Um Wyzes Behauptungen zu überprüfen, beauftragten wir Tillson Galloway, einen Cybersicherheitsforscher und Doktoranden der Georgia Tech im Bereich Cyber-Bedrohungsintelligenz und Maschinelles Lernen. Galloway ist außerdem ein erfahrener Penetrationstester und Bug-Bounty-Jäger, der angibt, mehr als 100.000 US-Dollar verdient zu haben, indem er Bugs und Schwachstellen für Fortune-500-Unternehmen und andere aufgedeckt hat.
Galloway formalisierte ein Testprotokoll mit der Wyze Cam v4, heute eines der beliebtesten Geräte des Unternehmens und vergleichbar mit Modellen, die wir zuvor empfohlen hatten, mit dem Ziel, Schwachstellen in vier Bereichen zu finden: Netzwerkommunikation, die Smartphone-App, Wyze Cloud-Dienste und Web- sowie App-Sicherheit (der hardware- und firmware-basierte Update-Prozess, der gerätespezifisch ist, wurde nicht berücksichtigt).
Wirecutter und Wyze formierten eine Vereinbarung, die festlegte, dass Wirecutter Wyze informieren würde, falls wir während der Tests eine Schwachstelle finden, und dem Unternehmen Zeit einräumen würde, das Problem zu prüfen und zu beheben, bevor wir diesen Artikel veröffentlichen. Wirecutter stimmte außerdem zu, keine Details eines Bugs oder einer Schwachstelle zu veröffentlichen, um potenziellen Nachahmungsversuchen vorzubeugen. Galloway bestätigte, dass dieses Vorgehen das anerkannte Protokoll sei, wenn Bug-Hunter eine Bedenken melden und es einem Unternehmen melden.
Über mehrere Wochennutze Galloway eine Mischung aus Netzverkehrsanalyse, App- und Web-Debugging-Tools sowie kontrollierte Tests, um zu analysieren, wie die neueste Wyze Cam, die Wyze-Mobile-App und Wyze Cloud-Dienste Benutzerdaten und Kontoinformationen übertrugen und wie sie geschützt waren (oder nicht).
Er untersuchte, ob sensible Benutzerdaten während der Übertragung verschlüsselt wurden und ob Schutzmaßnahmen für Kontenzugang und Benutzersitzungen die sensiblen Daten sicher hielten. Er suchte nach Schwachstellen beim An- und Abmelden der Benutzer, beim Vergeben oder Widerrufen von Zugriffsrechten und danach, ob Live- oder aufgezeichnete Videos von Unbefugten eingesehen werden könnten.
„Neben der Untersuchung der Sicherheitslücken haben wir auch die allgemeine Hygiene des Unternehmens im Vergleich zu einigen Mitbewerbern betrachtet. Insgesamt fanden wir nichts Überraschendes“, sagte Galloway. „Wyze hatte Anstrengungen unternommen, die spezifischen Probleme und Entwicklungspraktiken zu beheben, die vor einigen Jahren zu der öffentlichen Datenfreigabe geführt hatten.“
Das bedeutet nicht, dass Galloway ohne Fund war. Während seiner Tests entdeckte er drei Bugs, die er alle als niedrigste Stufe der Bedrohung ansah, oder was die Sicherheitsbranche als „P4: geringfügiges Problem oder Defenses-in-Depth-Lücke mit begrenzter Auswirkung“ bezeichnet. Galloway erklärte uns, dass diese Probleme von geringer Tragweite seien, teils weil sie davon abhingen, dass der Besitzer einer Kamera grundlegende Vorsichtsmaßnahmen zum Schutz seiner Geräte und Passwörter nicht ergriffen habe.
Er hob auch hervor, dass die Folgen der Bugs gering ausfallen würden und auf einen einzelnen Benutzer beschränkt wären; es würde sich nicht um eine systemweite Schwachstelle handeln. „Daraus würde sich nicht notwendigerweise eine Eskalation ergeben. Wenn ein einzelner Benutzer kompromittiert wäre, könnten dadurch keine anderen Benutzer kompromittiert werden“, erläuterte er.
Zum Kontext: Keine Software oder Hardware ist absolut sicher. Galloway beschrieb eine grobe Ingenieursregel: Im Durchschnitt kann man erwarten, eine Sicherheitslücke pro 5.000 bis 10.000 Zeilen Computercode zu finden. Angesichts der Tatsache, dass Sicherheitskameras und ähnliche Geräte zusammen mit den Apps und den dazugehörigen Cloud-Diensten Millionen von Codezeilen umfassen, ist es nicht nur wahrscheinlich, sondern unvermeidlich, sowohl unbedeutende Bugs als auch kritische Schwachstellen zu finden.
Die größere Frage sei daher, ob ein Unternehmen, sobald eine kritische Schwachstelle bekannt wird, angemessen darauf reagiere, indem es das Problem nicht nur behebt, sondern auch transparent und proaktiv betroffene Kunden informiert. Im Fall der von Galloway gefundenen Bugs wurde Wyze benachrichtigt, doch da die Bugs nicht ausgenutzt wurden und Nutzer nicht betroffen waren, ist Wyze nicht verpflichtet, sie öffentlich anzuerkennen und kann sie stattdessen still beheben. (Das ergibt Sinn: Bugs werden ständig entdeckt und behoben, was Sie wahrscheinlich im Notizbereich des App-Stores sehen, wenn Sie eine Smartphone-App aktualisieren. In der Regel gibt es Formulierungen wie „Patches vorgenommen“ oder „verschiedene Bugs behoben.“)
