Robot-aspirator-vulnerabilität: dji-system offenbart sensible daten
Ein Benutzer, der lediglich sein Roboter-Aspirator DJI Romo steuern wollte, hat einen schwerwiegenden Sicherheitsfleck entdeckt, der über 6.700 Geräte weltweit betroffen hat. Der Fund entstand aus einem einfachen Haushaltsversuch: Sammy Adoufal, ein Strategiker für künstliche Intelligenz, untersuchte das Kommunikationsprotokoll seines Roboters, um eine Anwendung zu entwickeln, mit der er ihn per PlayStation-Steuerung bedienen konnte. Dazu setzte er die Programmeerkiste Claude Code ein und verstand, wie der Gerät über die Server der Firma verbunden war.
Fehler in der datenverwaltung
Statt jedoch nur
auf sein eigenes Gerät zuzugreifen, bekam Adoufal dank eines privaten Tokens direkten Zugriff auf globale Server, darunter auch Geräte in den USA, Europa und China. Der Fehler lag nicht in der Verschlüsselung der Kommunikation, sondern in der Art und Weise, wie die Daten auf den Servern gespeichert wurden – offenbar in plaintext und erreichbar, wenn der richtige Token ermittelt wurde.
Datenfenster für sensible informationen
Der Zugriff ermöglichte, detaillierte Pläne von Häusern abzurufen, die durch den System-Mapping-Algorithmus erstellt wurden, direkte Video- und Audiostreams zu empfangen und die betroffenen Roboter auch remote zu steuern. Der Ingenieur informierte die Firma umgehend, damit die Schwachstelle behoben werden konnte. DJI reagierte mit Updates, um den Fehler zu beheben, ohne dass die Benutzer weitere Aktionen unternehmen müssen.
Offene fragen bleiben
Adoufal betont jedoch, dass noch offene Fragen bestehen, wie z.B. die Möglichkeit, die Kamera abzurufen, ohne einen PIN-Code einzugeben. Der Fall bringt erneut die Risiken von IoT-Geräten im Haushalt in den Fokus. Obwohl sie Komfort und Automatisierung bieten, können sie auch ein Tor für extrem sensible Daten darstellen.
Zusammenfassung
Ein Benutzer hat bei der Bedienung seines Roboter-Aspirators einen gravierenden Sicherheitsfleck entdeckt, der weltweit über 6.700 Geräte betroffen hat. Der Fehler lag in der Datenverwaltung, die sensible Informationen offenließ. Der Fund rückt die Risiken von IoT-Geräten in den Blickpunkt.