DJI afferma di aver risolto un problema di sicurezza che riguardava il suo robot aspirapolvere Romo, dopo che un ricercatore ha segnalato un accesso insolitamente ampio ai dispositivi che comunicano con i servizi cloud di DJI. Il ricercatore, Sammy Azdoufal, ha affermato di aver scoperto il problema mentre creava un’app di controllo remoto per il suo Romo e di aver poi visto migliaia di dispositivi rispondere quando la sua app si è collegata all’infrastruttura DJI.
Secondo DJI, la causa principale era un problema di convalida delle autorizzazioni di backend connesso alla comunicazione basata su MQTT tra i dispositivi e il server. In una dichiarazione, la società ha affermato che la correzione è stata implementata in due aggiornamenti, con una correzione iniziale implementata l’8 febbraio e un follow-up completato il 10 febbraio. DJI ha affermato che la correzione è stata fornita automaticamente e non richiede alcuna azione da parte dell’utente.
Azdoufal ha affermato di poter osservare la telemetria del dispositivo come identificatori e informazioni sullo stato e che, in teoria, i percorsi di accesso potrebbero essere abusati per raggiungere feed video in diretta in alcune circostanze. DJI ha affermato che la sua indagine ha rilevato che l’attività sospetta era in gran parte legata a ricercatori indipendenti che testavano i propri dispositivi, aggiungendo che non ci sono prove di un impatto più ampio.
L’incidente evidenzia i rischi per la privacy dei dispositivi domestici connessi che includono fotocamere e microfoni. Anche quando i dati vengono crittografati in transito, il controllo degli accessi e le autorizzazioni lato server determinano cosa i client autenticati possono richiedere e visualizzare. Le risorse di pubblica sicurezza di DJI, inclusi i suoi canali di segnalazione delle vulnerabilità, sono disponibili tramite il DJI Security Response Center.
DJI è stata sotto esame in diversi mercati per preoccupazioni relative alla sicurezza e l’episodio Romo potrebbe aggiungersi a tale dibattito. Per ulteriori informazioni su DJI, consulta il nostro precedente rapporto sulle immagini trapelate dei prodotti per la linea di action camera dell’azienda: Perdite di immagini DJI Osmo Nano, mostrano il design modulare.
