扯！工程師DIY手把遙控中國掃地機器人 意外驚見6700戶居家隱私

Andy_0109

https://news.ltn.com.tw/news/world/breakingnews/5350965

扯！工程師DIY手把遙控中國掃地機器人 意外驚見6700戶居家隱私

西班牙一名有著DIY愛好的工程師，近日出於創意，打算用PS5（PlayStation 5）手把遙控中國廠商出產的掃地機器人，結果意外發現嚴重安全漏洞，讓他可以遠端獲取6700部掃地機器人鏡頭權限，等於6700個家庭的畫面暴露在他眼底。事件曝光後，引發外界對此類產品的隱私疑慮。

綜合外媒報導，西班牙工程師阿茲杜法爾（Sammy Azdoufal）原本只是出於好玩，想要開發應用程式好讓自己能用PS5手把控制中國廠商大疆（DJI）製造的掃地機器人Romo，沒想到，當他連接伺服器時，竟獲得全球近7000台的Romo回應，9分鐘內，阿茲杜法爾就獲取涵蓋全球24個國家、約6700台的大疆設備數據，其中包括清潔房間時所見場景、行駛距離、充電時間及遇到的障礙物等。

阿茲杜法爾發現，他甚至可以在未配對設備的情況下，將畫面分享給其他人觀看。阿茲杜法爾還說，他根本沒入侵大疆伺服器，甚至沒違反任何規則，只是提取自己設備的編碼，結果就被大疆判定為通用權限。

大疆為深圳大疆創新科技有限公司簡稱，是中國境內一家以生產、研發民用無人機、航拍器材、攝影等光學系統及車載零組件為主的科技公司。在美國、德國、荷蘭、日本、中國北京、澳洲和香港設有辦公室。消息一出，立刻引發資安疑慮，並在網路上引發熱議。對此，大疆（DJI）也做出回應。

大疆（DJI）聲明全文：
大疆（DJI）已於1月下旬通過內部審查發現了一個影響大疆DJI Home的漏洞，並立即啟動修復工作。該問題通過兩次更新得到解決，首次補丁於2月8日部署，後續更新於2月10日完成。修復程序已自動部署，無需用戶進行任何操作。

該漏洞屬於後端權限驗證問題，影響設備與服務器之間基於MQTT協議的通信。儘管此問題在理論上存在未經授權訪問ROMO設備即時視頻的可能性，但我方調查確認，實際發生此類情況的概率極低。

幾乎所有已查明的相關行為，均為獨立安全研究人員出於上報目的對自有設備進行的測試，僅存在極少數潛在例外情況。

首次補丁已針對該漏洞進行修復，但尚未在所有服務節點全面生效；第二次補丁則重新啟用並重啟了剩餘服務節點。目前問題已完全解決，無證據表明造成了大範圍影響。此次事件並非傳輸加密問題：ROMO設備與服務器之間的通信從未以明文傳輸，始終通過TLS協議加密。與ROMO設備（例如位於歐洲的設備）相關的數據存儲在美國的AWS雲基礎設施上。

大疆在數據隱私與安全方面堅持嚴格標準，並建立了識別和處理潛在漏洞的完善流程。公司已採用行業標準加密技術，並運營着長期運行的漏洞獎勵計劃。作為標準的事後修復流程的一部分，我們已審核通過該計劃聯繫我們的獨立安全研究人員所提供的發現與建議。大疆將持續實施更多安全增強措施，不斷提升安全防護能力。

依照黨中央的指示，監控全球
針對該漏洞進行修復，更難被入侵而已
仍然會監控全球

yamagogo

難怪美國政府不用中國生產電子零件防不勝防

good123456789tw

厲害國真的是生雞蛋沒有, 拉雞屎一堆

maze833

所以說只要是中國出產的
就是有這樣的問題呀