健康生活网logo.png健康生活网

健康生活网
健康生活网是中国最大的生物技术、生物科学门户网站。
健康生活网

物联网供应商Wyze确认服务器泄漏

Wyze是一家销售安全设备(如安全摄像机,智能插头,智能灯泡和智能门锁)的公司,该公司今天证实发生了服务器泄漏,该泄漏泄露了大约240万客户的详细信息。

Wyze联合创始人宋冬升在圣诞节发表的论坛帖子中说,泄漏是在内部数据库意外在线暴露之后发生的。

Song说,公开的数据库-一个Elasticsearch系统-不是生产系统;但是,服务器正在存储有效的用户数据。Elasticsearch服务器是一种用于支持超快速搜索查询的技术,旨在帮助该公司对大量用户数据进行分类。Wyze执行人员说明:

“ 为了帮助管理Wyze的快速增长,我们最近发起了一个新的内部项目,以找到更好的方法来衡量基本业务指标,例如设备激活,连接失败率等。

我们从主要生产服务器中复制了一些数据,并将其放入一个更灵活的数据库中,以便于查询。最初创建此新数据表时,该表受到了保护。但是,Wyze员工在12月4日使用该数据库时犯了一个错误,并且该数据的先前安全协议已删除。我们仍在调查此事件,以找出原因和发生方式。”

泄漏的服务器是由网络安全咨询公司Twelve Security发现并记录的,并由IPVM(专门针对视频监控产品的博客)的记者进行了独立验证。

Song对十二方安全性和IPVM这两方如何处理数据泄漏公开表示不满,在公开调查结果之前,Wyze仅用14分钟的时间解决了泄漏问题。

“我们是12月26日上午9:21通过IPVM.com的记者通过支持票与我们联系的。该文章几乎在之后立即发表(在上午9:35发布到Twitter)。一家私人安全公司的博客文章也于12月26日发布。我们在大约上午10:00才从阅读该文章的社区成员那里获悉此文章。”

Song确认泄漏的服务器暴露了详细信息,例如用于创建Wyze帐户的客户电子邮件地址,分配给Wyze安全摄像机的昵称用户,WiFi网络SSID标识符以及对于24,000位用户而言的Alexa令牌,这些令牌将Wyze设备连接到Alexa设备。

Wyze执行人员否认Wyze API令牌是通过服务器公开的。Twelve Security在其博客文章中声称,他们找到了API令牌,他们说这些令牌可以使黑客从任何iOS或Android设备访问Wyze帐户。

其次,Song还否认了Twelve Security的说法,即他们正在将用户数据发送回中国的阿里云服务器。

第三,Song还澄清了“十二安全”声称Wyze正在收集健康信息。Wyze的高管说,他们只从140个正在对新的智能秤产品进行Beta测试的用户中收集健康数据。

Song没有否认Wyze收集的身高,体重和性别信息。但是,他确实否认了其他人。

“我们从未收集过骨密度和每日蛋白质摄入量,”怀泽执行官说。“我们希望我们的规模如此之大。”

就目前而言,涉及此泄漏的披露的三个方在此特定泄漏的细节方面似乎不一致。无论哪种方式,Wyze都表示决定从所有帐户中强制注销所有Wyze用户,并且与所有第三方应用程序集成不同,这两个步骤将在用户重新登录并重新链接后生成新的Wyze API令牌和Alexa令牌。 Alexa设备到Wyze帐户。

相关推荐