פגיעות בענן של DJI חושפת סרטונים ומפות של בתים שצולמו על ידי הרובוטים של המותג

פגם חמור בתשתית הענן של DJI פגע בבטיחותם של אלפי משתמשי רובוט ביתי, ומאפשר לצדדים שלישיים לגשת מרחוק לעדכוני וידאו ונתוני ניווט. הבעיה, שבמרכזה קו RoboMaster ומכשירים יבשתיים אחרים מהיצרן, חשפה את השבריריות של מנגנוני אימות בציוד מחובר. הפרצה תוקנה על ידי החברה בפברואר השנה, לאחר הגילוי שהמערכת לא אימתה כראוי הרשאות גישה לנתונים ששודרו על ידי המכשירים.

זיהוי השגיאה התרחש באופן בלתי צפוי במהלך בדיקות שביצע חוקר האבטחה המכונה אזדופל. בזמן שניסה לשלב בקר קונסולת משחקי וידאו ברובוט למטרות פנאי, הבחין המומחה בחוסר עקביות בתעבורת הרשת. הניתוח הטכני העלה כי לאחר אימות ברשת של היצרן, משתמש יכול ליירט תקשורת ממכשירים אחרים מבלי שהשרת יחסום את הבקשה בגלל חוסר בעלות.

מומחי הגנת מידע סיווגו את האירוע כהפרת פרטיות קריטית, לאור אופי המידע שנאסף על ידי הרובוטים. בניגוד להדלפות שכוללות רק מיילים או סיסמאות, פגיעות זו פתחה צוהר דיגיטלי אל פנים הבתים. גישה לא נכונה אפשרה לא רק צפייה בסביבה בזמן אמת, אלא גם האזנה לשיחות וקבלת מיפוי מרחבי של חדרים, והפכה את המכשיר לכלי מעקב לא מורשה.

The fix applied by DJI involved a restructuring of the token validation rules on global servers. The company ensured that side access, where one user can view another’s data, was completely eliminated. המקרה, לעומת זאת, הצית מחדש את הוויכוח על אבטחה במכשירי האינטרנט של הדברים (IoT), תוך שאלה האם הנוחות של קישוריות ענן מצדיקה את הסיכונים הכרוכים באחסון מרכזי של נתונים ביומטריים ומרחביים.

פרטים טכניים של כשל האימות

ליבת הבעיה טמונה ביישום פרוטוקול MQTT, תקן תקשורת קל משקל בשימוש נרחב במכשירים חכמים. למרות שהפרוטוקול מאובטח כשהוא מוגדר כהלכה, התשתית של DJI לא הצליחה להפריד בין שרשורי הודעות בודדים. המשמעות היא שהמערכת טיפלה בכל המשתמשים המאומתים ברמת אמון מוגזמת, ואיפשרה לבצע פקודות קריאה במכשירים של אנשים אחרים רק על ידי שינוי מזהים בבקשה.

במהלך החקירה, התברר שהשרת יצר אסימוני הפעלה שלא היו קשורים בקפדנות למספר הסידורי של החומרה של הבעלים. היעדר בדיקה צולבת זה אפשר לחוקר, באמצעות אישורים לגיטימיים משלו, לגלוש בתעבורת נתונים מרובוטים אחרים המחוברים לאותה רשת. הפגם ההגיוני בארכיטקטורת האבטחה הפך את הענן למאגר נגיש, שבו המחסום בין חשבונות משתמש שונים כמעט ולא היה קיים.

ניצול הפגיעות חשף זרימה מתמדת של מידע רגיש הנוסע ללא הגנת גישה נאותה. בין הנתונים שיכולים להיות מיירטים על ידי תוקף בעל ידע טכני דומה, בלטו הדברים הבאים:
– שידורי וידאו בחדות גבוהה בזמן אמת;
– Arquivos de áudio captados pelos microfones ambientais;
– יומני מיקום טלמטריה ורובוטים;
– תמונות סטילס המאוחסנות בזיכרון ענן.

הקלות שבה נפגעה המערכת הוכיחה פער משמעותי בתהליכי הפיתוח המאובטחים של החברה. התיקון דרש לא רק “תיקון” פשוט, אלא שיפוץ של האופן שבו ה”ברוקר” של MQTT ניהל הרשאות קריאה וכתיבה. DJI היה צריך ליישם שכבות נוספות של אימות כדי להבטיח שכל בקשת נתונים מאומתת מול רשומת הבעלות של המכשיר, וחוסמת כל ניסיונות גישה צולבת.

סיכונים מוגדלים על ידי מיפוי LiDAR

ההיבט המדאיג ביותר של פרצת אבטחה זו כרוך בשימוש בטכנולוגיית LiDAR (Light Detection and Ranging) הקיימת ברובוטים המתקדמים של המותג. חיישנים אלו, המיועדים לניווט אוטונומי וזיהוי מכשולים, יוצרים מפות תלת מימדיות מדויקות ביותר של הסביבה. בידיים של פושעים, הנתונים הללו חורגים מהפגיעה בפרטיות הדיגיטלית ומתחילים לייצג סיכון ישיר לביטחון הפיזי של בתים ושל יושביהם.

על ידי גישה לנתוני המיפוי, תוקף יכול לשחזר את תכנית הקומה המלאה של הבית, לזהות נקודות כניסה, מיקומי ריהוט ואפילו שגרת התושבים. מודיעין מוקדם זה יקל על תכנון פלישות או גניבות, ויאפשר לפושעים לדעת את פריסת הנכס מבלי שהיו בו פיזית. הדיוק של החיישנים של DJI הופך את המפות הללו לכלים רבי עוצמה, המפרטים את הסביבה בנאמנות שתוכניות אדריכליות רגילות אינן יכולות להתאים לה.

בנוסף לסיכון לרכוש, חשיפת מצלמות ומיקרופונים בתוך הבית מפרה את העיקרון הבסיסי של חסינות הבית. בתרחיש שבו עבודה מרחוק וחיים אישיים מתערבבים, האפשרות לקיים פגישות סודיות או רגעים אינטימיים המועברים לצדדים שלישיים גורמת לנזק בלתי הפיך. אמון הצרכנים במותג מושפע ישירות כאשר מכשירים הנמכרים כעוזרים חכמות מתגלים כמרגלים פוטנציאליים עקב הגדרות שגויות בענן.

תגובת היצרן ואמצעי הפחתה

לאחר שקיבלה הודעה מהחוקר אזדופל, DJI יזמה ביקורת פנימית לשעת חירום כדי להעריך את השפעת הפגיעות. החברה אישרה את הפגם בתצורת השרת וגייסה את צוותי ההנדסה שלה כדי לפתח פתרון סופי. תהליך התיקון בוצע כולו בצד השרת, מה שאיפשר הפחתת סיכונים ללא צורך של משתמשים לעדכן את הקושחה של הרובוטים שלהם באופן ידני.

עדכון האבטחה הושק בשני שלבים עיקריים בתחילת פברואר. השלב הראשון התמקד בסגירה מיידית של פער הגישה על ידי הגדרה מחדש של הרשאות פרוטוקול MQTT כדי לדרוש אימות בעלות קפדני. השלב השני כלל בדיקות חדירה אינטנסיביות, הדמיית התקפות כדי להבטיח שהארכיטקטורה החדשה תעמוד בניסיונות ניצול דומים ושלא היו דלתות צד אחרות פתוחות במערכת.

בהודעה רשמית, DJI הכירה בחומרת השגיאה והצהירה כי היא בוחנת את פרוטוקולי פיתוח התוכנה שלה (SDLC). החברה הצהירה כי לא מצאה ראיות לכך שהפגם נוצל בזדון לפני גילויו של החוקר, אם כי האופי השקט של סוג גישה זה מקשה על אישור מוחלט. כאמצעי מניעה עתידי, היצרן חיזק את תוכנית הבאונטי שלה, ועודדה את קהילת האבטחה לדווח על נקודות תורפה בצורה אתית ומתואמת.

אתגרים מערכתיים באבטחת IoT

הפרק שבו מעורב DJI ממחיש אתגר שחוזר על עצמו בתעשיית הטכנולוגיה הצרכנית: איזון חדשנות מהירה ואבטחה חזקה. ככל שמכשירים ביתיים נוספים, משואבי אבק ועד מקררים, צוברים קישוריות וחיישנים מתקדמים, משטח ההתקפה העומד לרשות פושעי הסייבר מתרחב באופן אקספוננציאלי. הסתמכות על תשתיות ענן מרכזיות יוצרת נקודות כשל בודדות, שבהן תצורה שגויה עלולה לסכן מיליוני משתמשים בו זמנית.

עבור הצרכנים, האירוע משמש קריאת השכמה לצורך לאמץ שיטות הגנה מעמיקות ברשתות הביתיות שלהם. מומחים ממליצים לפלח את רשת ה-Wi-Fi, ליצור ערוץ בלעדי למכשירי IoT, בנפרד מהרשת שבה מחוברים מחשבים וסמארטפונים עם פרטי בנק. אמצעי זה מגביל את התנועה הצידית של התוקף אם מכשיר חכם נפגע, ומגן על שאר המערכת האקולוגית הדיגיטלית של הבית.

לחץ רגולטורי, המונע על ידי חוקים כמו LGPD בברזיל ו-GDPR באירופה, ממשיך לאלץ חברות לאמץ את המושג “Security by Design”. תקריות מסוג זה מוכיחות שאבטחה אינה יכולה להיות מחשבה שלאחר מכן, אלא חייבת להיות משולבת מעיצוב המוצר. הגנה על נתוני משתמשים הפכה לדרישת שוק מחייבת, וכשלים בתחום זה עלולים לגרום לנזק משמעותי במוניטין ובכספי ליצרני הטכנולוגיה.