Ключови изводи
- Ubiquiti продава потребителски безжични рутери от висок клас и изисква от новите клиенти да създадат онлайн акаунт, когато настройват хардуера.
- Компанията беше хакната в това, което първоначално нарече незначителен пробив в сигурността, но който според експерти е много по-лош от незначителен.
- Експертите твърдят, че всеки хардуер, който изисква онлайн акаунт, може да изложи вашите данни и поверителността ви на риск.
Ubiquiti, производител на богат на функции мрежов хардуер, е последната жертва на пробив в сигурността, който излага клиентските данни на риск.
Ubiquiti е една от няколкото компании, които искат (или принуждават) клиентите да създадат акаунт, когато настройват нов хардуер. Други нови рутери като Eero на Amazon и Nest Wifi на Google правят базираните в облак акаунти централни за изживяването и не могат да се използват без връзка.
Тяхната популярност насърчи по-традиционните компании за рутери, като Netgear и Linksys, да последват примера им със свои собствени хоствани в облак или базирани на приложения опции - въпреки че те все още не са задължителни в повечето случаи.
„Пробивът само означава, че техните данни вече са в ръцете на друга страна, различна от доставчика“, каза Донг Нго, редактор на Dong Knows Tech и бивш рецензент на рутери за CNET, в директно съобщение в LinkedIn.
Ngo смята, че задължителните акаунти, базирани на облак, са лоша новина за поверителността и сигурността на клиентите и често е предупреждавал читателите си за проблемите с интерфейсите, базирани на облак.
Искате ли да се доверите на своя рутер? Изхвърлете облака
Пробивът в сървърите на Ubiquiti е проблем за клиентите, тъй като много от продуктите на компанията изискват създаване на облачен акаунт. Един пример е Dream Machine, професионален рутер, който компанията пусна през 2019 г.
Ngo смята, че е отрицателно, ако рутер, който той преглежда, не позволява използването на локално контролирана алтернатива. Той предупреждава, че мрежовият хардуер, разчитащ на задължителен акаунт, базиран на облака, не оставя на собствениците друг избор, освен да доверят поверителността и сигурността на трета страна и ограничава възможностите на потребителя, ако възникне нарушение.
Какво тогава трябва да направи собственикът, който се грижи за сигурността? „Придържайте се към локалния уеб интерфейс“, каза Нго. „Избягвайте използването на мобилно приложение.“
Най-добрият вариант не е първокласен рутер, обещаващ стабилен облачен интерфейс, а вместо това прост, евтин рутер с локален интерфейс, достъпен през уеб браузър.
Страховете на феновете на UniFi се потвърждават
Пробивът в облачно базирания сървър на Ubiquiti удари болно място за феновете, когато компанията изиска собствениците на повечето устройства да се регистрират за Ubiquiti акаунт по време на настройката. Изисква се за достъп до UniFi платформата на компанията, която контролира рутерите на компанията и други мрежови продукти.
Последното изявление на Ubiquiti, написано в отговор на нови обвинения в доклад, публикуван от журналиста по сигурността Браян Кребс, беше публикувано във форума на общността на 31 март.
Изявлението повтаря, че експертите по реагиране при инциденти „не са идентифицирали доказателства, че информацията за клиента е била достъпна или дори насочена“. Ubiquiti продължава да работи с правоприлагащите органи за идентифициране на нападателя и твърди, че има "добре разработени доказателства."
Това само подхрани шума във форума на общността на компанията, който служи като основна линия за комуникация с клиентите.
Въпреки че компанията твърди, че няма доказателства, че клиентските данни са били насочени или пробити, Ubiquiti не опроверга нови твърдения, че не е успяла да поддържа правилни регистрационни файлове за достъп до клиентски акаунти в своята облачна услуга.
Клиент, който публикува под името Sonar, ясно изрази разочарованието си, като каза: „Допълнителна сол в раната е, че Ubiquiti се опитва да наложи достъпа до облак в гърлата на бедните хора [използвайки UniFi продукти].“
Други се присъединиха, заплашвайки да бойкотират бъдещия хардуер на Ubiquiti, ако изискването за базиран в облака акаунт не бъде премахнато при бъдещи актуализации на фърмуера.
Публикацията в общността, обсъждаща доклада на Кребс, е получила над 430 коментара от клиенти и 17 000 гледания. Друга публикация с искане Ubiquiti да направи достъпни локални акаунти получи 250 коментара и над 12 000 показвания.
Не е ясно какво ще направи Ubiquiti, за да си върне доверието на феновете. Компанията не отговори на искането на Lifewire за коментар и не предложи отговор на клиенти в теми на общността, обсъждащи нарушението.
Пробивът само означава, че техните данни вече са в ръцете на друга страна, различна от доставчика.
Мълчанието от Ubiquiti изглежда потвърждава съвета на Ngo. Локално контролиран рутер със сигурност може да има уязвимости, но собствениците поне имат опции.
Клиентите на Ubiquiti са изправени пред по-труден избор: да продължат да се доверяват на компанията и да се надяват проблемът да не е толкова сериозен, колкото се твърди, или да спрат изцяло да използват нейните продукти.
Същият този избор очаква клиентите на други рутери, които разчитат на базирани в облак акаунти. Тяхната простота и удобство може да изглеждат привлекателни, но опциите, пред които са изправени потребителите, са всичко друго, но не и прости, когато прикачената облачна услуга бъде пробита.
