Даже у IP-камер в комплектеобычно идет фирменное программное обеспечение, которое позволяет делать больше, чем в веб-браузере. Например, просматривать RTSP-потоки видео, а не тормознутые TCP /IP. Если делать только по первому варианту, то клиенту придется платить за выдачу сертификатов для https. По mac-адресу фильтровать пользователей слабовато и неудобно им самим, двухфакторная аутентификация еще хуже. Пароль/логин с задержкой позволят прыщавым хакерам помешать хозяину сварить своевременно кофе в умном чайнике. Как-то по первому варианту все дыряво получается, некрасиво...