男性が偶然7,000台のロボット掃除機を制御することに成功

92日前原文(popsci.com)

概要

DJI製ロボット掃除機 のセキュリティ脆弱性発覚事例
AIコーディングアシスタント 利用による予期せぬ情報流出
約7,000台のカメラ・マイク・間取り情報 が外部からアクセス可能な状態に
即時対応・修正パッチ による問題解決
スマートホーム機器全体のプライバシーリスク 再認識

DJIロボット掃除機の脆弱性とその影響

ソフトウェアエンジニアSammy Azdoufal が新しいDJIロボット掃除機の遠隔操作アプリを自作
AIコーディングアシスタント を活用し、掃除機とDJIクラウドサーバーの通信方法を解析
認証情報の不備 により、他ユーザーの掃除機（約7,000台/24カ国）の
- リアルタイムカメラ映像
- マイク音声
- 間取り図や状態データ
- IPアドレスからの大まかな所在地 などが閲覧・操作可能となる重大なセキュリティホール発見
悪用せずThe Vergeへ報告、同メディアがDJIへ通知し、即時修正パッチ配布

脆弱性の発生原因と対応

認証トークンの管理不備 により、所有者以外にも他端末へのアクセス権付与
Azdoufalの検証 で、実際に複数掃除機のカメラ・マイク・間取り図へアクセス可能であることが判明
DJIは2024年2月8日・10日に自動パッチ配布、利用者側での対応不要
今後もセキュリティ強化予定 とDJIはコメント

スマートホーム機器のプライバシーリスク

スマートホーム普及拡大 に伴い、カメラ・マイク搭載機器が急増
RingやGoogle Nest Doorbell 等、他社製品でもプライバシー懸念が頻発
米国では中国製スマートデバイスへの警戒感 が高まり、規制や禁止措置も進行
家庭内ロボットの高機能化 （例：TeslaやFigure、1Xのヒューマノイド型ロボット）
- より詳細な家庭情報へのアクセスが必須となり、悪用リスクも上昇
2020年時点で米国の54百万世帯がスマートホーム機器を導入
- 今後も増加傾向

AIコーディングツールと新たなリスク

AI支援のコーディングツール普及 により、専門知識の浅いユーザーでも
- 脆弱性発見や悪用 が容易化
- セキュリティリスクの増幅 懸念

まとめ

Azdoufalは本来、自宅の掃除機をゲームコントローラで操作するだけが目的
偶然発見した大規模なセキュリティホール を適切に報告し、被害拡大を防止
スマートホーム機器利用者は、利便性と引き換えのプライバシーリスクを再認識 する必要

Hackerたちの意見

ロモや、実際にはどんな現代の自動掃除機でも、機能するためには、動いている建物の視覚データを常に集める必要があるんだ。俺はカメラやマイクのないやつを特に買ったよ。

└

どうやって知ってるの？確実に、ってこと？

└

自動でゴミを捨ててくれるやつってある？

└

あなたのスマホにはマイクついてる？

└

Romo、あるいは本当にどんな現代の自律型掃除機も機能するためには、動作している建物から常に視覚データを収集する必要がある。個人的には、古いルンバのランダムな動きは不当に批判されてたと思う。確かに見た目は良くなかったけど、実際には掃除には効果的だったんだよね。

└

私のEufyは、すべての処理をローカルで行うって言ってる。正直、これを確認したことはないけど（例えば、動かしてる間にWi-Fiを切るとか、実際にやるべきなんだけど）。でも、少なくともデータのローカリティやプライバシーについてマーケティング資料に何か書いてくれた唯一の中国メーカーだったから、私はお金を払った。もちろん、いつでもブランドがファームウェアのアップデートを送って、私の家から習近平の寝室にリアルタイムの映像を送ることができるのは分かってる。でも現実には、今のところ欧米のブランドは中国の価格/品質比には全然及ばないし、Valetudoをいじるのはちょっと勇気がないからやりたくなかった。この状況にはあまり満足してないけど、ロボットにはすごく満足してる。本当に良いよ。

「偶然に」は正確じゃないよ。彼はAIを使ってソースを調べて、全デバイスで使える認証情報を見つけたんだ。しかも、他の誰かのデバイスを操作することはなかったし、その脆弱性を使ったこともない。

└

記事は読んでないけど、タイトルとサブヘッディングから推測するに、「偶然に」って言ってるのは、彼が自分のデバイスを使うために通信プロトコルを逆エンジニアリングしようとしてて、他のデバイスで使えるような馬鹿みたいなマスター認証情報を見つけるとは思ってなかったからじゃないかな。

└

「偶然に」っていうのは、彼の意図は自分のデバイスを操作することだったけど、代わりに、普通の世界だったら犯罪レベルの無能さか、全製品ラインの基本的なセキュリティに対する無関心を発見したってことだね。

ちょっと技術に詳しい人は、俺の意見では、バレットゥード [0] に対応した掃除機だけを買って、できるだけ早くデフォルトのソフトウェアを交換するべきだと思う。 [0] https://valetudo.cloud/

└

あのサイトの「Why Not Valetudo」ページ、めっちゃ説得力あった。自分は技術に詳しい方だと思ってるし、ロボット掃除機も持ってるから、もっと重要なことに時間を使いたいんだよね。でも、Valetudoはその目的には合わない。すごいとは思うけど、これが誰にとってもベストな選択だとは思わないな。

└

クロードが技術に詳しくない人のためにこれをうまく設定できるか気になるな。

元の記事: https://www.theverge.com/tech/879088/dji-romo-hack-vulnerabi... それに関する議論はこちら: https://news.ycombinator.com/item?id=47047808

彼はすぐに、自分のデバイスを見たり操作したりするための同じ認証情報が、24カ国にわたる約7,000台の他の掃除機のライブカメラフィード、マイク音声、地図、ステータスデータにもアクセスできることに気づいた。これは、昨年Mysaのスマートサーモスタットについて偶然発見して公表したことと非常に似ている。つまり、同じ認証情報で、世界中のすべてのデバイスにアクセスしたり、検査したり、操作したりできた。詳細はここを見てね: https://news.ycombinator.com/item?id=43392991

└

これは製造や組立で手抜きをして、各デバイスにユニークなキーをインストールするのを省いてるってこと？

└

「スマート」サーモスタットの話は怖いね。うちにはHaierのミニスプリットがあって、それぞれのユニットにちょっとした「スマート」機能が入ってる。ユーザーから見ると、GE HomeアプリでBluetooth接続してWiFiの認証情報を入力すると、ミニスプリットがWiFiネットワークに参加してGE Cloudに接続するんだ。それからGE Homeアプリでミニスプリットを監視・操作できる。もっと詳しく分析することはしてないけど、一度試した後にすぐWiFiパスワードを変えて、それ以降は振り返ってない。長期的にはESP32やAHT20の温湿度センサー、IRの受信・送信機を使う予定なんだけど、これを読んでて思ったのは、HVACシステムの制御に同じような脆弱性があったら、攻撃者が予期しない電力需要の急増を引き起こす可能性があるってこと。

└

理想的なスパイ軍団。誰もスペイン宗教裁判を予想しないよね、つまり安い掃除機で家庭を監視できるってこと。

デバイスのインターネット接続は、私にとっては逆効果だな。インターネットなしで信頼性高く動作するものが必要なんだ。それから、オープンで安全なプロトコルを通じてインターネット接続を追加して、自分の実装を書けるようにしたい。

私の家には、ノートパソコンと携帯電話以外にライブカメラやマイクはない（これが大きな「ただし」だって分かってるけど）。このままの状態を保つつもり。どんなに便利さを逃してるかを思い出すようにしてる。（カメラなしでテレビを買うのはちょっと難しいけど！）事前に計画すること、ARのことも同じで、私の生活には必要ない、これを守ってる。

└

私はルンバを持ってるけど、Wi-Fiには一度も接続したことがないし、アプリも使ったことがない（携帯電話も持ってないし）。でも、完璧に動いてるよ。

テクノロジーのおかげで、スティーブン・ライトのジョークと同じことができるようになった。「私の家には何もしないスイッチがある。たまにそれをオンオフして確認するんだ。昨日、ドイツの女性から電話がかかってきて、『やめて』って言われた。」インターネットを通じて、スケールで。

約10年前、私は当時の新興401kプロバイダーを使っているスタートアップにいた。ある日ログインしたら、数人の同僚のアカウントが見えちゃった。すごく悪質なバグだった。アカウントの原子性をこんなにひどく壊すことがどうして可能だったのか、まだよく分からないけど、組織の管理方法に関係してたんだと思う。かなり腹が立ったけど、あまり大騒ぎしないようにしようとした。意図せずにプライベートなことをいろいろ知っちゃったから、勝手に公にしたくなかったんだ。もっと声を上げるべきだった。

└

私も慎重に行動する方だよ。プロフェッショナルだしね。ただ、年を重ねるうちに、その慎重さを相手がどれだけ誠意を持っているかに応じて調整することを学んだ。もし相手が無能であることを全然気にしてないなら、私のメガホンが鳴り響くことを覚悟してもらわないと。

タイトルを編集しないでください。

ハクソク