دستگاه رباتیکی DJI Romo به دلیل امنیت ضعیف، توسط یک فرد هزاران دستگاه را از راه دور کنترل کرد
ساممی آزدوفال ادعا میکند که قصد هک همه جاروبرقیهای روباتیک جهان را نداشت؛ فقط میخواست ریموت کنترل جاروبرقی جدید DJI Romo خود را با یک دسته PS5 انجام دهد که برایش جالب بود. اما وقتی برنامهٔ خودساختهٔ ریموت به سرورهای DJI متصل شد، توانست هزاران دستگاه را از راه دور کنترل کند.
نقص امنیتی در ربات جاروبرقی DJI Romo
نحوهٔ دسترسی هکر به هزاران دستگاه
ساممی آزدوفال با استفاده از برنامهٔ خودساختهای که توکن خصوصی ریموت خود را استخراج کرده بود، به سرورهای MQTT DJI وصل شد و بدون احراز هویت، اطلاعات بیش از ۷٬۰۰۰ ربات جاروبرقی در ۲۴ کشور را دریافت کرد. این دسترسی شامل دیدهبینی زندهٔ ویدیو, نقشهٔ دو‑بعدی فضاهای داخلی، وضعیت باتری و مسیرهای پاکسازی بود. از طریق عدد سریال تنها میتوانست مکان تقریبی دستگاه را تشخیص دهد و حتی دوربین آن را در زمان واقعی کنترل کند. این رویداد نشان داد که پروتکل MQTT بدون کنترل سطح‑موضوع (ACL) میتواند به تمام پیامهای دستگاهها در سطح متن باز دسترسی داشته باشد، در حالی که فقط لایهٔ TLS دادهها را در مسیر رمزگذاری میکند.
- دسترسی به بیش از ۱۰٬۰۰۰ دستگاه DJI شامل روبوواکس و ایستگاههای برق قابلحمل.
- استفاده از توکن خصوصی دستگاه برای شناسایی کاربر معتبر به سرورهای DJI.
- عدم وجود کنترلهای دسترسی دقیق در سرورهای MQTT، امکان اشتراکگذاری گستردهٔ پیامها را فراهم میسازد.
- DJI پس از گزارش مشکل، دو بروز رسانی امنیتی منتشر کرد که برخی آسیبپذیریها را رفع کرد، اما هنوز نواقص شناختهشدهای باقیاند.
- این قضیه نه تنها امنیت رباتهای خانگی بلکه حریم خصوصی دادههای مصرفکنندگان را به خطر میاندازد.
“I found my device was just one in an ocean of devices,” said Azdoufal. “TLS does nothing to prevent this — it only protects the pipe, not what’s inside the pipe from other authorized participants,” he added.
پاسخ DJI و اصلاحات
DJI پس از اطلاعرسانی به پژوهشگر، یک پچ اولیه در ۸ فوریه و یک پچ تکمیلی در ۱۰ فوریه منتشر کرد. این پچها دسترسی غیرمجاز به توکنها را مسدود کردند و اعتبارسنجی مجوزها را بهبود بخشیدند، اما هنوز بهطور کامل از اشتراکگذاری پیامهای کلیه دستگاهها جلوگیری نشده است. کارشناسان امنیتی توصیه میکنند که شرکتها کنترلهای سطح‑موضوع (ACL) دقیق پیادهسازی کنند و علاوه بر TLS، لایههای امنیتی اضافی برای جلوگیری از دسترسی داخلی ایجاد نمایند. نتیجهگیری: حادثهٔ DJI Romo نشان میدهد که حتی محصولات خانگی پیشرفته میتوانند بهدلیل نادیدهگیری اصول امنیتی پایه، بهسرعت تبدیل به نقطهٔ ضعف بزرگ شوند و برای حفاظت از دادههای شخصی و حریم خصوصی کاربران، اقدامات پیشگیرانهٔ جامع ضروری است.
