DJI коригира масивна уязвимост в потребителските акаунти, която би могла да позволи на хакерите да поемат контрола над вашия дрон и да откраднат лична информация

Източник на DJI Spark - DigitalTrends

DJI дроновете са горещата тенденция на 21 век. Въпреки това, тъй като те са функционални и добре изградени, някои уязвимости в тях могат да представляват сериозна заплаха за вашата сигурност. Тъй като тези дронове разчитат на DJI акаунт, за да бъде функционален, можете да се сблъскате със сериозни проблеми, ако хакер получи достъп до вашия акаунт. Хакерът може да осъществи достъп до вашия дрон и да лети или да го разбие в чувствителна зона за полети повече или никаква. Не само това, личната информация може да бъде достъпна и чрез експлоата и това може да ви изложи в по-голяма опасност. Според изследователи от, фирмата за киберсигурност Check Point , DJI акаунтите имат три основни уязвимости:

• Сигурна грешка в бисквитките в процеса на идентификация на DJI
• Недостатък на скриптове между сайтове (XSS) във форума му
• Проблем с SSL Pinning в мобилното му приложение

Хакерите могат да се възползват от гореспоменатите слабости, като просто публикуват връзка в един от форумите като стръв за щракване и веднага щом потребителят влезе в своя DJI акаунт, Voila! Те имат пълен достъп до акаунта. Хакерите могат да го използват, за да проследят движенията на дрона чрез живо покритие на картата, което също може да разкрие местоположението на потребителя. Те дори получават достъп до личните снимки на потребителя, заснети чрез камерата.

Използвайте Инфографика
Източник - TheHackerNews

Освен това хакерите могат също така да получат достъп до вашия дрон директно, като го бомбардират с множество заявки за безжична връзка в бързи последователни интервали, като по този начин изпращат неправилно пакета данни и разбиват дрона. Хакерът може да изпрати на дрона изключително голям пакет данни, който би надвишил буферния капацитет на дрона и незабавно да го срине. Освен това хакерът може да изпрати фалшив цифров пакет от своя лаптоп или компютър, който може да представлява сигнал, изпратен от истинския контролер, което им позволява да контролират вашия дрон. Използвайки вашия безпилотен самолет, хакерите дори могат да извършат потенциални престъпления, като например да го прехвърлят в чувствителни зони и никога няма да разберете. По същия начин, като поемат контрола над вашия акаунт, хакерите могат лесно да откраднат вашия дрон, като го качат на прага им.

Тези уязвимости бяха открити чрез Програма за награди за бъгове на DJI , където изследователите се насърчават да докладват за откритата грешка в замяна на финансова награда. Въпреки че точните подробности за дадената финансова награда са били скрити, възнаграждението за награда за грешки се казва до 30 000 долара за докладване на една уязвимост. thehackernews.com твърди, че уязвимостта е била докладвана на екипа по сигурността през март 2018 г. и проблемът е бил успешно разрешен шест месеца по-късно през септември 2018 г. DJI класифицира недостатъка на сигурността като „висок риск - ниска уязвимост“ поради изискването потребителят да е влязъл вече техния DJI акаунт. Независимо от това, най-новата корекция на защитата е насочена към податливостта на системата към такива атаки, при които данните тайно се предават на хакера.