Muž omylom získal kontrolu nad 7 000 robotickými vysávačmi. Svoj vysávač chcel len ovládať joystickom. Predávali sa aj u nás
Robotický vysávač DJI Romo umožnil cez chybu v cloudovej autentifikácii prístup k približne 7 000 zariadeniam v 24 krajinách vrátane kamier, mikrofónov a detailných máp domácností.
Softvérový inžinier Sammy Azdoufal si kúpil robotický vysávač DJI Romo za približne 2 000 dolárov. Ani vo sne ale nečakal, že sa mu podarí odhaliť bezpečnostnú dieru globálneho rozsahu. Chcel si len napísať aplikáciu, ktorá by mu umožnila ovládať robota herným ovládačom.
Pri reverznom inžinierstve komunikácie medzi vysávačom a cloudom použil AI asistenta na generovanie časti kódu. Potreboval získať autentifikačný token, ktorý by serveru dokázal, že ide o majiteľa konkrétneho zariadenia.
Keď token získal, otvorilo sa mu viac než čakal.
Server mu neposkytol prístup len k jeho vysávaču, píše portál PopSci. Priradil mu práva k približne 7 000 zariadeniam v 24 krajinách.
Nedostal sa len k technickým údajom o zariadeniach, ale k ich plnohodnotnému „digitálnemu pohľadu“ na domácnosti. Mal prístup k živým kamerovým záberom, mohol aktivovať mikrofóny a videl detailné mapy bytov a domov, ktoré si roboty vytvorili počas čistenia. Systém mu zároveň zobrazoval identifikátory miestností, teda informáciu, či sa robot práve nachádza v kuchyni, spálni alebo detskej izbe a dokázal z IP adries odhadnúť aj približnú geografickú polohu zariadení.
Neprehliadni
Inými slovami, nešlo len o pohľad na jeden konkrétny vysávač. Otvoril sa mu komplexný prehľad o tom, kde sa tisíce robotov pohybujú, čo vidia, čo „počujú“ a ako majú rozdelený vnútorný priestor domácnosti. To už nepredstavuje technickú kuriozitu, ale potenciálne citlivý balík dát o súkromí reálnych ľudí.
Azdoufal tvrdí, že nič „nehackol“. Len využil spôsob, akým backend overoval vlastníctvo.
Oprava, ktorá nebola na prvý pokus
„Problém sme vyriešili dvoma aktualizáciami, oprava prebehla automaticky a používateľ nemusel vykonať žiadnu akciu,“ vyjadrila sa spoločnosť DJI, ktorá na situáciu reagovala rýchlo.
Veci sa však nevyvíjali tak hladko, ako DJI naznačovalo.
DJI najskôr tvrdilo, že zraniteľnosť odstránilo už v januári. Azdoufal spolu s redakciou The Verge však dokázali, že aj po prvom patchi mali stále prístup k cudzím kamerám. Až po opätovnom upozornení vyšla druhá aktualizácia, okolo 10. februára, ktorá dieru definitívne uzavrela.
A práve tu je problém. Ani veľká technologická firma nemusí mať komplexnosť vlastného cloudového systému pod kontrolou na prvý pokus. Moderné IoT infraštruktúry obsahujú vrstvy autentifikácie, tokenov a mikroservisov. Opraviť chybu bez toho, aby si otvoril inú, nie je triviálna úloha.
Robot nevie len vysávať, vie, kde spíš
Robotický vysávač dnes nefunguje ako náhodný disk na kolieskach. Vytvára detailné mapy bytu, rozpoznáva miestnosti a označuje ich.
Azdoufal zistil, že server mu poskytol nielen video, ale aj presné identifikátory typu miestnosti, kuchyňa, spálňa, detská izba. To predstavuje oveľa vážnejší problém, ako keby mal prístup „len“ ku kamerám.
Útočník by nemusel náhodne listovať tisíckami kamier. Mohol by filtrovať zariadenia práve podľa toho, ktorá kamera sa nachádza v „spálni“.
Z technickej chyby sa tak rýchlo stane potenciálny nástroj cieleného sledovania.
Smart vysávač dnes rozumie kontextu priestoru. Vie, kde varíš, kde pracuješ a kde spíš. Tieto informácie sa často synchronizujú s cloudom, aby aplikácia zobrazila prehľadnú mapu a umožnila nastaviť čistenie konkrétnej miestnosti.
Užívatelia by ale mali vedieť, že čím väčší komfort požadujú, tým viac o sebe prezradia. Mnohí užívatelia si povedia, že ak sa chcú chrániť, stačí im kúpiť model, ktorý nie je vybavený digitálnou kamerou. Problém je však zložitejší, než sa na prvý pohľad môže zdať.
Väčšina moderných vysávačov používa LiDAR, laserový senzor na mapovanie priestoru. V roku 2020 výskumníci v experimente známeho ako LidarPhone ukázali, že mikrovibrácie spôsobené zvukom v miestnosti môžu jemne meniť odraz laserového lúča. Softvér tieto zmeny dokáže spracovať a rekonštruovať zvuk.
To neznamená, že každý vysávač ťa aktívne odpočúva. Znamená to, že pri zneužití dát zo senzora by teoreticky existovala cesta k rekonštrukcii reči.
Aj zariadenie „bez očí“ teda stále disponuje citlivými senzorickými dátami.
Smart domácnosť ako otvorený systém
Incident s DJI Romo zapadá do širšej debaty o smart domácnostiach. Kamery, zvončeky, senzory a roboty zbierajú viac dát než kedykoľvek predtým.
Zariadenia od firiem ako Tesla či Figure AI smerujú k humanoidom, ktorí budú pracovať priamo v obývačke. Budú mať viac kamier, viac mikrofónov a detailnejšie modely prostredia. Vo všeobecnosti platí, že čím inteligentnejší stroj, tým viac informácií potrebuje.
Azdoufal chcel len jazdiť s vysávačom pomocou joysticku, no namiesto toho na chvíľu uvidel digitálnu mapu približne 7-tisíc domácností. Tento príbeh sa skončil opravou a bez škody.
Ukázal však, že keď si pustíš do bytu zariadenie s kamerou, mikrofónom a cloudovým napojením, nevkladáš dôveru len do plastu a motorčeka. Vkladáš ju do riadkov kódu, ktoré bežia niekde mimo tvoj domov.
