A Amazon lançou recentemente uma nova funcionalidade para suas câmeras Ring, que a empresa está chamando deDescarte a Chave de CriptografiaA ideia é reduzir a quantidade de conteúdo de vídeo disponível para a empresa e, consequentemente, para as forças de segurança. No entanto, embora possa tecnicamente adicionar um obstáculo à acesso ao conteúdo completo do vídeo, não oferece o nível de privacidade que deveríamos exigir de campainhas de vídeo e outras câmeras de segurança.
A TAKE introduz uma nova maneira para o Ring gerenciar chaves de criptografia, onde o dispositivo do usuário possui sua chave, e a empresa detém chaves de criptografia temporariamente em sua própria infraestrutura de nuvem. Os servidores do Ring recebem as chaves temporariamente para que possam oferecer uma variedade de recursos que afirmam não poder oferecer quando um usuário opta por usar a criptografia de ponta a ponta, como descrições de vídeo, alertas inteligentes, pesquisa de vídeo,E muito maisEle pressiona o botão, depois exclui a chave após 24 horas.
Isso difere de como funciona atualmente, onde as gravações são criptografadas em trânsito e em repouso, e depois decifradas pelo Ring, que sempre tem acesso às gravações, para processar essas funcionalidades.
Comparativamente, essa é uma melhora em relação às configurações padrão que o Ring possui atualmente, pois pelo menos impõe algumas restrições em relação aos vídeos históricos, mas possui algumas falhas sérias que valem a pena ser exploradas.
O Ring obtém acesso a vídeo não criptografado por um curto período de tempo
A Ring projetou seu serviço de forma que muitas de suas funcionalidades de câmera, incluindo alertas inteligentes e busca de vídeo, requerem processamento em nuvem para funcionar. Isso significa que, para fornecer essas funcionalidades, a Ring precisa descriptografar as gravações enquanto elas estão armazenadas nos servidores em nuvem da Ring.
Com o TAKE, para descriptografar as gravações e oferecer esses recursos, a Ring tem acesso às gravações armazenadas na nuvem por 24 horas. O TAKE adiciona algumas medidas pequenas usando enclaves seguros para tornar mais difícil a exportação direta do material-chave base, mas as chaves ainda são liberadas para serviços que podem ser modificados. Com o acesso às chaves, o processamento em nuvem faz o seu trabalho e entrega o recurso solicitado ao usuário. A chave é então excluída 24 horas depois - até que o usuário queira assistir a um vídeo antigo ou usar outros recursos chamados de "inteligentes", momento em que as chaves são enviadas de volta ao servidor.
Na prática, isso torna o sistema como um todo quase idêntico à criptografia em repouso, onde o servidor armazena as chaves. O dispositivo do cliente assume, essencialmente, o lugar de ummódulo de segurança de hardware (HSM)Isso inclui disponibilizar essas chaves ao servidor sempre que forem necessárias. O resultado final é uma melhoria em relação ao status atual, mas ainda está longe de oferecer as proteções de privacidade decriptografia de ponta a ponta.
A empresa afirma que não mantém backups das chaves e que não há como um funcionário da Ring acessar as gravações. Ela também alega que qualquer conteúdo decifrado é excluído de seus servidores.
Mas isso não significa muito quando as ações do usuário enviam as chaves de volta ao servidor. E tornar recursos como "Pesquisa de Vídeo" e "Descrições de Vídeos Inteligentes" disponíveis para o proprietário do dispositivo significa que, embora as imagens não possam ser vistas pela Ring, as descrições estão prontamente disponíveis para a empresa. Em resposta a uma pergunta sobre capacidade, a Ring respondeu a nós que, "À medida que a Ring continua a expandir e fortalecer ainda mais as proteções do TAKE, as descrições de vídeos serão incluídas."
Além disso, as chaves de recuperação da conta são armazenadas na própria câmera por padrão. Quando isso é combinado com o fato de que, atualmente, os índices de conteúdos de vídeo estão disponíveis para a empresa, significa que o TAKE não é sequer uma proteção contra vigilância em massa. As autoridades de aplicação da lei poderiam solicitar uma pesquisa em massa em câmeras por certos termos, depois aprofundar os detalhes ao apreender as câmeras de interesse do proprietário do dispositivo, descriptografar backups de contas e usar essa informação para descriptografar vídeos criptografados.
As Autoridades de Aplicação da Lei Podem Ainda Buscar Obrigar o Acesso às Imagens
Devido às maneiras como o acesso e as rotações de chaves funcionam, ainda é tecnicamente possível para a Ring alterar sua prática atual se obrigada a fazê-lo pela aplicação da lei, da mesma forma que outros sistemas existentes de criptografia em repouso, onde a empresa detém as chaves. Por exemplo, a Ring poderia receber uma ordem exigindo que eles salvem chaves de criptografia de conteúdo ou vídeos descriptografados da memória para o disco, o que significaria que eles manteriam algum nível de acesso.
Em um e-mail para a EFF, a Ring afirmou, "De forma projetada, sob o TAKE, a Ring não será capaz de fornecer chaves de criptografia ou conteúdo descriptografado. Com o TAKE, a Ring apenas preservará e fornecerá arquivos de vídeo criptografados em resposta a um processo legal válido. Tem sido e continua sendo a política da Ring objetar a pedidos legais excessivamente amplos." A EFF perguntou especificamente sobre a possibilidade de cumprir ordens de aplicação da lei para modificar a prática existente para entregar ou preservar vídeos descriptografados, o que parece tecnicamente possível, mas a empresa não abordou o assunto.
A criptografia de ponta a ponta funciona para manter a confiança de sua base de usuários porque a empresa que a emprega nunca tem acesso às chaves em nenhum momento, tornando impossível para ela acessar o conteúdo criptografado. Isso também significa que as autoridades de aplicação da lei não podem exigir que o serviço mantenha as chaves ou escolha não rotacioná-las. Como descrito, esse nível de proteção não é oferecido com o TAKE.
No final, a Ring é quem gerencia este software e sua implementação, e além de um documento branco, "confie em nós" é o único nível de verificação que eles estão oferecendo a observadores externos. Embora não resolva os problemas, no mínimo, a empresa precisa abrir toda a infraestrutura para auditores de terceiros para verificar suas alegações. A Ring parece concordar, pois nos disse que "a Ring realiza rigorosas revisões de segurança de todos os produtos antes do lançamento e componentes críticos da infraestrutura do TAKE passaram por testes de segurança independentes antes do lançamento. Estamos explorando opções para uma revisão independente adicional."
O TAKE não é criptografia de ponta a ponta, onde a Ring nunca teria acesso às chaves, e a empresa felizmente não reivindica isso. A Ring já oferece a opção de criptografia de ponta a ponta, e...Ativando isso por padrãoOfereceria os verdadeiros tipos de melhorias de privacidade que todos queremos de campainhas de vídeo.