¿Qué pasaría si un robot aspirador que se asemeja a la estructura de una casa pudiera quedar expuesto a través de un servidor externo? Cuando un solo desarrollador analizó la estructura de comunicación de un robot aspirador DJI, se confirmaron las respuestas de datos de alrededor de 7.000 dispositivos en todo el mundo, lo que generó preocupaciones sobre la seguridad del hogar inteligente. Se reveló que en algunos dispositivos el plano interno de la casa y la información del lugar de limpieza estaban estructurados para responder a solicitudes externas.
The Verge, un medio informático estadounidense, informó el día 24 (hora local) que Sammy Azdupal, un ingeniero de software de Barcelona, España, descubrió una vulnerabilidad de seguridad mientras analizaba la estructura de comunicación del robot aspirador «Romo» de DJI.
● “Estaba intentando comprobar mi dispositivo”… 6700 respuestas simultáneas de 24 países
Azdupal analizó el protocolo de comunicación con el servidor DJI para crear un programa que controla su robot aspirador con un gamepad de PlayStation (PS5). En este proceso reveló que no sólo su dispositivo sino también muchos robots aspiradores de todo el mundo respondieron a la misma solicitud del servidor.
Según la demostración de The Verge, más de 6.700 dispositivos operativos en 24 países se mostraron en el mapa en aproximadamente 9 minutos, y se decía que cada dispositivo transmitía información operativa, como el número de serie del dispositivo, el espacio a limpiar y la ruta de movimiento, al servidor en intervalos de aproximadamente 3 segundos.
Azdupal dijo que solo usó el token de autenticación de su dispositivo sin ninguna intrusión en el servidor o ataque de fuerza bruta por separado. Sin embargo, se explicó que existía una vulnerabilidad en la estructura de verificación de autoridad del lado del servidor, por lo que era posible controlar el flujo de datos de otros dispositivos de los usuarios.
● Es posible un mapa 2D del interior de la casa y también una estimación de la ubicación.
En el momento en que se identificó la vulnerabilidad, se informó que algunos dispositivos podían acceder al plano interno bidimensional (2D) y a la información de la ruta de limpieza generada por el robot aspirador. También fue posible estimar la ubicación aproximada basándose en la información del Protocolo de Internet (IP) del dispositivo. También se realizó una demostración en la que se confirmó la información de que el dispositivo estaba limpiando la sala y que quedaba aproximadamente el 80% de la batería, utilizando únicamente el número de serie de 14 dígitos proporcionado por un periodista de The Verge.
Sin embargo, los medios informaron que en el momento de redactar el informe, la capacidad de controlar de forma remota los robots de otras personas o controlar vídeo y audio en tiempo real a través de cámaras y micrófonos era limitada.
● “El cifrado existe, pero el control de acceso es insuficiente”.
DJI dijo que la transmisión de datos estaba protegida mediante cifrado de transmisión (TLS) y que la vulnerabilidad ya se había solucionado. La compañía explicó que después de confirmar el problema de verificación de permisos, el parche se completó mediante una actualización y no se requirió ninguna acción adicional por parte del usuario.
Sin embargo, los expertos en seguridad han señalado que la clave de este problema no es el cifrado, sino la estructura de control de acceso interno del servidor. En la estructura de comunicación utilizada en los dispositivos IoT, si el control de acceso para cada usuario no es suficiente, un usuario autenticado puede verificar los datos de otros dispositivos.
Azdupal dijo: «TLS solo protege la ruta de transmisión de datos y no impide el acceso a datos entre usuarios autenticados».
● Resurgen los riesgos relacionados con la seguridad del hogar inteligente
Este incidente se evalúa como un ejemplo que demuestra que los dispositivos domésticos inteligentes que recopilan cámaras, micrófonos y datos de mapas espaciales pueden representar un riesgo de violación de la privacidad dependiendo de la estructura de seguridad del servidor en la nube.
La industria de la seguridad destaca que la importancia de diseñar sistemas de autoridad y control de acceso para dispositivos IoT está creciendo a medida que las barreras para el análisis de la estructura de comunicación y la ingeniería inversa se reducen gracias a la difusión de herramientas de codificación generativa basadas en IA.
© dongA.com Todos los derechos reservados. Queda prohibida la reproducción, redistribución y uso no autorizados del aprendizaje basado en IA.