Sammy Azdoufal, lập trình viên ở Tây Ban Nha, muốn điều khiển robot hút bụi của mình bằng tay cầm PS5, nhưng vô tình kết nối và kiểm soát được 7.000 thiết bị trên khắp thế giới.
Azdoufal sử dụng trợ lý lập trình Claude Code AI để giải mã ứng dụng di động của công ty DJI, nhằm viết ứng dụng điều khiển robot hút bụi Romo bằng tay cầm PS5 để giải trí. Tuy nhiên, khi kết nối vào hệ thống máy chủ DJI, ứng dụng của Azdoufal lập tức nhận được phản hồi từ hàng nghìn thiết bị đang hoạt động trên thế giới.
Azdoufal có thể kết nối và điều khiển từ xa, xem video và âm thanh thu trực tiếp, cũng như cho robot vẽ bản đồ di chuyển và xây dựng sơ đồ mặt bằng đầy đủ của ngôi nhà. Anh cũng dễ dàng tra cứu địa chỉ IP của robot để ước tính vị trí địa lý của chúng.
“Điều này giống như vô tình tạo ra đội quân gồm hàng nghìn robot hút bụi, cho phép anh ta theo dõi số lượng ngôi nhà tương tự mà không ai biết”, trang Malwarebytes nhận xét.
Sơ đồ mặt sàn một căn nhà được lập bởi robot DJI Romo. Ảnh: The Verge
Nguyên nhân bắt nguồn từ giao thức MQTT được DJI sử dụng để truyền tin nhắn từ thiết bị về máy chủ và nhận lệnh theo chiều ngược lại. Đây là giải pháp nhẹ, độ trễ thấp, lý tưởng cho quá trình điều khiển và nhận dữ liệu thời gian thực từ xa.
Tuy nhiên, mức độ bảo mật của DJI kém đến mức Azdoufal có thể truy cập toàn bộ dữ liệu bằng mã thông báo riêng tư được trích xuất từ robot của mình. Mã này được dùng để máy chủ xác nhận người dùng hợp lệ, nhưng lại cho phép tiếp cận thông tin của hàng nghìn robot trên máy chủ.
Azdoufal đã trực tiếp trình diễn kỹ thuật này với biên tập viên của trang công nghệ The Verge. Hàng nghìn robot nhanh chóng phản hồi, cứ 3 giây lại gửi một tin nhắn MQTT về máy chủ để thông báo số serial, phòng đang lau dọn, hình ảnh thu được từ camera, quãng đường di chuyển, thời điểm quay lại bộ sạc và những chướng ngại vật gặp trên đường. Tất cả đều hiển thị dưới dạng văn bản thuần, không được mã hóa.
Lập trình viên này khẳng định toàn bộ quy trình này diễn ra mà không cần can thiệp vào máy chủ DJI. “Tôi không vi phạm quy định nào, không vượt tường lửa hay bẻ khóa gì cả”, anh nói.
9 phút sau khi bắt đầu, máy tính của Azdoufal đã kết nối được khoảng 6.700 robot hút bụi của DJI tại 24 quốc gia và thu thập hơn 100.000 tin nhắn cập nhật. Nếu tính cả trạm điện di động DJI Power, con số thiết bị truy cập đã vượt mức 10.000.
Dữ liệu thu thập từ hàng nghìn robot hút bụi DJI Romo trên khắp thế giới. Ảnh: The Verge
Chỉ bằng số serial gồm 14 ký tự, Azdoufal đã tìm ra được robot hút bụi của biên tập viên The Verge, xác nhận nó đang hoạt động với mức pin 80% và lập bản đồ chi tiết của ngôi nhà dù đang ở quốc gia khác.
Phát ngôn viên DJI Daisy Kong ban đầu khẳng định công ty đã khắc phục vấn đề từ trước đó một tuần, dù màn trình diễn của Azdoufal được tiến hành ngay sau khi phát biểu này được đưa ra. DJI sau đó ra thông cáo hoàn chỉnh, thừa nhận vấn đề trong quy trình cấp quyền truy cập dữ liệu và tung ra hai bản vá phần mềm vào giữa tháng 2.
Sau bản vá đầu tiên, Azdoufal không thể truy cập camera, microphone và điều khiển robot hút bụi của người khác. Bản vá thứ hai khiến ứng dụng của anh không còn nhận diện được robot nào, kể cả sản phẩm của chính Azdoufal.
DJI khẳng định luôn triển khai hệ thống mã hóa TLS, nhưng Azdoufal cho rằng nó chỉ bảo vệ kết nối giữa thiết bị và máy chủ, không che chắn được dữ liệu bên trong. Anh thêm rằng còn nhiều lỗ hổng chưa được vá, trong đó có một điểm yếu cho phép vượt qua mã hóa PIN để truy cập dữ liệu camera.
Điệp Anh (Theo The Verge, Malwarebytes)
Nguồn: https://vnexpress.net/lap-trinh-vien-vo-tinh-tao-ra-doi-quan-7-000-robot-hut-bui-5042280.html
