass diese Sicherheitsmaßnahmen nicht vorhanden waren.
Der ursprüngliche Artikel wird unten intakt gelassen.
Nest hingegen hat das Problem bereits herausgefunden. Das Unternehmen implementierte (oder wird implementieren) mehrere Funktionen, die Ring fehlt, wie IP-Protokollierung, Anforderungen an die Passwortstärke, Überprüfung von Passwörtern und schnelle Verhinderung von Anmeldeversuchen.
Google weiß dank IP-Protokollierung, wo Sie sich befinden
Sie wissen es vielleicht nicht, aber Websites wissen, wo Sie sich befinden. Ihre IP-Adresse gibt diese Informationen bei jedem Besuch einer Website preis. Was die meisten Websites nicht tun, ist, zu verfolgen, wo Sie sich normalerweise befinden.
Aber Google tut es. Wenn Sie sich immer von Washington DC aus anmelden, aber plötzlich in einer halben Stunde nach Florida oder China springen, wird Google diesen Anmeldeversuch bemerken und als verdächtig behandeln. Es benachrichtigt Sie und verhindert die Anmeldung, bis Sie bestätigen können, dass Sie es sind und nicht jemand, der versucht, sich mit einem Passwort aus einer gehackten Datenbank anzumelden.
Während dies eine Funktion ist, die Google zuerst für Google-Konten (für Gmail, Google Kalender usw.) eingeführt hat, hat es die Funktion kürzlich für Nest-Konten eingeführt .
Derzeit überprüft Ring Ihren IP-Standort nicht auf verdächtige Aktivitäten. So viel zeigt die Tatsache, dass sich Betrüger in die Ring-Konten anderer Benutzer einloggen konnten (es sei denn, sie waren dem Opfer durch pures Glück immer sehr nahe).
Das Unternehmen erwähnte die Funktion auch nicht in seinem neuesten Update bezüglich Datenschutz- und Sicherheitsänderungen. Und das ist eine Schande, denn es würde einen großen Beitrag zur Lösung des Problems leisten.
Mit Ring können Sie jedes noch so schwache Passwort verwenden
Die erste Barriere für Ihr Konto ist Ihr Passwort, und es ist überraschend zu sehen, dass Sie mit Ring alles verwenden können. Nur um sicherzugehen, habe ich heute ein neues Konto erstellt, und es erlaubte mir, „Passwort” als Passwort zu verwenden. Das ist das schwächste Passwort der Welt, und keine Website, geschweige denn eine Sicherheitsfirma, sollte das zulassen.
Das Schlimmste ist, dass Ring weiß, dass es ein schwaches Passwort ist. Sie können im obigen Screenshot sehen, dass Ring sagt, dass „Passwort” schwach ist. Aber es ließ mich es trotzdem benutzen. Wenn Sie jemanden sehen, der kurz davor steht, vor einen Lastwagen zu treten, würden Sie nicht einfach sagen: „Hey, das ist eine schlechte Idee.” Du würdest sie davon abhalten, einen schrecklichen Fehler zu machen. Aber Ring hindert Sie nicht daran, ein schreckliches Passwort zu verwenden.
Nest hingegen überprüft Ihre Passwörter auf grundlegende Anforderungen und lässt Sie keine leicht zu erratenden Passwörter im Standardstil verwenden. Es fühlt sich fast albern an, Nest für diese Tatsache zu loben, weil es das absolute Minimum ist, das ein Sicherheitsunternehmen tun sollte, aber Nest tut es und Ring nicht, also hier sind wir.
Nest sucht nach gehackten Passwörtern
Solange wir Wahrheitsbomben auf Sie werfen, hier ist eine andere: Jemand hat bereits dieses einzelne Passwort kompromittiert, das Sie für Ihre E-Mail, Adobe, Disqus, Dropbox, Tumbler und xkcd verwenden. Mehrmals. Wenn Sie überall dasselbe Passwort verwenden, sollten Sie damit aufhören. Bitte besorgen Sie sich einen Passwort-Manager.
Aber wir können diese Tatsache bis zum Ende der Zeit wiederholen, und die Leute werden Leute und Passwörter wiederverwenden. Das Nächstbeste ist also, die Menschen vor sich selbst zu schützen. Nest prüft Ihren aktuellen Benutzernamen und Ihr Passwort auf bekannte Datenbankverletzungen. Wenn es eine Übereinstimmung findet, werden Sie darüber informiert und Sie müssen Ihr Passwort ändern.
Dadurch wird verhindert, dass sich Hacker mit den Anmeldeinformationen, die sie aufgrund der schlechten Sicherheit einer anderen Website gefunden haben, in Ihr Konto einloggen. Leider überprüft Ring Ihre Passwörter nicht auf Datenbankverletzungen. Wenn Sie eine kompromittierte Kombination aus Benutzername und Passwort verwenden, liegt es an Ihnen, dies herauszufinden und das Problem zu beheben. Wir empfehlen Ihnen, HaveIBeenPwned zu überprüfen, falls Sie dies noch nicht getan haben.
Nest verwendet reCAPTCHA, um schnelle Anmeldeversuche zu verhindern
Wenn ein Hacker Ihr Passwort nicht kennt, kann er versuchen, es zu erraten. Eine Möglichkeit besteht darin, einen Bot zu verwenden, um Hunderte oder Tausende von Passwörtern zu übermitteln, in der Hoffnung, einen Treffer zu erzielen. Aber das funktioniert nicht mit Nest- (oder Google-) Konten.
Nest hat reCAPTCHA bereits auf seiner Anmeldeseite implementiert. Wahrscheinlich sind Sie ihm sogar schon einmal begegnet. Wenn Sie jemals „alle Zebrastreifen” oder „alle Hydranten” aus einem Bildraster auswählen mussten, dann ist das reCAPTCHA. Die Grundidee ist, dass es sich um einen Test handelt, den „nur ein Mensch” lösen kann. Es verlangsamt auch Anmeldeversuche, selbst wenn ein Bot den Test irgendwie besteht.
Theoretisch sollte das verhindern, dass Massenanmeldeversuche schließlich Ihr Passwort erraten. Leider hat Ring keinen solchen Schutz. Böse Schauspieler können also so lange raten, bis sie es richtig gemacht haben (insbesondere wenn Sie ein schwaches Passwort haben, was Ring zulässt).
Beide bieten eine Zwei-Faktor-Authentifizierung, aber mit Google sind Sie besser dran
Ring
Seit gestern verlangt Ring eine Zwei-Faktor-Authentifizierung. Ab dem Frühjahr wird Nest es auch für seine Konten benötigen. Damit ist Ring Nest etwas voraus, aber das ist nicht die ganze Geschichte.
In beiden Fällen müssen Sie eine einmalige PIN eingeben, um sich bei Ihrem Konto anzumelden. Bei Ring erhalten Sie diese per E-Mail oder SMS. Für Nest ist E-Mail die einzige Option. Einmalige Codes, die per E-Mail oder SMS gesendet werden, sind besser als nichts, aber es ist nicht die sicherste Version der Zwei-Faktor-Authentifizierung.
Wenn Sie mehr Sicherheit wünschen, sollten Sie eine an Ihr Telefon gebundene Authentifizierungs-App verwenden. Mit Codes, die per SMS oder E-Mail gesendet werden, müssen die Fehlkäufe nur Ihre Konten kompromittieren. Aber mit einer Authentifizierungs-App müssten sie Ihr Gerät stehlen (und an diesem Punkt sind Überwachungskameras Ihr geringstes Problem).
Das ist wichtig, denn wenn Sie Ihr Nest-Konto zu einem Google-Konto migrieren, erhalten Sie nicht nur mehr Sicherheit, als Nest derzeit bietet (was mehr als Ring ist), Sie können Ihr Google-Konto mit einer Authentifizierungs-App sichern.
Google hält seine Konten für so sicher, dass im Gegensatz zu Nest keine Zwei-Faktor-Authentifizierung erforderlich ist, aber wir denken, dass Sie sie aktivieren sollten, wenn Sie Überwachungskameras haben.
Es ist eine Herzensangelegenheit
Wir haben noch nicht einmal über die Unterschiede zwischen den Produkten gesprochen, aber wenn Sie unsere Meinung hören möchten, denken wir auch, dass Nest-Kameras besser sind als Ring-Kameras. Die Integration mit anderen Nest-Produkten (wie dem Nest Hub) ist viel enger als die Integration zwischen Ring- und Amazon Echo-Produkten.
Aber selbst wenn Nest- und Ring-Kameras in Bezug auf die Qualität genau gleich wären, ist klar, dass Sie sich dennoch für Nest entscheiden sollten.
Während Ring seine Kunden schnell für Sicherheitsprobleme verantwortlich macht und Lösungen nur langsam implementiert, haben Nest (und Google) Lösungen schnell implementiert und Kunden nur langsam die Schuld gegeben.
In den seltenen Fällen, in denen etwas passierte, wie z. B. eine schlechte Integration zwischen Wink und Nest, übernahm das Unternehmen die Verantwortung und arbeitete schnell daran, das Problem zu lösen. Das ist genau das Verhalten, das Sie von Ihrem Überwachungskamerahersteller erwarten.
Die Maßnahmen von Nest zeigen, dass es hart daran arbeitet, Ihr Vertrauen zu gewinnen und Ihre Konten zu schützen. Und Rings Aktionen fühlen sich wie das absolute Minimum an. Die Wahl ist also klar, wählen Sie Nest vor Ring für Ihre Sicherheitskameras.