DJI Dron Üreticisi, Robot Süpürgedeki Güvenlik Açığını Kapatıyor
Çinli dron üreticisi DJI, robot süpürgesinin kontrolü için geliştirilmiş bir uygulama aracılığıyla ciddi bir yetkilendirme açığı tespit etti. Yazılım mühendisi Sammy Azdoufal, bağlantı sırasında 24 ülkede yaklaşık 7 bin cihaza yetkisiz erişim sağlandığını fark etti.
Erişim sağlanan cihazlarda gerçek zamanlı kamera ve ses kayıtları, seri numaraları, batarya durumları, evlerin kat planları ve IP adresleri üzerinden konum bilgileri görüntülenebiliyordu.
Azdoufal, kendi cihazı için verilen erişim anahtarının diğer kullanıcıların verilerine de açılmasına olanak tanıdığını, güvenlik kodunun tamamen bypass edilabildiğini ve eşleştirme yapılmadan kameraya ulaşılabildiğini belirtti.
Azdoufal, sistemlere izinsiz girmediğini savunurken, DJI sözcüsü olayla ilgili olarak robot süpürgelerde “arka uç yetkilendirme doğrulama sorunu” olduğunu kabul etti.
Açığın ocak ayı sonunda tespit edildiği, 8 ve 10 Şubat’ta yayımlanan iki güncellemeyle giderildiği ve düzenlemenin otomatik uygulandığı bildirildi. Kullanıcıların herhangi bir ek işlem yapmasına gerek olmadığını ifade etti.
Şirket, söz konusu açığın MQTT tabanlı cihaz-sunucu iletişimini etkilediğini ve teorik olarak yetkisiz erişime yol açabileceğini belirtti. Tespit edilen vakaların çoğunun güvenlik araştırmacılarının kendi cihazları üzerindeki testlerden kaynaklandığı da kaydedildi.
Yaşanan bu olay, kameralı ve mikrofonlu robot süpürgelerde veri güvenliği ve kişisel mahremiyet konularını yeniden gündeme taşıdı. Uzmanlar, yeterli güvenlik önlemleri alınmadığında bu tür cihazların önemli gizlilik riskleri oluşturabileceğine dikkat çekiyor.
