Vulnerability in DJI system allowed an engineer access to thousands of robot vacuum cleaners

Softwarový inženýr Sammy Azdoufal si chtěl jen vyzkoušet, jestli dokáže svůj robotický vysavač DJI Romo ovládat herním ovladačem.

Aby to mohl udělat, potřeboval pochopit, jak zařízení komunikuje s cloudovými servery DJI. Při tom použil AI asistenta, který mu pomohl s analýzou komunikace mezi aplikací a backendem.

To, co následovalo, ale nečekal.

Podle jeho zjištění totiž autentizační mechanismus backendu umožnil přístup nejen k jeho vlastnímu zařízení, ale i k přibližně 7 000 dalším robotickým vysavačům ve 24 zemích. Přístup zahrnoval živé kamerové náhledy, mikrofonní data, mapy interiérů a další provozní informace.

Azdoufal tvrdí, že nevyužil žádný exploit ani neobcházel zabezpečení – pouze pracoval s legitimně získanými přístupovými údaji, které mu systém přidělil. Podle jeho popisu šlo o chybu v logice oprávnění na straně serveru.

Jak to bylo možné

DJI Romo je autonomní domácí robot vybavený senzory, kamerami a cloudovou integrací. Aby mohl fungovat, musí:

• sbírat obrazová data z domácnosti
• vytvářet mapu prostoru
• komunikovat s cloudem
• ukládat část dat mimo samotné zařízení

Pro vlastní ovládací aplikaci potřeboval Azdoufal získat bezpečnostní token potvrzující vlastnictví zařízení. Podle jeho zjištění však server tento token nepřiřazoval striktně k jednomu konkrétnímu účtu, ale umožnil přístup k širší skupině zařízení.

To znamenalo možnost:

• přístupu ke kamerovým náhledům
• aktivace mikrofonů
• zobrazení 2D map domácností
• získání IP adres a přibližné lokace zařízení

Podle zveřejněných informací nebylo nutné instalovat malware ani provádět klasický útok – problém byl v implementaci backendu.

Reakce DJI

Společnost DJI uvedla, že zranitelnost identifikovala interně koncem ledna.

První oprava byla podle firmy nasazena 8. února, následná aktualizace pak 10. února. Oprava byla distribuována automaticky a nevyžadovala zásah uživatelů.

DJI zároveň oznámilo, že plánuje další bezpečnostní vylepšení, konkrétní technické detaily však nezveřejnilo.

Širší kontext: IoT v soukromém prostoru

Tento případ nekončí opravou zranitelnosti. Spíš začíná otázkou, jak jsou podobné systémy navrhovány.

Moderní domácí robot musí mít přístup k obrazu, zvuku i mapě interiéru. To je předpoklad jeho funkčnosti.

Stejný předpoklad by ale měl platit i pro bezpečnostní architekturu: že někdo komunikaci analyzuje, testuje a hledá slabiny.

Tentokrát to byl etický výzkumník. Příště to může být někdo jiný.

Zdroj: Popular Science