Das ist etwas daneben gegangen. Sammy Azdoufal, Head of AI bei der französischen Immobilienverwaltung Emerald Stay, war in seiner Freizeit nicht ausgelastet. Er wollte einen DJI Romo Saugroboter per PS5-Gamepad fernsteuern können. Als er sich damit beschäftigte, erhielt er unbeabsichtigt Zugriff auf die Daten von Tausenden dieser Saugroboter, was drängende Fragen zur Sicherheit solcher Geräte aufwirft.
Kurzer Hintergrund zu DJI
DJI (Da-Jiang Innovations Science and Technology Co., Ltd) ist ein führender chinesischer Technologiekonzern mit Sitz in Shenzhen, der 2006 von Frank Wang gegründet wurde. Das Unternehmen ist Weltmarktführer in der Entwicklung und Herstellung von zivilen Drohnen (Quadrocoptern) für Luftbildfotografie sowie professionelle Anwendungen. Die DJI-Drohnen wurden meiner Erinnerung nach in den USA aus Sicherheitsgründen verboten.
DJI Romo Saubroboter
Der Hersteller ist neben Drohnen aber auch mit anderen Geräten am Markt vertreten. So gibt es den DJI Romo, der erste Saug- und Wischroboter, der Ende 2025 auf den Markt kam. Er zeichnet sich durch Technologie aus dem Drohnenbereich, wie eine präzise LIDAR-Navigation und verbesserte Hinderniserkennung aus. Das Gerät wird in verschiedenen Versionen (Romo, S, A, P), teilweise mit selbstreinigender Station, angeboten.
Das missglückte Experiment mit dem DJI Romo
Sammy Azdoufal, Head of AI bei der französischen Immobilienverwaltung Emerald Stay, wollte seinen DJI Romo Saugroboter per PS5 Gamepad steuern können. Dazu entwickelte er eine Fernsteuerungs-App, die er mit seinen Benutzerdaten mit den Servern von DJI kommunizieren ließ. Dabei erlebt er jedoch sein "blaues Wunder", denn die App lieferte nicht nur Antworten seines DJI Romo. Er erhielt plötzlich Zugriff auf rund 7.000 DJI Saugroboter und konnte auf deren Daten zugreifen.
Gegenüber The Verge betonte Azdoufal, dass er nie vorhatte, irgend etwas zu hacken. Aber plötzlich hatte er die Kontrolle über alle Saugroboter weltweit, die bei DJI auf deren Servern eingebucht waren. Er konnte die Geräte fernsteuern und auf ihre Live-Kamera-Feeds zugreifen, um Audio- und Videosignale abzugreifen, berichtete er The Verge. Azdeoufal konnte beobachten, wie die betreffenden Saubroboter jeden Raum eines Hauses kartografierten und einen vollständigen 2D-Grundriss erstellten. Über die die IP-Adresse jedes Saubroboters ließ sich dessen ungefähre Position ermitteln."
DJI Saugroboter Standorte; Quelle: The Verge / Azdoufal g
"Ich stellte fest, dass mein Gerät nur eines von vielen war", sagt Azdoufal gegenüber The Verge. Obige Karte mit Standorten hat er mit The Verge geteilt. Er hat das Ganze dann mit einem Freund ausprobiert und bekam binnen kurzer Zeit einen Grundriss von dessen Räumen und konnte sehen und hören, was dort vor sich ging.
Azdoufal hat die Möglichkeiten gegenüber dem The Verge Artikelautor life demonstriert – dieser traute seinen Augen nicht. Tausende von Robotern melden alle drei Sekunden MQTT-Datenpakete an den DJI-Server. Die MQTT-Daten enthalten die Seriennummer des Saugroboters, welche Räume sie reinigen, was die Kameras gesehen haben, wie weit die Roboter gefahren sind, wann sie zum Ladegerät zurückkehren und welche Hindernisse sie unterwegs angetroffen haben.
"Ich habe keine Regeln verletzt, ich habe nichts umgangen, ich habe nichts geknackt, keine Brute-Force-Angriffe durchgeführt oder ähnliches.", sagte Azdoufal gegenüber The Verge. Er habe lediglich das private Token seines eigenen DJI Romo extrahiert. Mit diesem Schlüssel wird den DJI-Servern mitteilt, dass diese Stelle Zugriff auf die eigenen Daten haben möchte.
Alles, was die App zur Remote-Fernsteuerung auf dem Notebook von Azdoufal zum Zugriff auf ein bestimmtes Gerät noch benötigte, war eine 14-stelligen Nummer. Dann hatte er die vollständige Kontrolle über das betreffende Gerät, konnte dessen Daten lesen und auch Steuerbefehle übermitteln. Sicherheit kam wohl im DJI-Universum nicht vor bzw. war ein Fremdwort. Bei The Verge sind 2D-Pläne von Objekten, aber auch Innenaufnahmen eines Raumes, den der Saubroboter gerade befuhr, einsehbar.
Gegenüber The Verge demonstrierte Azdoufal, dass er auf den Vorproduktionsserver von DJI sowie auf die Live-Server für die USA, China und die EU zugreifen konnte. Die Schwachstelle wurde dann von Azdoufal und The Verge an DJI gemeldet, die das Problem binnen Stunden lösten. Die App konnte danach nicht mehr mit dem Server kommunizieren.
Hier habe ich gelesen, dass das Problem (Fehler bei der Verifizierung von Zugriffsrechte) mutmaßlich im Vorfeld bekannt und eine Lösung in Entwicklung war. So war es dem Hersteller schnell möglich, den Zugriff für Dritte zu unterbinden. Der Vorfall wirft aber grundsätzliche Fragen auf. Wieso brauchen solche Geräte Zugriff auf die Cloud und chinesische Server, um dort alle möglichen Daten hochzuladen? Ich hatte oben erwähnt, dass die USA DJI-Drohnen aus Sicherheitsgründen verbannt haben. Laufen solche Geräte in sensiblen Bereichen, bekommt der Hersteller DJI Zugriff auf die Kartierungsdaten und Life-Bilder. Und es ist bekannt, dass Chinas Armee auf diese Daten zugreifen kann. Sieht so aus, als ob Leute sich freiwillig ehr teure Wanzen ins Haus holen – uns es ist nicht der erste Vorfall (siehe folgende Links).
Ähnliche Artikel:
DJI-Drohnen mit AeroScope-Sicherheitslücke
Schwachstelle bei Drohnenplattform DJI entdeckt
DJI-Drohnen bleiben ohne Update ab 1.9.2017 am Boden
Bessere Produkthaftung u.a. für Software gefordert – EU-Kommission plant Änderungen
BSI: Smarthome-Geräte werden nur unzureichend geschützt
Ecovacs-Heimroboter als Sicherheitsrisko
Spion im Haus: Saugroboter Tesvor X500 mit Schwachstellen
iRobot (Saugroboter) und Luminar (Lidar) sind insolvent
MVP: 2013 – 2016
Zitat:
"Live-Kamera-Feeds zugreifen, um Audio- und Videosignale"
—
Warum gibt es solche Funktionen überhaupt bei einem Saugroboter?
Für die Reinigung braucht man das nicht.
Ich frage mich auch, warum elektronische Heizkörperthermostate (Heizkostenverteiler) mit Funk von Techem ("radio 4") links unterhalb des Displays eine Art Kameralinse wie bei einem Smartphone haben.
Eventuell wird mittels Infrarot die Raumtemperatur gemessen und dadurch die Differenz zum Heizkörper bestimmt.
Theoretisch kann so eine Kameralinse aber auch zur Wohnraumüberwachung benutzt und dann ein Lagebild per Funk an die Techem-Zentrale geschickt werden und von dort dann von einem anderen Dienst abgegriffen werden.
Das ist keine Kameralinse, sondern eine Infrarot-LED, über die der Ablseser den Zählerstand mit einem Gerät auslesen kann. Diese Dinger senden permanent die Ablesewerte über diese Inrarot-LED aus. Man braucht nur ein passendes Gerät um die zu lesen.
@Bolko
Also die Spykamera ist im Rauchmelder verbaut und sendet alles, was interessant sein könnte live an die Amis oder die Russen oder die Chinesen.
Denn unser BND ist dafür einfach nicht kompetent genug! ;-)
Satire und Verschwörungsmythen Ende!
Eine mögliche Erklärung dafür, das diese Geräte einen Cloudzugriff brauchen:
Die verbaute Hardware ist so leistungsschwach, das die Steuerung des Geräts auf dem Cloudserver stattfinden muss.
Der Saugroboter sendet die Sensordaten in die Cloud und bekommt als Antwort Steuerungsbefehle.
Ohne Cloud ist nur eine rudimentäre Grundfunktion vorhanden oder das Gerät funktioniert gleich gar nicht.
Wenn dem so sein sollte, dann kann man nur dazu raten, die Finger von solchen Geräten zu lassen.
Ein vernünftiger Saugroboter funktionier komplett autark ohne irgendeine Verbindung zu einem andere Gerät oder Netzwerk.
Komplett autarke Saugroboter die auch was taugen gibts schon lange nicht mehr. Die letzten waren meines Wissens die Samsung Navibots, die übrigens mit Windows CE liefen.
Alle anderen werden inzwischen über App und Coud gesteuert.
Wo man aber immer noch aufpassen kann, man sollte keine Geräte mit Kamera benutzen (iRobot z.B.), sondern welche die nur Lidar benutzen (z.B. Roborock, Kärcher).
Habe neulich einen Test anderer Saugroboter gelesen, da stand was von WLAN, das machte mich neugierig, ob es lokal funktioniert (per Computer oder Handy-App im WLAN), aber letztlich brauchten sie dann doch eine Cloud-Anbindung im Internet, also nein danke.
Meine Haushaltsgeräte müssen ohne Internet vollwertig funktionieren, wie Fritz SmartHome.
Big Brother darf gerne draußen bleiben.
Warum cloud:
1. Für die Entwicklung und Debugging ist es sehr wertvoll, die Log-Daten von realen Kunden mit realen Wohnungen zu haben.
2. Um das Gerät per app zu steuern, auch aus dem Keller, Garten, Büro, vom Balkon oder aus dem Urlaub.
Um das Gerät zu Hause per App zu steuern benötige ich eine Verbindung im LAN, keine nach China.
Das war ergötzlich zu lesen.
Ich musste lachen,ist ja heute Aschermittwoch.
Das Teil saust durch die Wohnung,vieles wird public,zb.ein intimes Tätatä mit der "Frundin",
oder wo steht der Tresor!
Alaaf und Helau
| Ich musste lachen,ist ja heute Aschermittwoch.
Seit wann fällt der Aschermittwoch auf den Veilchendienstag? Oder kommt das Posting etwa aus "Ozeanien"?
Mancher "Bölkstoff" haut einem eben richtig weg ;-p
SmartHome gerne, aber nur Geräte die vollkommen autark auf eigenen Servern laufen.
Cloud= noGo!
Geht zum Glück, wenn man sich vorher informiert… sind halt meist nur etwas teurer die autarken SmartHome Geräte. Da zahlst halt mit Geld und nicht mit deinen Daten ;-P
Also Augen auf beim Kauf.
Also auch ich hab schallend darüber gelacht. Dass wir vom SmartTV von Samsung ausspioniert werden: geschenkt! Dass unser Smartphone fleissig alle möglichen Daten an Google oder Apple sendet: geschenkt.
Dass uns nun aber auch unsere heiß geliebte chinesische elektronische Putzfrau (Raumkosmetikerin) ausspioniert und alle Daten über alle Räume der Wohnung fleissig nach China postet ist echt der Hammer! ;-)))
Mein Gott! Und was kommt morgen? Die russische Matroschka Drohne?
Wie schön war es doch noch, als es das Internet NICHT gab!