ネストは長らくスマートホーム業界の寵児だったが、同社は最近、所有者の行動を学習してお金を節約することで知られるウェブ接続型スマートサーモスタットが密かにデータを漏洩していたことを認めた。
しかし、まだ慌てる必要はありません。思っているほど悪くはありません。
サイトに公開されたレポートでは自由にいじくり回すそして提示された最近のPrivacyConカンファレンスでは、プリンストン大学の研究者が、ウェブに接続された他のデバイスの中でも特に人気のあるNestのサーモスタットが暗号化されていないデータを送信していることをどのように検出したかを詳細に説明しているため、理論的には、オンラインハッカーが正しく調べていればその個人情報を傍受できた可能性がある場所。
しかし、この問題は自宅と地元の気象観測所の位置情報を含む天気予報の更新に起因するとネスト氏はMashableに語った。自宅の住所などの機密情報はすでに暗号化されていましたが、地元の気象観測所から収集されたデータは暗号化されていませんでした。
「Nestサーモスタットは、ユーザーの郵便番号を含む、自宅と気象観測所の位置情報を明白に明らかにしていた」と報告書は述べている。
さらに「多くのデバイスは、送受信するトラフィックの少なくとも一部を暗号化できていない」と付け加えた。 「これらのデバイスとの間のトラフィックを調査することは、予想よりもはるかに簡単であることが判明しました。デバイスの多くは、インターネット上のサーバーと個人情報や個人情報を完全に暗号化されていない状態で交換していたためです。」
スマート サーモスタットを設定する際、Nest はユーザーに郵便番号の入力を要求します。その後、サーモスタットはその地域の気象観測所に ping を送信します。気象観測所は近くにある場合もあれば、90 マイル離れたところにある場合もあり、その情報が脆弱でした。漏れ。
研究者らは当初、Nestサーモスタットが顧客の自宅の正確な位置を明らかにしていると考えていたが、同社は問題がユーザーの郵便番号を漏洩しただけであることを明らかにした。
Nestの広報担当者はMashableに対し、「著者らは当初、天気情報の更新リクエストへの応答には顧客の自宅の正確な位置が含まれているという誤った仮定を立てており、それを報告書を提出する前に私たちが指摘した。」と語った。 「実際、気象情報はオンライン気象サービスによって提供されており、地理位置座標は顧客の自宅ではなく、遠隔地の気象観測所のものです。リクエストに含まれる唯一のユーザー情報は郵便番号です。私たちは連絡を取りました。」研究者にこの説明を更新するよう依頼してください。」
同社は、研究者から通知を受ける前にバグを修正したと付け加えた。
スマートホームのトレンドは依然として拡大しており、郵便番号データは大局的に見て比較的小規模な漏洩であるが、このニュースは消費者を不安にさせるものではないセキュリティに対する懸念完全に接続された住宅を採用することによるデータ収集の影響。
「多くのデバイスが、送受信するトラフィックの少なくとも一部を暗号化できていない」と報告書は述べている。 「これらのデバイスとの間のトラフィックを調査することは、予想よりもはるかに簡単であることが判明しました。デバイスの多くは、インターネット上のサーバーと個人情報や個人情報を完全に暗号化されていない状態で交換していたためです。」
レポートの結果を確認するために、研究者らは、Sharx セキュリティ カメラ、SmartThings ハブ、PixStar フォト フレーム、そして (もちろん) Nest サーモスタットなどのスマート デバイスのコレクションを購入しました。これらのデバイスはネットワークに接続され、公共のインターネットとどのように情報を交換するかによってトラフィックが監視されました。
SmartThings ハブは安全であることが示されましたが、Sharx セキュリティ カメラと PixStar フォト フレームにもいくつかの問題点がありました。
「暗号化されていない FTP 経由でビデオを送信します。ビデオ アーカイブのサーバーが家の外にある場合、このトラフィックも盗聴者によって傍受される可能性があります」と報告書は述べています。
クレジット: ネスト
「PixStar フォトフレームとの間のすべてのトラフィックは暗号化されずに送信され、ユーザーによるデバイスとのやり取りの多くが明らかになりました。」
研究者らは、この動きはスマートホーム製品に関するセキュリティへの影響をより多くの人々に認識してもらう取り組みの一環であると述べた。
「最終的には、消費者、メーカー、インターネットサービスプロバイダーなど、ネットワーク化されたIoTデバイスのセキュリティ確保に複数の関係者が関与する可能性がある」と研究者らは述べた。 「これらのデバイスを保護できるのは誰か（そしてその責任を負うのは誰なのか）については、まだ多くの未解決の疑問が残っていますが、IoT デバイスを使用したネットワークのセキュリティを向上させる方法について議論を開始する必要があります。」