Robot süpürge açığıyla binlerce kameraya erişim

Çinli teknoloji şirketi DJI tarafından üretilen kameralı robot süpürgede tespit edilen güvenlik açığı, veri gizliliği tartışmalarını yeniden gündeme taşıdı. Yazılım mühendisi Sammy Azdoufal, cihazı oyun kumandasıyla kontrol etmek için geliştirdiği uygulama sırasında sistemdeki yetkilendirme hatasını fark etti.

24 ülkede yaklaşık 7 bin cihaza erişim

Azdoufal, robot süpürgenin şirket sunucularıyla iletişimini analiz ederken “arka uç yetkilendirme doğrulama” sürecinde bir açık bulunduğunu tespit etti.

Bu açık nedeniyle:

• 24 ülkede yaklaşık 7 bin robot süpürgeye

• Herhangi bir ek doğrulama olmadan

• İstemeden erişim sağlanabildiği ortaya çıktı.

Mühendis, kendi cihazı için verilen erişim anahtarının diğer kullanıcı verilerine de kapı araladığını belirtti.

Kamera, ses ve konum bilgileri erişilebilir durumdaydı

Açığa göre erişim sağlanabilen veriler arasında:

• Gerçek zamanlı kamera görüntüleri

• Ortam ses kayıtları

• Cihaz seri numaraları

• Batarya durumu

• Evlerin detaylı kat planları

• IP adresleri üzerinden yaklaşık konum bilgileri

yer aldı.

Azdoufal, herhangi bir sisteme bilinçli olarak izinsiz girmediğini, açığın teknik analiz sırasında ortaya çıktığını savundu.

MQTT altyapısı etkilendi

DJI tarafından yapılan açıklamada, cihaz-sunucu iletişiminde kullanılan MQTT tabanlı sistemde bir doğrulama sorunu olduğu kabul edildi.

Şirket, güvenlik açığının ocak ayı sonunda tespit edildiğini, 8 ve 10 Şubat’ta yayımlanan iki güncellemeyle giderildiğini duyurdu. Güncellemelerin otomatik olarak uygulandığı ve kullanıcıların ek bir işlem yapmasına gerek olmadığı belirtildi.

Uzmanlardan mahremiyet uyarısı

Olay, kameralı ve mikrofonlu akıllı ev cihazlarının oluşturabileceği gizlilik risklerini bir kez daha gündeme getirdi. Uzmanlar, özellikle internet bağlantılı cihazlarda:

• Güçlü kimlik doğrulama

• Sunucu taraflı yetkilendirme kontrolleri

• Düzenli yazılım güncellemeleri

gibi güvenlik önlemlerinin hayati önem taşıdığına dikkat çekiyor.

Yaşanan olay, akıllı ev teknolojilerinde veri güvenliğinin donanım kadar yazılım mimarisine de bağlı olduğunu bir kez daha ortaya koydu.