DJI’nin Romo adlı robot süpürgesinde, bazı cihazlara uzaktan erişimi mümkün kılabilecek bir güvenlik zafiyeti iddiası gündeme geldi. Konuyu inceleyen güvenlik araştırmacısı Sammy Azdoufal, kendi cihazı için geliştirdiği uzaktan kumanda uygulamasının DJI’nin bulut altyapısıyla iletişime geçtiğinde, yalnızca kendi süpürgesinden değil binlerce cihazdan yanıt alabilen bir erişim düzeyi gördüğünü aktardı.
İddiaya göre sorun, cihaz ile sunucu arasındaki iletişimde kullanılan MQTT tabanlı altyapıda yetki doğrulama mekanizmasının hatalı çalışmasıyla ilişkiliydi. MQTT, özellikle IoT cihazlarında yaygın kullanılan bir mesajlaşma protokolü olarak biliniyor; protokolün çalışma mantığına dair ayrıntılar MQTT’nin resmi sitesinde yer alıyor.
Azdoufal, sistemin bazı koşullarda seri numarası gibi bilgiler üzerinden çok sayıda cihaza ait telemetri verisinin görüntülenmesine imkan verdiğini; haritalama verisi, pil durumu ve temizlik durumu gibi ayrıntıların izlenebildiğini öne sürdü. Araştırmacı, canlı kamera görüntüsüne uzaktan erişimin de teorik olarak mümkün olabileceğini iddia ettiğini, ancak bildirim sonrası DJI’nin bu erişim yolunu kısıtladığını söyledi.
DJI ise medya kuruluşlarıyla paylaştığı açıklamada, sorunun bir “arka uç izin doğrulama” hatası olduğunu ve iki aşamalı bir güncelleme ile giderildiğini belirtti. Şirket, ilk düzeltmenin 8 Şubat’ta, tamamlayıcı güncellemenin ise 10 Şubat’ta devreye alındığını; yamanın otomatik dağıtıldığını ve kullanıcıların ek işlem yapmasına gerek olmadığını ifade etti.
Olay, eve yerleştirilen kameraların ve mikrofonların güvenlik beklentisini yeniden tartışmaya açtı. Benzer şekilde, tüketici IoT ürünlerinde yaşanan güvenlik problemleri daha önce de kullanıcı mahremiyeti risklerini gündeme getirmişti. DJI’nin ABD’deki düzenleyici baskılarla ilgili süreçleri de son dönemde tartışma konusu olmuştu; şirketin bu başlıkla ilişkili adımlarına dair daha önceki haberimize buradan ulaşabilirsiniz.
