Enkele Wyze-gebruikers konden korte tijd camerafeed van andere gebruikers zien

Enkele eigenaren van beveiligingscamera's van Wyze melden dat ze tijdelijk camerafeeds van andere gebruikers te zien kregen via de webviewer van het bedrijf. Wyze bevestigt het voorval en zegt dat cacheproblemen de oorzaak waren. De problemen zijn inmiddels verholpen.

Op Reddit delen enkele gebruikers dat zij camerabeelden van andermans woningen konden zien in de webviewer van Wyze. De gebruikers zeggen dat hun camerabeelden waren vervangen door beelden van iemand anders. Sommige gebruikers melden dat zij dezelfde voor hen onbekende kamer in hun feed konden zien.

Een woordvoerder van Wyze bevestigde het bestaan van het probleem aan The Verge en schakelde de webviewer tijdelijk uit om de problemen te verhelpen. Volgens de eerste signalen van het bedrijf zouden ongeveer tien gebruikers getroffen zijn door het voorval. Het is niet duidelijk of dit betekent dat tien personen toegang hadden tot de feeds van anderen of dat de feeds van tien Wyze-gebruikers zichtbaar waren voor alle andere gebruikers.

In een reactie op Reddit deelt Wyze dat het voorval zich voortdeed tijdspanne van 'ongeveer 30 minuten'. Het zou gaan om beelden van andere gebruikers die op dat moment ingelogd waren via de webviewer. Wyze zegt het voorval verder te onderzoeken en de getroffen gebruikers te identificeren. Daarnaast zegt dat het bedrijf zijn best doet om herhaling te voorkomen.

Reacties (69)

[Gamebuster]

Prutsers.

Ik zou echt nooit een cloud-camera kopen, tenzij-ie volledige e2e encryptie gebruikt. Gezien dat niet te controleren is, heb ik dus nog geen cloud-camera.

[Reactie gewijzigd door Gamebuster op 22 juli 2024 14:21]

[szjoin]

Zie de net aangekondigd Philips Hue camera. E2e encryptie is hun USP (o.a.).
https://www.iculture.nl/n...s-hue-beveiligingscamera/

[Gamebuster]

Cool Maar ik zou denk voor self-hosted gaan, bijv Ubiquiti meuk.

[Z100]

Dit. Ik snap het gemak, maar dit is Tweakers; niet Bright. Misschien dat de cultuur op T.net is veranderd over de jaren heen, maar het verbaast mij dat velen in de comments hier een mentaliteit hebben van "waarom moeilijk doen [door self-hosted en onafhankelijk te willen zijn] als je ook makkelijk kan doen [en alles outsourcen naar de cloud omgeving van de fabrikant]".

Een slim huis is niet afhankelijk van externe servers om te kunnen functioneren.

[Argantonis]

Dit. Ik snap het gemak, maar dit is Tweakers; niet Bright. Misschien dat de cultuur op T.net is veranderd over de jaren heen

Dit soort dingen worden echt al geroepen sinds de begintijd van Tweakers. Niet iedereen wil alles op alle vlakken tweaken. Als er een goeie oplossing is met e2e encryptie dan is dat voor sommige mensen genoeg, zonder dat dat ze Geen Echte Tweaker maakt.

[Luno]

En onafhankelijk van het elektriciteitsnet.

[Oon]

Eufy zei ook dat ze beelden niet zouden opslaan, maar daar bleek alles minder waar. Je kunt marketing niet vertrouwen, ook niet bij 'Philips', zelfs niet als het nog de oude vertrouwde Philips was.

[xFeverr]

Eufy stuurde snapshots naar de cloudomgeving zodat ze die in push-meldingen konden zetten. Dat was opzich een legitiem doel, maar dat hadden ze moeten communiceren. Hun marketing zei inderdaad dat er helemaal niets naar hun cloud of waar dan ook ging.

[Oon]

Het probleem was dat ze veel meer deden dan alleen dat, zo waren de hele motion clips zonder authenticatie beschikbaar vanuit een URL en bleven die beelden en snapshots ook opgeslagen na het volledig verwijderen van je account.

Maar het grootste probleem was dus ook de communicatie, je kunt wat marketingtekst niet vertrouwen als waarheid, en dat geldt ook gewoon voor Wyze, Ring, Philips/Signify, etc.

[Bor]

Interessant maar ook (deels) gesloten, duur en bij Hue kan je denk ik ook een abonnement verwachten voor opslag.

[xFeverr]

Bij Hue komt er ook gewoon een abonnement voor opslag. Minstens €3,99/maand om je beelden 30 dagen lang terug te kunnen zien. Zonder abonnement kun je niets terugkijken.

[rjd22]

Je wordt enorm gemint maar ik vindt dat je zeker gelijk hebt. Camera feeds moeten gewoon end2end geencrypt worden en dus alleen gedecrypt kunnen worden met de juiste sleutel in het account die geunlocked wordt met het wachtwoord van de gebruiker wanneer deze inlogd net zoals password managers het doen.

Als dan een feed op de verkeerde plek beland zal deze niet bekeken kunnen worden en heb je ook geen kans op datalekken zoals deze wanneer er een caching error gebeurt.

[Sando]

Mee eens. Cloud camera's worden vaak rond of onder de kostprijs verkocht omdat de dienstverlening het verdienmodel is. Zo worden er modellen getraind met de grote hoeveelheid beeldmateriaal om vervolgens weer extra diensten aan te bieden zoals het herkennen van bepaalde gebeurtenissen. Dat lukt natuurlijk niet als de beelden versleuteld zijn.

Het is als een goedkope printer met dure inkt. Je wilt die goedkope printer wel, maar ergens anders je inkt kopen. De printerfabrikant zal er alles aan doen om het lastig te maken elders je inkt te kopen.

Ik zou raden exclusief ONVIF h264- of h265 camera's te kopen en de data op je eigen NAS te zetten (en eventueel te synchroniseren met een vertrouwde NAS van iemand anders.) Die camera's zijn vaak wat duurder omdat je ze volledig met geld betaalt, niet half met geld en half met big data.

[Reactie gewijzigd door Sando op 25 juli 2024 06:20]

[Jazco2nd]

Leuk dat er een standaard is, maar waar zijn de (betaalbare) cameras?

[Osiummaster]

Reolink kan volledig lokaal draaien zonder enige cloud. Met SD opslag of een NAS. Eventueel Blue Iris als je puur de camera stream wil verkrijgen.

Genoeg non cloud troep, met Reolink kan je ook gewoon hun cloud gebruiken als je wil maar dan zit je wel een beetje gekoppeld aan China dus zou dat alleen voor buiten cameras doen.

[Reactie gewijzigd door Osiummaster op 25 juli 2024 06:20]

[Verwijderd]

Reolink kan volledig lokaal draaien zonder enige cloud. Met SD opslag of een NAS.

Foscam ook

[CPM]

"non cloud troep". En dan komen er merken voorbij als Reolink.
Is gewoon Chinees he.
Maar goed welke camera heeft het wel goed voor elkaar qua firmware.
Dan liever een Axis.
En daarnaast gewoon thuis in een apart vlan zonder internet toegang.
Nx-witness is trouwens ook erg goede software.

[Osiummaster]

Jazeker dat had ik misschien niet helemaal duidelijk uitgelegd. Echter kan Reolink wel volledig offline draaien en doen ze ook niet moeilijk om RTSP streams of ONVIF aan te zetten. Zelfs de setup kan volledig offline gedaan worden en hun NVR kan ook volledig offline draaien als je meerdere cameras will connecten.

[kozue]

Dat is precies waarom ik vorig jaar voor Reolink gekozen had. Ze hebben wel een app en cloud functies, maar die zijn om het de “domme gebruiker” makkelijk te maken. Mijn eisen aan een camera waren a) Geen afhankelijkheid op een app (betekent in de praktijk eigenlijk altijd een webinterface, en dat is prima als die in alle browsers werkt), en b) geen afhankelijkheid van cloud diensten (het ding moet volledig blijven werken als de fabrikant al hun servers sluit). Reolink was veruit de goedkoopste. Daarboven kom je al snel in het professionele segment met bijbehorend prijskaartje. Of het wel of niet uit China komt vind ik niet zo belangrijk, als de camera aan de 2 gestelde eisen voldoet. Er gaat immers geen data naar China met mijn setup. Ik heb zelfs m’n DHCP server ingesteld om geen gateway adres uit te delen aan de camera, zodat ie alleen op het lokale netwerk kan en niet naar buiten, en alles werkt prima.

[The Zep Man]

Leuk dat er een standaard is, maar waar zijn de (betaalbare) cameras?

Take your pick. Ja, dat is uit China (net als elke andere IP camera). Ja, je moet die camera's sowieso enkel in een netwerksegment draaien waarin geen vrije toegang tot het internet wordt aangeboden.

[Reactie gewijzigd door The Zep Man op 25 juli 2024 06:20]

[Oon]

Dahua en Reolink zijn goed betaalbaar, waar Dahua meer gericht is op het professionele/zakelijke gebruik en Reolink meer op consumenten. Die kun je allemaal volledig loskoppelen van hun clouddiensten en lokaal gebruiken.

[aCiDcHaOZ]

Heb zelf de wyzecam v3 en daarop de firmware geflashed dat ONVIF mogelijk maakt. Dit wordt naar een lokale NAS gestreamd, tevens zijn de cameras afgesloten van het internet via een firewall. Er zijn veiligere alternatieven voor online storage, echter niet binnen het handbereik voor iemand die niet tech-savvy is. Men zou voor een out-of-the-box NVR kunnen gaan maar qua kosten kan het dan al snel uit de hand lopen.

[lenwar]

Die NVRs is inderdaad financieel een ding. Je kan een home assistant module gebruiken als NVR, maar dat is ook niet voor iedereen weggelegd natuurlijk.

[HakanX]

Men zou voor een out-of-the-box NVR kunnen gaan maar qua kosten kan het dan al snel uit de hand lopen.

Dan heb je wel een hele lage pan. Rond de €30 kosten ze op Ali. Alleen nog een harddisk op aansluiten. Werken gewoon lokaal. Wil je online kijken en China buiten de deur houden, moet het achter een firewall idd.

Voor de Tweakers is er ook lichte software dat prima op een Raspberry pi werkt.

[Reactie gewijzigd door HakanX op 25 juli 2024 06:20]

[xoniq]

Wat ik deed, die kubus camera’s van Xiaomi, die Wyze als whitelabel had voor de Wyze Cam V1, die aanschaffen voor nop, en daarop opensource firmware flashen incl bootloader zodat we niks Chinees meer op zit, en 100% local only.

Die firmware ken ik intussen volledig aangezien ik daar ook mijn bijdrages in heb gedaan.

[arnonymous]

Ik wil dit doen, maar kom er niet duidelijk achter welke modellen geschikt zijn. Er zijn zo veel modellen van Xiaomi of Wyze tegenwoordig, en de namen op Ali zijn nooit zo gedetaileerd als die op de github van de firmwares. Heb je tips/Links naar een hackbare?

[xoniq]

Dit gaat om die desbetreffende firmware, op die pagina zie je ook de compatibel modellen:

https://github.com/EliasKotlyar/Xiaomi-Dafang-Hacks

Wordt thuis gebruikt op het moment i.c.m. Home Assistant.

[Bor]

Dat werkt helaas niet op device met een recente firmware. Het 'lek' waar dit gebruik van maakt is.al een tijd geleden gepatched. De custom firmwares worden ook niet zo actief onderhouden.

[lenwar]

En dat nog ligt het er aan hoe die e2e-versleuteling is geïmplementeerd natuurlijk.

Als de versleuteling echt van app camera naar videobestand gaat, ben je al je bestanden kwijt als je camera stuk gaat en moet je altijd terugkijken via je camera. Wel veilig, niet praktisch.

Als de versleuteling op basis van je account is, kunnen ze je sleutel aan een ander account koppelen.
Afhankelijk van wat de verstoring veroorzaakte, kan dit incident dus nog steeds gebeuren.

Als de versleuteling vanaf de camera en app gebeurd, moet je perse je app gebruiken, of allerlei vervelende (onveilige?) procedures gebruiken om van app naar camera of app naar app te synchroniseren en het volledig lokaal houden is dan ook gedoe.

Onder aan de streep is e2e-verkleuring met clouddiensten voor particuliere producten complex en gevoelig voor fouten om te implementeren.

[Gamebuster]

"complex en gevoelig voor fouten om te implementeren" lijkt me de juiste omschrijving. Merk op dat het dus niet onmogelijk is en wat mij betreft de moeite waard is voor deze use-case. Hoe doen cloud password-managers dat eigenlijk?

Ik beheer mijn eigen passwords database door de database te delen maar vast secret eenmalig te kopieren naar mijn andere apparaten (en nog een extra wachtwoord voor het geval dat de secret lekt). Voor particuliere cameras moet je zo'n secret gewoon via NFC, wifi of bluetooth kunnen delen zonder dat deze over de cloud gaat, toch?

Echt idiot-proof is het dan niet; er zijn vast genoeg die het super irritant vinden, niet wetende waarom het zo omslachtig werkt.

[Reactie gewijzigd door Gamebuster op 25 juli 2024 06:20]

[lenwar]

Hoe doen cloud password-managers dat eigenlijk?

Die hebben of niet volledige e2e-versleuteling, of je bent alles kwijt wanneer jij je sleutel/wachtwoord kwijt bent.

Je ziet in de praktijk hoe vervelend het werkt wachtwoordbeheerders om op meerdere plaatsen je sleutels synchroon te houden.

Ik denk ook dat de beoogde klanten van een wachtwoordbeheerder anders zijn dan die van een beveiligingscamera.
Ik denk dat de marketingmolen van een wachtwoordbeheerder beter kan verkopen dat alles weg is als je je sleutel kwijt bent dan wanneer je je wachtwoord/sleutel kwijt bent van je camera-app (gechargeerd)

[Gamebuster]

Je hebt gelijk en ik ben daar niet blij mee.

[Scriptkid]

Byok

Is de enige oplossing zoals dat ook is op veel cloud storage

[pe0mot]

Is een mening.
Er zijn genoeg camera situaties die unencrypted mogen zijn.
Inderdaad, een camera binnen in je huis zou ik niet op de cloud zetten.

[Voggy]

Camera's heb ik hier op een aparte vlan, deze kunnen niet communiceren met de buitenwereld, alleen met de nas. Je moet er toch niet aan denken dat wildvreemden kunnen meekijken wat jij aan het doen bent.

[kuurtjes]

Natuurlijk wel belangrijk dat je camera's ook naar de cloud gaan toch? Wat als je inbrekers hebt die je NAS stelen?

[tjanssen]

Ik heb het zo ingeregeld dat ieder bewegings event automatisch naar mijn Google Drive gepusht wordt.

[pe0mot]

Aaah, da's toch in de cloud?

[Verwijderd]

Ik zie niet in zijn reactie of zijn event encrypted upload of niet, want dan is het voor Google (of ongenodigde derden) gewoon een blob van bits en bytes in jouw account zonder decryptie code

[tjanssen]

Nee, deze zit een password protected zip file

[naaitsab]

Daarom zorg je natuurlijk dat je NAS een offsite backup locatie heeft. Buiten diefstal is een defect, brand of blikseminslag (UPS is geen 100% garantie) ook een gevaar voor je data. Kruislings spiegelen met een NAS bij familie is een laagdrempelige optie. Cloud opslag is vaak erg duur bij een restore.

Maar exact hierom wil ik geen home-automation/IOT/always-on spul wat met de cloud praat. Hooguit mijn eigen private cloud. Buiten het 'voyeur' met camera's wil je niet dat bij een hack iemand met je verlichting of kachel gaat rommelen.

[.MaT]

Je kan ook je camera's lokaal laten opslaan op SD kaartje (indien mogelijk) en/of de NAS de streams naar de cloud laten sturen. Dat de beelden in de cloud moeten/mogen wil niet zeggen dat de camera zelf toegang tot het internet en de cloud moet hebben.
Daarbij is de cloud van de de fabrikant misschien niet de mest verstandige keuze, zowel op vlak van veiligheid als betrouwbaarheid.

[Mopperman]

Euh… camera’s nooit in de cloud, gewoon op je NAS of Surveillance server. Dan evt. Offsite backup, maar nooit in de cloud.

Waarom niet? Je bent Cloudafhankelijk met sommige camera’s en je kan er geen zak mee als de leverancier besluit ze niet meer te ondersteunen.

[kuurtjes]

Offsite backup is zowizo in de "cloud".

[Mopperman]

"Cloud" is niet "Offsite"

Cloud is de benaming voor een service die een leverancier jou bied op het gebied van techniek, vaak incl. de beheer van fysieke hardware in jou huis. Zo ook deze Wyze cameras.

Wyze cameras zijn verbonden met internet en je hebt geen enkele andere optie dan ze in de cloud vna wyze te beheren en op te laten nemen.

Offsite kan je op een self-hosted server in een datacenter doen, maar kan ook op tape, disk, of een andere oplossing zijn. Je kan bijv. ook een NAS bij je ouders/vrienden/whatever hebben staan en whatever waar je tussen synced. Dat heeft verder niets met de cloud te maken.

[kuurtjes]

Als je een server in een datacenter hebt is dat nog steeds "cloud". Het is gewoon een te brede benaming om tegen te zijn. Het was altijd al een slechte benaming eigelijk. Maar ik snap je argument, en ben akkoord dat het niet via SaaS moet gaan en dat we het best zelf hosten.

[HollowGamer]

Dan maakt het toch niet uit of je ze nu op een aparte VLAN heb zitten?

Het ging hier mis upstream, die hebben de feeds omgewisseld, dus dan heb je niet veel dat jij het thuis goed hebt geregeld.

Daarvoor mij nooit oplossingen als dit, tenzij ik zelf enkel de beelden kan zien, zoals met een unieke sleutel. Als ik die verlies, jammer dan. Minder gebruikersvriendelijk, wel beter voor mijn privacy.

[Bor]

Dat kan met Wyze camera's niet. Die zijn afhankelijk van de cloud voor toegang. De firmware om lokaal bekijken mogelijk te maken is al lang niet meer supported. Beveikigingsissues zijn daarin niet meer gefixed.

[Parrotmaster]

Een trucje dat ik gebruik is alleen een camera bij je voordeur hebben. Dan kunnen ze niet in je huis kijken.
Ze kunnen dan wel zien wanneer je weg gaat, maar de truc daar is om een dikke nerd te zijn die nooit z'n kamer verlaat. Dus ik zit veilig.

[Scriptkid]

Weet ik niet , wat doe jij allemaal wat niemand mag zien.

Mijn camera die op het erf gericht staat boeit mij echt niet als hij een paar keer per jaar inzichtelijk is door iemand anders als ik er dan verder geen kosten en beheer voor heb.

[Tr1pke]

Precies om deze reden heb ik dus enkel camera’s buiten, deze worden opgeslagen op men Debian back met een rsync naar een andere persoon over een VPB (WireGuard).
Beeld u eens in dat je je madam aan het afrijden bent en iedereen kan het zien.

Ik las ook “opslaan op een NAS/SD kaart” is toch te zot voor woorden? Als ze je camera mee nemen wat ga je dan doen? Altijd offside backups syncen

[Scriptkid]

En dat doe jij op de camera ?

Er is blijkbaar een hele industrie omheen opgezet specifiek voor dat dus kan je nog wel eens veel geld op leveren.

[Reactie gewijzigd door Scriptkid op 25 juli 2024 06:20]

[Tr1pke]

Beter lezen.

[Scriptkid]

Wat moet ik beter lezen je geeft zelf aan:

Beeld u eens in dat je je madam aan het afrijden bent en iedereen kan het zien.

[Tr1pke]

Ja, beeld u eens in

[Scriptkid]

En dat doe jij op de camera ?

Zie je dat ? Aan het eind van de zin, en de sarcasme in de ondertoon,

Beeld u eens in.

[xFeverr]

Daarom moet je intellectueel eigendom goed beschermen zodat een ander niet met jouw ‘werk’ geld gaat verdienen natuurlijk

[Cyb]

Op Reddit delen enkele gebruikers dat zij camerabeelden van andermans woningen konden zien in de webviewer van Wyze.

Je zou maar de eigenaar zijn van die camera feed met de naam "bedroom", waarbij meerdere Redditors iets zeggen als "I saw the same feed it was very creepy". Dankzij Wyze heb je dan tientallen, zoniet honderden mensen die meekijken wat er op je slaapkamer gebeurt, zonder dat je er zelf bewust van bent, en zonder dat je zelf iets verkeerds hebt gedaan met de camera.
Tip: koop op zijn minst altijd een camera met end-to-end encryption, zelfs als je alleen "local storage" gebruikt, of je moet je camera volledig van de buitenwereld afsluiten met VLANs.

[MGutker]

Heb je nog meer redenen nodig om geen cloud camera's te kopen?
- Een paar keer per jaar zijn er fuck-ups die grootschaals privacy schenden
- De bedrijven nemen zelf vaak privacy niet serieus
- Gesloten ecosystemen locken je vaak in op een bepaald product
- Voor de meest basis functionaliteiten moet je maandelijks betalen terwijl je de hardware al hebt aangeschaft
- Je apparaten stoppen (deels) met functioneren wanneer het bedrijf de stekker eruit trekt.
- Je apparaten werken (deels) niet zonder internet verbinding

Het hebben van camera's als deze is meestal schein veiligheid gericht op consumenten, en qua toegevoegde waarde vergelijkbaar aan merken zoals Nord VPN. Je hebt het niet nodig, maar met misleidende advertenties laten ze je denken dat het wel zo is.

[moonlander]

Had ik laatst met mijn foscam camera ook, 2 weekenden! Meld je het netjes aan het bedrijf krijg je reactie terug dat ik een vervangende camera kan krijgen en deze maar moest opsturen naar de winkel. Heb er enorm veel moeite in gestoken om dit bij de juiste persoon te krijgen, maar ik heb de moed opgegeven. Niemand die ook maar dacht: dit is vreemd. Nee de camera was stuk. En ik moest de app maar verwijderen en herinstalleren...

[Reactie gewijzigd door moonlander op 25 juli 2024 06:20]

[Splorky]

Wel lekker simpel om het te houden op een defecte camera, hoeft er ook verder ook niets mee gedaan te worden.

[Bor]

Ik vermoed dat het aantal geraakte Nederlanders en Belgen beperkt is gezien deze camera's hier niet worden verkocht en alleen via 3rd party en ebay etc te verkrijgen zijn. Desalniettemin erg slordig.

[Roel1966]

Ik gebruik zelf dan 1 Ring buitencamera die op de achterkant en tuin van het huis is gericht en daarnaast dan een Ring deurbel camera. Maar om eerlijk te zijn kijk ik eigenlijk zo goed als nooit naar live beelden en hooguit soms eens alleen naar 'events'. Daarbij is mij verder nooit iets vreemds opgevallen dat er andere vreemde beelden van andere camera's te zien waren.

Binnenshuis heb ik verder geen camera's omdat ik daar verder niet echt het nut van inzie, deels omdat er altijd wel iemand thuis is. Maar ook het idee dat er de hele tijd zo'n oog achter je rug aan het mee kijken is, nee vind het meeluisteren van Google al meer als genoeg. En ja het kan ook mis gaan zoals nu dan dat anderen per ongeluk mee kunnen kijken.

[pe0mot]

Wat me opvalt aan vele reacties is dat cloud fout is maar een interne ssd niet. Deze laatste wordt vrolijk meegenomen en kan daarna op de cloud belanden.
Oftewel, gebruik camera's voor de boze buitenwereld, maar gebruik geen camera's voor je prive leven binnen.

[Bor]

Lokale storage is gevoelig voor diefstal, neem de goedkope IP camera's met oplag op een SSD kaartje als voorbeeld. Bij inbraak wordt het meegenomen of vernield.Dat geldt ook voor NAS systemen als je dat als opslag gebruikt. Daar moet je dus rekening mee houden en je realiseren dat dergelijke oplossing zonder offloading off site je bij inbraak of brand niet gaat helpen.

[Zeror]

Waarom las ik de titel als "Enkele wijze gebruikers..."