Robot süpürge skandalı: Ayar yaparken 7 bin kameraya erişim sağladı!

Çinli sivil dron üreticisi DJI tarafından üretilen robot süpürgesini oyun kumandasıyla denetim etmek gayesiyle uygulama geliştiren bir yazılım mühendisi, güvenlik açığı nedeniyle dünya genelinde binlerce kullanıcının kamera manzaralarına ve aygıt bilgilerine ezkaza erişim sağladı.

The Verge internet sitesinde yer alan habere nazaran, yazılım mühendisi Sammy Azdoufal, yeni satın aldığı robot süpürgesini oyun kumandasıyla denetim etmek için yapay zeka kodlama asistanı aracılığıyla bir uygulama geliştirdi.

Robotun DJI sunucularıyla nasıl bağlantı kurduğunu inceleyen Azdoufal, temas sırasında sistemdeki bir yetkilendirme açığı nedeniyle 24 ülkeden 7 bin civarı süpürgeye istemeden erişim sağladı.

Azdoufal, bağlandığı aygıtların gerçek vakitli kamera ve ses kayıtlarına, seri numaralarına, batarya durumlarına, kullanıldıkları meskenlerin ayrıntılı kat planlarına ve IP adresleri üzerinden yaklaşık pozisyon bilgilerine ulaşılabildiğini gördü.

Şirketin sunucularından kendi aygıtı için aldığı erişim anahtarının, başka tüm kullanıcıların bilgilerine de erişim sağladığını tespit eden Azdoufal, aygıtın güvenlik kodunun büsbütün atlanabildiğini ve eşleştirme yapmadan bile kameraya ulaşılabildiğini belirledi.

Azdoufal, rastgele bir sisteme müsaadesiz girmediğini savundu.

Şirket, güvenlik açığının giderildiğini belirtti

DJI sözcüsü tarafından olayın akabinde yapılan açıklamada, robot süpürgelerde “arka uç yetkilendirme doğrulama sorunu” bulunduğu kabul edildi.

Açıklamada, ocak ayının sonunda tespit edilen güvenlik açığının 8 ve 10 Şubat’ta yapılan iki güncellemeyle giderildiği belirtilerek, düzenlemenin otomatik olarak uygulandığı ve kullanıcıların ek süreç yapmasının gerekmediği tabir edildi.

Söz konusu açığın MQTT tabanlı cihaz-sunucu irtibatını etkilediği ve teorik olarak yetkisiz erişime yol açabileceği kaydedilen açıklamada, tespit edilen olayların büyük kısmının güvenlik araştırmacılarının kendi aygıtları üzerinde yaptığı testlerden kaynaklandığı savunuldu.

Olay, kameralı ve mikrofonlu robot süpürgelerde data güvenliği ve ferdî mahremiyet konusunu tekrar gündeme getirdi.

Uzmanlar, kâfi güvenlik tedbirleri alınmaması halinde bu cins aygıtların önemli saklılık riskleri oluşturabileceğine dikkati çekti.