Aspirapolvere controllato con playstation: una falla di sicurezza rivela dati sensibili
Un esperimento domestico con conseguenze globali
Un utente, nel tentativo di controllare il proprio robot aspirapolvere DJI Romo tramite un controller di PlayStation, ha scoperto una vulnerabilità di sicurezza di gravità elevata che ha compromesso la sicurezza di oltre 6.700 robot aspirapolvere in tutto il mondo. L'iniziativa, nata come semplice curiosità tecnologica, ha inaspettatamente svelato dettagli intimi sulle abitazioni degli utenti, registrazioni video, e persino accessi remoti a dispositivi di terze parti.
La scoperta di sammy adoufal
La scoperta è stata fatta da Sammy Adoufal, un esperto di intelligenza artificiale. Adoufal stava investigando il protocollo di comunicazione del suo DJI Romo, con l'obiettivo di sviluppare un'applicazione per controllarlo tramite il controller di PlayStation. Per raggiungere questo scopo, ha utilizzato lo strumento di programmazione Claude Code per comprendere come il dispositivo si connetteva ai server della compagnia.
Accesso a server globali tramite credenziali valide
L'esame ha rivelato qualcosa di molto più ampio di quanto previsto. Ottenendo il token privato del suo aspirapolvere, il sistema gli ha fornito accesso a server globali, inclusi dispositivi situati in Stati Uniti, Europa e Cina. Adoufal ha spiegato a The Verge che non ha utilizzato tecniche di hacking avanzate o di forza bruta, ma semplicemente credenziali valide generate dal suo stesso dispositivo.
Vulnerabilità nell'archiviazione dei dati
Il problema non risiedeva nel cifraggio delle comunicazioni, ma nel modo in cui i dati venivano archiviati sui server. Sembrava che i dati fossero memorizzati in testo palese, facilmente accessibili se si ottenevano le credenziali corrette. Questa vulnerabilità permetteva di consultare planimetrie dettagliate delle abitazioni generate dal sistema di mappatura, accedere alla trasmissione in diretta della telecamera e del microfono integrati, e controllare a distanza i robot compromessi.
La risposta di dji e le future sfide
L'ingegnere ha prontamente informato l'azienda per consentirle di correggere la vulnerabilità. Successivamente, DJI ha rilasciato aggiornamenti per risolvere il problema, senza richiedere alcuna azione da parte degli utenti. Tuttavia, Adoufal sottolinea che persistono alcune questioni aperte, come la possibilità di visualizzare la telecamera senza l'inserimento di un PIN di sicurezza.
Il rischio crescente dei dispositivi iot
Questo caso riapre il dibattito sui rischi associati ai dispositivi IoT (Internet of Things) presenti nelle nostre case. Sebbene offrano comodità e automazione, possono rappresentare una porta di accesso a dati estremamente sensibili. La sicurezza dei dispositivi connessi deve essere una priorità assoluta per garantire la privacy e la protezione dei nostri dati personali.
Cosa fare per proteggersi
Anche se DJI ha rilasciato gli aggiornamenti, è importante adottare alcune misure di sicurezza aggiuntive:
- Aggiornare regolarmente il firmware dei dispositivi IoT.
- Utilizzare password complesse e uniche per ogni dispositivo.
- Abilitare l'autenticazione a due fattori, quando disponibile.
- Monitorare attentamente l'attività dei dispositivi connessi.