Недавний Уязвимость в системе безопасности роботизированных пылесосов DJI ROMO. Это вызвало серьезные опасения по поводу того, что может произойти, когда устройство со встроенной камерой и микрофоном, перемещающееся по нашим домам, становится каналом доступа для третьих лиц. Этот случай оказал значительное влияние на всю Европу, особенно на такие страны, как Испания, где Эти устройства начинают набирать популярность в домах..
То, что казалось простым, высококлассным роботом-пылесосом, в итоге оказалось очень наглядным примером того, как плохое управление правами доступа и аутентификацией. Это может поставить под угрозу конфиденциальность тысяч пользователей. В течение нескольких дней было возможно дистанционно управлять пылесосами ROMO, видеть, что записывают их камеры, подслушивать через микрофоны и даже рисовать подробные планы домов без ведома владельцев.
Внутренний эксперимент, выявивший глобальное разделение.
Главный герой этой истории — Сэмми АздуфальДиректор по стратегии в области искусственного интеллекта в компании по аренде жилья Emerald Stay и разработчик приложений, проживающий в Барселоне. Все началось с того, что он решил, почти из любопытства, Подключите пылесос DJI ROMO к контроллеру PlayStation 5. Управлять им, как если бы это была машинка с дистанционным управлением.
Для достижения этой цели Аздуфаль создал приложение дистанционного управления Используя ИИ-помощника, он провел обратное проектирование коммуникационных протоколов DJI. Изначально он просто хотел общаться со своим собственным роботом, но когда он подключился к серверам компании, произошло нечто неожиданное: тысячи пылесосов, которые ему не принадлежали, начали отвечать.
Через несколько минут его ноутбук определил примерно следующее: от 6.700 до 7.000 устройств распространяться 24 страныпозже получив видимость над некоторыми 10.000 устройств Между роботами ROMO и другим подключенным оборудованием. Каждые несколько секунд устройства отправляли сообщения с данными о состоянии, маршрутами уборки, серийными номерами и другой технической информацией, которая в совокупности составляла более чем... 100 000 сообщений MQTT всего за девять минут.
Серьезность ситуации заключается не только в количестве затронутых устройств, но и в том, что доступ был получен с помощью одного-единственного элемента: приватный токен Этот идентификатор, предназначенный для распознавания серверами легитимного пользователя, на практике действовал как своего рода идентификатор, полученный из собственного робота Аздуфаля. «мастер-ключ» что открыло двери для тысяч других роботов.
Специализированные СМИ, такие как Грань Они подтвердили уязвимость на собственном опыте: журналист разрешил Аздуфалю попробовать управлять его роботом ROMO из Барселоны, и тот смог дистанционно управлять роботом, просто зная его характеристики. серийный номербез необходимости использования дополнительных паролей.
Что могли увидеть и сделать злоумышленники с ROMO?
Масштаб уязвимости выходит далеко за рамки дистанционного включения или выключения пылесоса. Благодаря этой ошибке в проверке прав доступа, любой, кто воспользуется ею, сможет управлять движением робота и получать доступ к крайне конфиденциальной информации без какого-либо разрешения со стороны владельца.
Включенные доступные данные и функции встроенные камеры самых передовых моделейЭто позволяло пользователям просматривать изображения в режиме реального времени из домов. Кроме того, система предоставляла любому, кто подключался, доступ к... 2D карты В ходе уборки были выявлены особенности планировки домов, включая расположение комнат, коридоров и препятствий.
В дополнение ко всему этому, существовала возможность проверки таких параметров, как уровень заряда батареи, точный маршрут Получая данные от робота, о комнатах, которые он убирал в данный момент, или об объектах, которые он встречал на своем пути, злоумышленник мог бы... делать выводы о привычках и распорядке дня, например, умение определять, когда дом пустует, или находить особо важные места в доме.
В некоторых случаях робот может также служить отправной точкой для выяснения того, что... примерное местоположение От пользователя, либо через IP-адрес, либо через связанную сетевую информацию. Такая комбинация — карты дома, возможные изображения, аудио и технические данные — превращает простое устройство в очень мощный источник информации о вашем доме.
Аздуфаль настаивает на том, что во время своих испытаний он Он не прибегал к грубой силе. Он также не взламывал зашифрованные системы традиционным способом. По его собственным показаниям, он просто использовал токен своего устройства и обнаружил, что серверы, из-за конструктивного недостатка, предоставляли ему данные тысяч других пользователей.
Как работает уязвимость: проблема с токеном и бэкэндом.
В основе этого инцидента лежит система связи между Роботы ROMO и платформа DJI HomeЭта технология использует протокол MQTT для отправки и получения данных в режиме реального времени. Она широко распространена в Интернете вещей, поскольку является легковесной и эффективной, но требует... строгий контроль за выдачей разрешений чтобы каждое устройство могло получать доступ только к своей собственной информации.
Как объяснила сама компания, проблема заключалась в следующем: Ошибка проверки разрешений в бэкэнде.Проблема заключалась не в шифровании коммуникаций. То есть данные передавались безопасно по сети, но попав в инфраструктуру DJI, элементы управления, определяющие, что может видеть каждый клиент, были настроены неправильно.
На практике частный токен робота Аздуфаля действовал как глобальный идентификатор Это позволяло системе подписываться на сообщения от других устройств, получать их телеметрию и даже выполнять удаленные действия. Из-за этой уязвимости система принимала эти запросы как легитимные, не проверяя должным образом, что каждый запрос исходит исключительно от авторизованного бота.
Этот тип уязвимости особенно серьезен, поскольку он возникает «на стороне сервера». Даже если у пользователя зашифрованное соединение и, казалось бы, безопасное приложение, если бэкэнд не реализует меры безопасности, уязвимость все равно может быть использована. строгие правила контроля доступаЗлоумышленник, обладающий необходимыми знаниями, может довольно свободно перемещаться в облаке производителя.
Эксперты по кибербезопасности отмечают, что подобные случаи демонстрируют, что одного лишь шифрования недостаточно: TLS защищает канал.Однако это не предотвращает доставку конфиденциальной информации не тому получателю из-за неправильной настройки сервиса. Именно поэтому эти меры так важны. внешние аудиты безопасности а также программы вознаграждения за обнаружение уязвимостей, особенно для продуктов, которые буквально попадают в дом пользователя.
Ответ DJI: оперативные исправления и послание спокойствия.
После заявления Аздуфаля об обнаружении уязвимости и последующей публикации этой информации в международных СМИ, компания DJI подтвердила, что проблема уже решена. полностью решеноПо словам представителя компании Дейзи Конг, в конце января компания обнаружила внутреннюю проблему с DJI Home и вскоре после этого начала выпускать обновления.
В частности, компания заявляет о запуске Первое обновление выйдет 8 февраля., после чего последует дальнейшее обновление информации о 10 в феврале чтобы гарантировать, что корректировка была применена ко всем сервисных узловКомпания утверждает, что именно это второе обновление наконец-то распространило действие решения на всю её инфраструктуру, восстановив механизмы контроля доступа, которые изначально не работали.
Компания DJI подчеркивает, что сбой ограничился одним случаем. теоретическая возможность несанкционированного доступа Компания также отметила, что обнаруженные случаи были «крайне редкими» и в основном связаны с исследователями безопасности, тестировавшими устройства. Кроме того, компания подчеркнула, что Сообщения не передавались в открытом текстовом виде. и что шифрование оставалось активным в течение всего времени.
После получения подробного отчета Аздуфаля компания подтвердила, что «Нет никаких доказательств более широкого воздействия.«Что касается пользовательской базы, то проблема уже решена. Однако сам исследователь признался американскому СМИ, что ему все же удалось обнаружить...» еще одна серьезная неудача Это связано с компанией ROMO, которая на данный момент предпочитает не разглашать эту информацию, чтобы не способствовать ее использованию в коммерческих целях.
Компания настаивает на том, чтобы они поддерживали строгие стандарты конфиденциальности и безопасностикоторые инвестировали в отраслевые решения для шифрования и имеют программу вознаграждения за обнаружение уязвимостей, чтобы поощрять ответственное сообщение о подобных находках.
Влияние на пользователей в Испании и Европе
В европейском контексте, где защита персональных данных Учитывая строгие правила GDPR, инцидент, подобный взлому DJI ROMO, не остаётся незамеченным. Хотя компания настаивает на том, что число реальных жертв было очень ограничено, тот факт, что технически доступ к данным был возможен, вызывает вопросы. камеры, микрофоны и домашние карты Тот факт, что проблема затронула тысячи пользователей, сам по себе вызывает беспокойство.
В таких странах, как Испания, где все больше домохозяйств выбирают домашнюю автоматизацию и подключенные устройства, этот случай служит напоминанием о том, что Робот-пылесос — это не просто бытовой прибор.Это мобильный датчик, который перемещается по всему дому и может создавать очень точную картину того, как живет семья, какие помещения они используют, где хранят определенные предметы или когда обычно отсутствуют.
Европейские регулирующие органы и защитники конфиденциальности давно предупреждали о... Риски, связанные с устройствами, оснащенными камерой и микрофоном. Интегрированные устройства, от умных колонок до видеодомофонов и домашних камер видеонаблюдения. Инцидент с ROMO пополняет растущий список случаев, демонстрирующих, что не все бренды одинаково серьезно относятся к вопросам безопасности.
Кроме того, поскольку это компания с глобальная инфраструктура и распределенные серверыВозникают дополнительные вопросы относительно того, где именно хранятся данные, кто имеет к ним доступ и под какой юрисдикцией они управляются. Хотя шифрование затрудняет доступ к данным для сторонних лиц, теоретически собственные сотрудники компании или внутренние подразделения могут обрабатывать эту информацию, что повышает требования к ответственности производителей и поставщиков.
Для европейских пользователей подобные инциденты часто также приводят к... усиление контроля со стороны регулирующих органов а также давление с целью внедрения специальных сертификатов кибербезопасности для продуктов Интернета вещей, предназначенных для домашнего использования, — вопрос, который уже обсуждается как в Брюсселе, так и в столицах других стран.
Какие меры могут предпринять владельцы роботов-пылесосов?
Хотя компания DJI настаивает на том, что Дальнейшие действия не требуются. С точки зрения пользователей, и учитывая, что обновления уже установлены, в этом эпизоде являются понятными практические рекомендации, которые могут помочь снизить риски при использовании любого подключенного робота-пылесоса, независимо от того, принадлежит он к данной марке или нет.
В первую очередь следует Периодически проверяйте наличие обновлений прошивки. и соответствующее мобильное приложение. Большинство производителей включают автоматические обновления, но всегда полезно проверить настройки, чтобы убедиться, что ваше устройство обновлено, особенно после таких новостей.
Кроме того, целесообразно ограничить разрешения которые предоставляются приложениям: например, для оценки того, действительно ли необходимо разрешать удаленный доступ извне дома, или имеет ли смысл предоставлять приложению постоянные разрешения на использование камеры или микрофона мобильного телефона, когда определенные функции не используются.
Еще одна разумная практика включает в себя контролировать зоны дома зоны, по которым перемещается робот. Многие модели позволяют устанавливать зоны ограниченного доступа или виртуальные стены. Предотвращение въезда пылесоса в особо чувствительные помещения — такие как офисы с документами, детские комнаты или зоны, где обрабатывается конфиденциальная информация, — может уменьшить последствия потенциального инцидента.
Наконец, полезно поддерживать критический взгляд на подключенные устройства Что касается устройств, используемых в быту: проверьте историю безопасности производителя, выясните, были ли у них ранее проблемы, изучите, какие данные он собирает и как хранит, и не предполагайте, что если продукт популярен, то он автоматически безопасен.
Случай DJI ROMO Стало ясно, что даже бренд с технологической экспертизой и широким международным присутствием может игнорировать сбой в проверке разрешений, что может иметь серьезные последствия. Цифровизация дома приносит удобство и автоматизацию, но также означает признание того, что каждое подключенное устройство является потенциальным слабым местом, если что-то пойдет не так в его конструкции или обслуживании.
Уязвимость устранена, но ведутся новые исследования, поэтому этот инцидент служит тревожным сигналом как для производителей, так и для пользователей: безопасность робота-пылесоса оценивается не только по качеству уборки, но и по тому, насколько хорошо он защищает то, что видит, слышит и чему учится в доме, где работает.
