パスワードを忘れた? アカウント作成
15326345 story
プライバシ

スマートホームカメラ「ATOM Cam」専用アプリで位置情報の無断送信が判明、批判受け修正へ 55

ストーリー by nagazou
無断 部門より
あるAnonymous Coward 曰く、

スマートホームカメラ「ATOM Cam」を開発・販売するATOM Tech(アトムテック)は6月12日、同社の提供する「ATOM – スマートライフ」アプリ(Android版iOS版)において、事前の説明と異なる目的で位置情報を利用していたことを謝罪し、位置情報の利用を停止した修正版のアプリを公開した(ATOM Techのニュースリリース)。

発端は5月29日、Googleのソフトウェアエンジニアである河本健氏がAndroid上でのパケットキャプチャにより、同アプリが起動時に端末の緯度・経度をアトムテックのサーバーに送信していることを発見したことに始まる。

同アプリでは事前に「スマートフォンのWi-Fi情報を取得するため」として初期設定時に位置情報の取得の許可を求めていたが、そのために位置情報を送信する必要性を同社に問い質したところ、実は「ユーザーのタイムゾーンを判定するため」という回答があったという。

しかしながら、タイムゾーンを判定する目的であればタイムゾーン取得用の関数を利用したスマートな方法が存在することや、事前の説明を逸脱した位置情報の利用について、同社からの返信が途絶えたため、河本氏が6月11日にこれまでの経緯をツイートしたところ、1,000リツイートを超える炎上状態となっていた。

同社の説明によれば、問題の原因は社内体制の不備にあり、タイムゾーン判別後の位置情報はサーバーに保存しない仕様であったという。また、問題提起を行った河本氏に対しては、こうした報告を無視せずにすぐ対応できるよう連絡ラインを見直すとの回答があったようだ。

情報元へのリンク

  • by Anonymous Coward on 2021年06月23日 19時01分 (#4056604)

    結局、中国メーカのOEM品なんですよね
    Wyze Cam [wyze.com], WANSVIEW [wansview.com]、Xiaomi Xiaofang とかいろいろあって、firmwareバージョン表記を見ると、なんとなーく開発順序が見えてきて興味深いですね

    ATOM CAM2 : 4.58.0.39
    ATOM CAM ; 4.33.3.24
    Wyze Video Doorbell: 4.25.0.244
    Wyze Cam Outdoor: 4.17.1.123
    Wyze Cam : 4.16.2.7
    Wyze Cam Pan: 4.10.6.241
    Wyze Cam v3: 4.36.2.5
    Wyze Cam v2: 4.9.6.241
    Wyze Cam v1: 3.9.4.32

    SoCはMIPS系コアのIngenic T10/T20/T31Xを使っていて、ATOM CAM/ATOM CAM2はT31X版らしい
    T20版の方は、いろんなhack手法がある
    Xiaomi DaFang Hacks / XiaoFang 1S / Wyzecam V2 / Wyzecam Pan / Other T20 Devices [github.com]
    JCO PM203 Fisheye Ingenic T20 P2P camera hacks [github.com]
    OpenMiko [github.com](custom firmware)

    ここに返信
    • by Anonymous Coward on 2021年06月23日 20時21分 (#4056642)

      アトムテック株式会社(ATOM tech Inc.)
      https://www.atomtech.co.jp/cor... [atomtech.co.jp]
      の企業メッセージ曰く、
      『日本のスマートホーム製品に革命を起こす』らしいです。

      中華製品が革命起こすってどんな皮肉・風刺なんですかね……

    • by Anonymous Coward

      ハードウェア・ファームウエア・アプリのすべて国産ってのは稀ですが、すべて海外製ってのも稀なので、下手に言及すると主語デカになっちゃうんですよね。

      元々クラウドファンディング [readyfor.jp]のページでは

      すでに、アメリカ版は2年間で600万台の販売実績がある製品がベースです。
      「海外製品のコピーなだけじゃないの?」と思われるかもしれません。
      外見は同じですが、ファームウエア・アプリは『ATOM Cam』専用の開発チームをつくり、サーバーも日本のAWSを使っています。

      と述べています。

      アプリ開発の主導権が国内にあるので今回の件も炎上翌日には対応できたんだというのが分かりますが、ファームウェアの方は海外のOEM製品とバージョンに連続性があるということは、コア機能の大部分を海外に依存している可能性があるわけですね。

      • by Anonymous Coward

        WANSVIEWの初期設定やってる場面に遭遇したんだけど、ATOM CAMと同じ日本語音声で設定が始まってたし、アプリの見た目もほぼ同じだったので、まぁそんなもんなんだろうと思いましたね

  • by Anonymous Coward on 2021年06月23日 18時16分 (#4056579)

    ネット越しのサービスに依存するやつはこういうのの懸念が払拭出来ないし
    セルフでハードとソフト管理するとハードルが一気に高くなる

    何とかならんもんか

    ここに返信
    • by Anonymous Coward on 2021年06月23日 19時39分 (#4056621)

      デフォルトはクラウド連動でもいいけど、クラウドから切断して動くようにしてくれないと、とても購入する気になれない

      • by Anonymous Coward

        前に買った安カメラ。
        たった半年でサービス終わり。

      • by Anonymous Coward

        個人情報だだもれとかあまりかんけーなくて そもそも製品が使えなくなるのがやなんだよな

    • by Anonymous Coward

      そんなものと割り切ってつかうしかないのでは?

      今回のATOM CAMだって 急に出た話ではなく一般販売に
      なって割と早い段階で出ている話だし

    • by Anonymous Coward

      なので、自分はセキュリティが割としっかりしてるAppleHomekit重視で
      さらにHomekitルーター機能( https://support.apple.com/ja-jp/HT210544 [apple.com] )で、HomekitでつながったIoTがLAN/WANに勝手につながらないよう制御してる。
      まぁこの機能なくても、普通にルーターで指定のローカルIPアドレスをブロックすればいいんだろうけど、管理面倒だよね。

  • by Anonymous Coward on 2021年06月23日 18時35分 (#4056592)

    以前のアプリではアルバムを開くと位置情報を取得します。カメラからタイムラプスファイルを取得するためwifiの情報が必要で、wifiの情報を取得するため位置情報の権限が必要です。
    最新版(1.8.2)では問題を修正済みです。

    — ATOM Cam (@ATOM_Cam_ATJ) June 23, 2021 [twitter.com]

    wifiの情報を取得するため位置情報の権限が必要ってのは分かるんだけど、タイムラプスファイルを取得するためwifiの情報が必要ってどういうことなの? 教えて識者!

    ここに返信
    • by Anonymous Coward on 2021年06月23日 19時29分 (#4056614)

      初期設定時にカメラをネットワークに接続させるためSSIDとPSKをQRコード化してカメラに撮影させて読み込ませるのに必要(といっても現行バージョンでは自動取得を許可せずSSID/PSKの手動入力も可)なんだけど、カメラのSDカード内に保存されているタイムラプス動画をダウンロードするのに改めてその手順が必要な理由はよくわからないな。

      あー、#ATOMCam [twitter.com] のタイムラプスダウンロードに位置情報が必要なの、SSIDを取るために、っていうところまではわかってたけどクラウドの機能じゃなくてローカル鯖立ててんのか…たしかにIPレンジ判定じゃ別機器って可能性もあるしな…
      タイムラプス動画ダウンロード中は80が開く…まぁローカルだしいいか

      — ひろみつ(honeylab) (@bakueikozo) June 6, 2020 [twitter.com]

      Wi-Fi Directとかで通常のリアルタイム動画とは別経路を開いてるのかも。

    • by Anonymous Coward

      タイムラプスの生成をスマホアプリでする時に、元動画ソースをクラウドではなく、カメラのmicroSDからWi-Fi経由で直接引っ張ってくる仕様なのでは?
      クラウドの負荷軽減の為にローカルで完結したかったとかで。

    • by Anonymous Coward

      スマホへのファイル転送に WiFi Direct あたりを使ってるってことじゃない?

    • by Anonymous Coward

      ぐぐるやあぽーが毎回バグでしたテヘペロやってっから
      ああ俺等もやっていいんだってなるよなまぁ

      • by Anonymous Coward

        別件で政府から言いがかりつけられて何百億単位で罰金払わされてるのを、ベンチャーや個人事業でも同じように払える訳がないけどな

    • by Anonymous Coward

      俺は wifi 情報を取得するために位置情報の権限が必要なのも意味わからないのだが。
      いつの間にか Android の仕様がそうなっていたのだけど、wifi掴んで通信するだけなら位置情報なんていらなくね?

      • by Anonymous Coward

        SSIDから今いる場所を特定できるから位置情報なんだよ。

        • by Anonymous Coward

          カメラで写真を撮影する時に
          位置情報を取得します(撮影した写真の風景から位置情報を特定できる(可能性がある)から)
          電話番号を取得します(撮影した人物の顔認識で電話番号DBと結合出来る(可能性がある)から)
          身体活動を取得します(撮影した人物から身長 体重を機械学習で推測出来る(可能性がある)から)

  • by Anonymous Coward on 2021年06月23日 18時43分 (#4056598)

    社内体制の不備で

    ここに返信
  • by Anonymous Coward on 2021年06月23日 19時00分 (#4056603)

    カタログスペック外の部分に何か罠があると思って手を出さなかったが、やっぱりな。

    ここに返信
  • by Anonymous Coward on 2021年06月23日 21時41分 (#4056678)

    カメラとしてもSMBへの保存にSMB1しか使えないポンコツだったりする。
    脆弱性で利用が推奨されてないバージョン使うのもなあ・・・(カメラ自身はどうなの、という話は置いておく

    ここに返信
    • by Anonymous Coward

      BUFFALO製最新ルーター「すまんなw」

  • by Anonymous Coward on 2021年06月23日 22時50分 (#4056719)

    そういえば、そんなOSがあったな

    ここに返信
  • 業務でそれ発見したのかね?
    個人の趣味で発見したのならなんで「Googleのソフトウェアエンジニア」などと名乗る必要ある?
    業務で発見したのなら会社対会社の正式ルートで問い合わせればいいものをどうもそんな感じはなく個人でやってるように読める
    しかも正義面して。ツィートして炎上させて。マスゴミと同じ。
    これが仕事なの?

    ここに返信
  • by Anonymous Coward on 2021年06月24日 6時44分 (#4056796)

    こういう事件を防ぐためにも、
    この手のプロダクトにはリバースエンジニアリング禁止条項が必須ですね(違

    ここに返信
    • by Anonymous Coward

      アプリ内を直接解析しなくても、APIモニタやSSL暗号化の前段階をパケットキャプチャできるアプリがあれば、
      どのような通信をしているのかは明らかにできますよ。

      今回のはおそらく後者でやってるはずです。

  • by Anonymous Coward on 2021年06月24日 7時34分 (#4056803)

    電源とネットワークに接続されたカメラを
    「自腹で」
    「自分で」
    「自宅に」
    設置する。もはや心の病といって良いんじゃ無いかと思いますよ。
    一昔前ならりっぱな盗聴機器です。
    FBのトップは自分のPCにも、マイクとカメラに物理的フタをしてるそうですね。何が違うんでしょう。

    ここに返信
    • by kcg (26566) on 2021年06月24日 8時18分 (#4056817) ホームページ 日記

      庭に設置しておいたらたぬきが写ったりして面白いですよ。2500円のわりにきれいに写ります。

      • by Anonymous Coward

        例えば、ベランダに鳥のうんこが落ちてるけど、鳥の姿を見たことがない
        いつ、どんなのが来てるの?とか疑問を解決するために3千円(microSD込み)というのはお手軽ですよね

  • 逸般人かもしれないけど、普通の人が普通の道具でわかる程度のことを、
    発売元であるATOM tech社がわからないとか、技術力のない会社という印象が強烈に残った

    ここに返信
typodupeerror

にわかな奴ほど語りたがる -- あるハッカー

読み込み中...