Betreff: Arlo ausschließlich per Software limitiert

[mynote]

Hallo liebe Gemeinde.. 

bevor großartig die Diskussion bezüglich meiner Aussage beginnt, muss ich erwähnen, dass ich Informatiker bin und bereits für diverse ähnliche Systeme (Kameras MJPEG / REST-API, Phillips Hue / Zigbee,  etc) Anwendungen programmiert habe und Custom Firmwares erstellt habe.

Ich selbst besitze 2x Arlo Ultra, 6x Arlo Pro 2, 2x Arlo Home HD und nutze eine Premium Mitgleidschaft (keine Daueraufnahme).

Nachdem ich in letzter Zeit immer wieder Probleme mit der Verbindung hatte und selbst zurücksetzen und justieren der Ultra Basis kaum Erfolge brachte, habe ich mich etwas auf die Suche gemacht nach Custom Firmwares. 

Zusätzlich kam es häufiger vor, dass die Kameras nach einem Update erstmal gehangen haben, so dass diese mit der hohen Unzuverlässigkeit von keiner Versicherung im Falle eines Diebstahl gedeckt werden kann.

Ich habe etwas mit der REST Api gespielt und wie jeder weiß, werden die Aufnahmen in der Amazon Cloud gelagert. Bei der Ultra Basisstation ist zudem noch ein MicroSD Slot, bzw. bei der Pro eine USB Aufnahme möglich.

Da der Bewegungsmelder ziemlich bescheiden funktioniert, vorallem wenn eine Person sich im Raum nur wenig bewegt, wäre eine Daueraufnahme natürlich das sinnvollste. Aufgrund der hohen Mitgliedschaftsgebühren trotz "speicherung" in der Amazon Cloud ohne Möglichkeit diese zu laden, ist die Frage doch da, wieso eine Daueraufnahme lokal nicht angeboten wird.

Nachdem diese Aufnahmemöglichkeit in der Software verankert ist und per Mitgliedschaft aktivierbar ist, wäre es sehr einfach bei einer offenen Firmware lokale Dauerspeicherung zuzulassen - so wie es jede 10€ Kamera kann. 

Da Netgear / Arlo in letzter Zeit immer wieder Probleme mit den Servern haben, ist es m.e. sehr unverantwortlich, die Firmware weiterhin ausschließlich als geschlossenes Paket und nur beziehbar über die Arlo-Server anzubieten.

Selbstverständlich ist das Arlo selbst überlassen, jedoch ist die Freischaltung nur eine kleine Option, die aus Geldgier bei den durchaus teuren Kameras gesperrt ist. 

Wie rechtfertigt Arlo, dass diese im oberen Segment mit den tollen 4K-Kameras (sofern das 4k ist) mitspielen will, aber den gut betuchten Käufern ausschließlich speicherung in der Cloud (+sd) anzubieten?

Gemeint ist hier nicht nur der technische Aspekt, sondern der Datenschutz private Aufnahmen auf einem Amazon-Webspace zu lagern 

Laut der toll aufgelisteten Einhaltung des Datenschutzes (https://www.arlo.com/de/about/gdpr/default.aspx) ist m.E. die ausschließlich erzwungene Speicherung in einer Cloud rechtswidrig.

Wie verhält es sich, wenn die Kamera aufgrund eines technischen Fehlers (z.b. nicht deaktivierbarer Updates) in dem Zeitinterval hängt und ein Einbruch stattfindet? In der Regel müsste dann Netgear haften. 

Vielleicht hat sich schon mal jemand mit diesem Thema beschäftigt.. Besten Dank.

[mynote]

Nachdem ich kein Edit-Button gefunden habe, hier noch weitere Erkentnisse.

Basierend auf einem Bug, bei dem das WIFI-Passwort zur Basis-Station 12345678 war (v1.7.7_7171) konnte einiges an Traffic ausgelesen werden.

Hierbei war klar ersichtlich, dass hier die Datenübertragung über das standard RTP-Protokoll übertragen wird. Demnach wäre es super einfach Zugriff auf die Kameras - so wie es jede kann - zu ermöglichen ohne die Sicherheit zu gefährden.

Die Ports der Basisstation horchen auf 9418-9419 (UDP), sowie die Klienten (Kameras) auf 1038-1039 (siehe auch https://community.smartthings.com/t/hub-firmware-release-notes-ota-16-9-v2/63064/166)

Nachdem nun klar ersichtlich ist, dass es hier um ein nicht mal eine professionelle Software/Protokoll handelt, sondern an der RFC für RTP hantiert wurde (https://tools.ietf.org/html/rfc3550), sowie scheinbar fahrlässig ein "Backdoor" mit einem festcodierten WIFI Passwort verbaut wurde, wäre es wirklich interessant vom Support hierzu Stellungsnahme zu erhalten.

Im Livechat wurde mir damals jede Aktion vorgelesen, welche meine Kameras getätigt haben. Scheinbar ist der Traffic nicht so verschlüsselt wie gedacht. Warum die Speicherung auf Amazon Servern läuft, ist auch merkwürdig.

Nimmt man nun noch das Preismodell von AWS (https://aws.amazon.com/de/s3/pricing/), dann errechnet sich bei einem durchschnittlichen Speichervolumen von 1 Ultra-HD Kamera mit einer Datenrate von ca. 900kBit/s und einer Audio Bitrate von 57kbit/s bzw. 16.000 kHz ein Sekundenspeichervolumen von etwa 900kb.

Ein durchschnittlicher Monat hat 2628000 Sekunden, welches ein unkodiertes (es ist allerdings komprimiert und kodiert bei 24/7 Aufnahme) Speichervolumen von 900*2628000 etwa 2365200000 kbit, welches in etwa 295 GigaByte entspricht. 

Bei einem Speicherpreis von S3 Glacier wären das bei 0,0045 USD/GB (Frankfurt) gerade mal 1,33 USD welches ca. 1,21 EUR entspricht. Aktuell kostet 30 Tage Aufnahme 17,99€/Monat, welches zeitgleich nichtmal eine lokale Speichern in diesem Falle zulässt.

Hier wäre ich über ein Statement dankbar, da es m.E. schon fast an Betrug und Fahrlässigkeit grenzt.

Edit: Scheinbar wird hier jeder Cent ausgelutscht, was auch erklärt, warum bei den Home HD Kameras irgendwann der versteckte USB Port entfernt wurde. Selbe gilt für die Restriktionen von Fake-Batterien und Bewegungserkennung bei einer permanenten Stromzufuhr.

[JustynaO]

Hallo @mynote,

herzlich Willkommen in der Arlo Community!

Entschuldige bitte die lange Wartezeit!

Vielen Dank für Dein Feedback und den Link zu unserer Datenschutz-Grundverordnung. 

Ich empfehle Dir sich auch mit den Nutzungsbedingungen, die Du in der mobilen Arlo App oder im Web Browser unter Einstellungen> Info findest, vertraut zu machen.

Viele Grüße

Justyna

Arlo Community Team