Ключевые выводы
- Ubiquiti продает высококачественные потребительские беспроводные маршрутизаторы и требует от новых клиентов создания онлайн-аккаунта при настройке оборудования.
- Компания была взломана, что первоначально было названо незначительным нарушением безопасности, но, по словам экспертов, это гораздо хуже, чем незначительное.
- Эксперты говорят, что любое оборудование, для которого требуется онлайн-аккаунт, может подвергнуть риску ваши данные и вашу конфиденциальность.
Ubiquiti, производитель многофункционального сетевого оборудования, стал последней жертвой нарушения безопасности, которое подвергает риску данные клиентов.
Ubiquiti - одна из нескольких компаний, которые просят (или заставляют) клиентов создавать учетную запись при настройке нового оборудования. Другие новые маршрутизаторы, такие как Eero от Amazon и Nest Wifi от Google, делают облачные учетные записи центральными для работы и не могут использоваться без подключения.
Их популярность побудила более традиционные компании-маршрутизаторы, такие как Netgear и Linksys, последовать их примеру с их собственными вариантами размещения в облаке или на основе приложений, хотя в большинстве случаев они по-прежнему необязательны.
«Нарушение означает только то, что их данные теперь находятся в руках другой стороны, отличной от поставщика», - сказал Донг Нго, редактор Dong Knows Tech и бывший обозреватель маршрутизаторов CNET, в прямом сообщении на LinkedIn.
Нго считает, что обязательные облачные учетные записи - это плохая новость для конфиденциальности и безопасности клиентов, и часто предупреждал своих читателей о проблемах с облачными интерфейсами.
Хотите доверять своему маршрутизатору? Избавьтесь от облака
Взлом серверов Ubiquiti является проблемой для клиентов, поскольку многие продукты компании требуют создания облачной учетной записи. Одним из примеров является Dream Machine, профессиональный маршрутизатор, выпущенный компанией в 2019 году.
Нго считает негативным, если маршрутизатор, который он просматривает, не позволяет использовать локально контролируемую альтернативу. Он предупреждает, что сетевое оборудование, полагающееся на обязательную облачную учетную запись, не оставляет владельцам иного выбора, кроме как доверить конфиденциальность и безопасность третьей стороне и ограничивает возможности пользователя в случае взлома.
Что же делать владельцу, заботящемуся о безопасности? «Используйте локальный веб-интерфейс, - сказал Нго. «Избегайте использования мобильного приложения».
Лучший вариант - не маршрутизатор премиум-класса, обещающий надежный облачный интерфейс, а вместо этого простой недорогой маршрутизатор с локальным интерфейсом, доступ к которому осуществляется через веб-браузер.
Поклонники UniFi подтвердили свои опасения
Взлом облачного сервера Ubiquiti задел фанатов за живое, когда компания потребовала от владельцев большинства устройств зарегистрировать учетную запись Ubiquiti во время установки. Требуется доступ к платформе UniFi компании, которая управляет маршрутизаторами компании и другими сетевыми продуктами.
Последнее заявление Ubiquiti, написанное в ответ на новые обвинения в отчете, опубликованном журналистом по безопасности Брайаном Кребсом, было опубликовано на форуме сообщества 31 марта.
В заявлении повторяется, что эксперты по реагированию на инциденты «не выявили никаких доказательств того, что информация о клиентах была доступна или даже предназначалась». Ubiquiti продолжает работать с правоохранительными органами над идентификацией злоумышленника и утверждает, что располагает «хорошо разработанными доказательствами».
Это только вызвало бурю негодования на форуме сообщества компании, который служит ее основным каналом связи с клиентами.
Хотя компания заявляет, что нет доказательств того, что данные клиентов были атакованы или взломаны, Ubiquiti не опровергла новые обвинения в том, что она не вела надлежащие журналы доступа к учетным записям клиентов в своем облачном сервисе.
Клиент, разместивший сообщение под именем Sonar, ясно выразил свое разочарование, сказав: «Это лишняя соль на рану, что Ubiquiti пытается навязать доступ к облаку беднякам [используя продукты UniFi]».
Другие присоединились, угрожая бойкотировать будущее оборудование Ubiquiti, если требование облачной учетной записи не будет снято в будущих обновлениях прошивки.
Сообщение сообщества, обсуждающее отчет Кребса, получило более 430 комментариев клиентов и 17 000 просмотров. Другой пост с просьбой к Ubiquiti сделать доступными локальные учетные записи получил 250 комментариев и более 12 000 просмотров.
Непонятно, что Ubiquiti сделает, чтобы вернуть доверие фанатов. Компания не ответила на запрос Lifewire о комментариях и не ответила клиентам в цепочках сообщества, обсуждающих нарушение.
Нарушение означает, что их данные теперь находятся в руках другой стороны, отличной от поставщика.
Молчание со стороны Ubiquiti, кажется, подтверждает совет Нго. Локально контролируемый маршрутизатор, безусловно, может иметь уязвимости, но у владельцев, по крайней мере, есть варианты.
Клиенты Ubiquiti стоят перед более сложным выбором: продолжать доверять компании и надеяться, что проблема не так серьезна, как утверждается, или полностью прекратить использование ее продуктов.
Этот же выбор ждет клиентов других маршрутизаторов, которые полагаются на облачные учетные записи. Их простота и удобство могут показаться заманчивыми, но варианты, с которыми сталкиваются пользователи, далеко не так просты, когда подключенная облачная служба взломана.
