DJI zegt dat het een beveiligingsprobleem heeft opgelost dat van invloed is op zijn Romo-robotstofzuiger, nadat een onderzoeker ongewoon brede toegang had gemeld tot apparaten die communiceren met de clouddiensten van DJI. De onderzoeker, Sammy Azdoufal, zei dat hij het probleem ontdekte toen hij een app voor afstandsbediening voor zijn eigen Romo bouwde en vervolgens duizenden apparaten zag reageren toen zijn app verbinding maakte met de DJI-infrastructuur.
Volgens DJI was de hoofdoorzaak een probleem met de validatie van de backend-toestemming in verband met op MQTT gebaseerde communicatie tussen apparaten en de server. In een verklaring zei het bedrijf dat de oplossing in twee updates werd geïmplementeerd, waarbij een eerste oplossing op 8 februari werd uitgerold en een vervolg op 10 februari werd voltooid. DJI zei dat de oplossing automatisch werd geleverd en geen actie van de gebruiker vereist.
Azdoufal beweerde dat hij telemetrie van apparaten, zoals identificatiegegevens en statusinformatie, kon observeren, en dat toegangspaden in sommige omstandigheden in theorie konden worden misbruikt om live videofeeds te bereiken. DJI zei dat uit het onderzoek bleek dat de vermoedelijke activiteit grotendeels verband hield met het testen van hun eigen apparaten door onafhankelijke onderzoekers, maar voegde eraan toe dat er geen bewijs is van een bredere impact.
Het incident benadrukt de privacyrisico’s van connected home-apparaten, waaronder camera’s en microfoons. Zelfs wanneer gegevens tijdens de overdracht worden gecodeerd, bepalen toegangscontrole en machtigingen aan de serverzijde wat geauthenticeerde clients kunnen opvragen en bekijken. De openbare beveiligingsbronnen van DJI, inclusief de kanalen voor het melden van kwetsbaarheden, zijn beschikbaar via het DJI Security Response Center.
DJI is op meerdere markten onder de loep genomen vanwege veiligheidsgerelateerde problemen, en de Romo-episode kan aan dat debat bijdragen. Voor meer berichtgeving over DJI raadpleegt u ons vorige rapport over gelekte productafbeeldingen voor de actiecameralijn van het bedrijf: DJI Osmo Nano-afbeeldingen lekken, tonen modulair ontwerp.
