Spoločnosť DJI opravila masívnu chybu zabezpečenia v používateľských účtoch, ktorá mohla hackerom umožniť prevziať kontrolu nad vašim dronom a ukradnúť osobné informácie

Zdroj DJI Spark - DigitalTrends

Drony DJI sú horúcim trendom 21. storočia. Avšak ako sú funkčné a dobre zostavené, niektoré zraniteľné miesta v nich by mohli predstavovať vážne nebezpečenstvo pre vašu bezpečnosť. Pretože sa tieto drony spoliehajú na funkčnosť účtu DJI, môžete získať vážne problémy, ak hacker získa prístup k vášmu účtu. Hacker môže získať prístup k vášmu dronu a preletieť ho alebo naraziť do citlivej zóny s viac alebo žiadnymi muškami. Nielen to, k osobným informáciám je možné získať aj prostredníctvom zneužitia, čo by vás mohlo zvýšiť nebezpečenstvo. Podľa výskumníkov z firmy, ktorá sa zaoberá kybernetickou bezpečnosťou Check Point Účty DJI majú tri hlavné chyby zabezpečenia:

• Zabezpečte chybu cookies v procese identifikácie DJI
• Chyba v skriptovaní medzi servermi (XSS) na jeho fóre
• Problém s pripnutím protokolu SSL v jeho mobilnej aplikácii

Hackeri môžu využiť vyššie spomenuté slabé stránky tak, že zverejnia odkaz na jednom z fór ako návnadu na kliknutie a hneď ako sa používateľ prihlási do svojho účtu DJI, Voila! Majú úplný prístup k účtu. Hackeri ho môžu použiť na sledovanie pohybov dronu prostredníctvom živého mapového pokrytia, ktoré tiež môže odhaliť polohu používateľa. Získajú dokonca prístup k osobným fotografiám používateľov nasnímaných fotoaparátom.

Exploit Infographic
Zdroj - TheHackerNews

Hackeri navyše môžu tiež získať prístup k vášmu dronu priamym bombardovaním mnohými požiadavkami na bezdrôtové pripojenie v rýchlom slede, čo spôsobí nefunkčnosť dátového paketu a jeho pád. Hacker môže dronu poslať mimoriadne veľký dátový paket, ktorý by prekročil vyrovnávaciu kapacitu dronu a okamžite by ho zrútil. Hacker môže navyše zo svojho notebooku alebo počítača poslať falošný digitálny paket, ktorý môže predstavovať signál odoslaný od skutočného radiča, ktorý mu umožní ovládať váš dron. Pomocou vášho dronu môžu hackeri dokonca spáchať potenciálne zločiny, ako napríklad jeho lietanie do citlivých oblastí, a nikdy sa to nedozviete. Podobne môžu hackeri prevzatím kontroly nad vašim účtom ľahko ukradnúť váš dron tak, že ho pristavia na vlastnom prahu.

Tieto chyby boli odhalené prostredníctvom DJI’s bug bounty program , kde sa výskumníkom odporúča, aby nahlásili objavenú chybu výmenou za finančnú odmenu. Aj keď presné podrobnosti poskytnutej finančnej odmeny zostali skryté, odmena za bug bounty bola údajne až 30 000 dolárov za hlásenie jednej chyby zabezpečenia. thehackernews.com tvrdí, že zraniteľnosť bola bezpečnostnému tímu nahlásená v marci 2018 a problém bol úspešne vyriešený o šesť mesiacov neskôr v septembri 2018. Spoločnosť DJI klasifikovala bezpečnostnú chybu ako „vysoké riziko - nízka zraniteľnosť“ z dôvodu požiadavky, aby bol používateľ už prihlásený ich účet DJI. Najnovšia bezpečnostná oprava napriek tomu riešila náchylnosť systému na také útoky, pri ktorých sú údaje tajne prenášané hackerovi.