تعمل شركة DJI على إصلاح ثغرة أمنية هائلة في حسابات المستخدمين والتي من الممكن أن تسمح للقراصنة بالتحكم في الطائرة بدون طيار الخاصة بك وسرقة المعلومات الشخصية

مصدر شرارة DJI - DigitalTrends

الطائرات بدون طيار من طراز DJI هي الاتجاه الساخن في القرن الحادي والعشرين. ومع ذلك ، نظرًا لأنها وظيفية ومبنية جيدًا ، فقد تشكل بعض نقاط الضعف فيها تهديدًا خطيرًا لأمنك. نظرًا لأن هذه الطائرات بدون طيار تعتمد على حساب DJI لتعمل ، فقد تتعرض لمشكلة خطيرة إذا تمكن أحد المتطفلين من الوصول إلى حسابك. قد يصل المتسلل إلى الطائرة بدون طيار الخاصة بك ويطير أو يصطدم بها في منطقة حساسة أكثر أو منطقة ممنوع الطيران. ليس هذا فقط ، يمكن أيضًا الوصول إلى المعلومات الشخصية من خلال الاستغلال وهذا قد يعرضك لخطر أكبر. وفقًا للباحثين في شركة الأمن السيبراني نقطة فحص ، حسابات DJI بها ثلاث نقاط ضعف رئيسية:

• تأمين خطأ ملفات تعريف الارتباط في عملية تحديد DJI
• عيب البرمجة النصية عبر المواقع (XSS) في المنتدى الخاص به
• مشكلة SSL Pinning في تطبيق الهاتف المحمول الخاص بها

قد يستغل المتسللون نقاط الضعف المذكورة أعلاه بمجرد نشر رابط في أحد المنتديات كطعم للنقر وبمجرد تسجيل المستخدم في حساب DJI الخاص به ، Voila! لديهم حق الوصول الكامل إلى الحساب. يمكن للقراصنة استخدامه لتتبع تحركات الطائرة بدون طيار من خلال تغطية الخريطة الحية والتي يمكن أن تكشف أيضًا موقع المستخدم. يمكنهم حتى الوصول إلى الصور الشخصية للمستخدم الملتقطة من خلال الكاميرا.

استغلال Infographic
المصدر - TheHackerNews

علاوة على ذلك ، يمكن للقراصنة أيضًا الوصول إلى الطائرة بدون طيار الخاصة بك مباشرة عن طريق قصفها بطلبات اتصال لاسلكية متعددة في تتابع سريع ، وبالتالي تعطل حزمة البيانات وتعطل الطائرة بدون طيار. قد يرسل المتسلل إلى الطائرة بدون طيار حزمة بيانات كبيرة بشكل استثنائي والتي قد تتجاوز سعة المخزن المؤقت للطائرة بدون طيار وتعطلها على الفور. بالإضافة إلى ذلك ، قد يرسل المتسلل حزمة رقمية مزيفة من جهاز الكمبيوتر المحمول أو الكمبيوتر الشخصي ، والتي قد تشكل إشارة مرسلة من وحدة التحكم الحقيقية ، مما يسمح لهم بالتحكم في الطائرة بدون طيار الخاصة بك. باستخدام طائرتك بدون طيار ، قد يرتكب المتسللون جرائم محتملة مثل تحليقها إلى مناطق حساسة ولن تعرف أبدًا. وبالمثل ، من خلال السيطرة على حسابك ، يمكن للمتسللين سرقة طائرتك بدون طيار بسهولة عن طريق الهبوط على عتبة بابهم.

تم اكتشاف نقاط الضعف هذه من خلال برنامج bug bounty من DJI ، حيث يتم تشجيع الباحثين على الإبلاغ عن الخطأ المكتشف مقابل مكافأة مالية. على الرغم من إخفاء التفاصيل الدقيقة للمكافأة المالية الممنوحة ، يقال إن مكافأة مكافأة الخطأ تصل إلى 30 ألف دولار للإبلاغ عن ثغرة أمنية واحدة. thehackernews.com تدعي أنه تم الإبلاغ عن الثغرة الأمنية إلى فريق الأمان في مارس 2018 وتم حل المشكلة بنجاح بعد ستة أشهر في سبتمبر 2018. صنفت DJI الثغرة الأمنية على أنها `` مخاطر عالية - ثغرة أمنية منخفضة '' نظرًا لمتطلباتها الخاصة بتسجيل المستخدم بالفعل. حساب DJI الخاص بهم. ومع ذلك ، فإن أحدث تصحيح أمني تناول قابلية النظام لمثل هذه الهجمات حيث يتم نقل البيانات سرًا إلى المتسلل.