搜索

[15662] 2020-07-28_大疆无人机被指存在安全漏洞，欲加之罪还是隐私威胁？

文档创建者：s7ckTeam
浏览次数：33
最后更新：2025-01-18
2020-07-28_大疆无人机被指存在安全漏洞，欲加之罪还是隐私威胁？ 大 疆 无 人 机 被 指 存 在 安 全 漏 洞 ， 欲 加 之 罪 还 是 隐 私 威 胁 ？ M e g a n n a i n a i   F r e e B u f   2 0 2 0 - 0 7 - 2 8 上 周 四 ， 网 络 安 全 研 究 人 员 披 露 了 无 人 机 制 造 商 大 疆 创 新 （ D J I ） 开 发 的 A n d r o i d 应 用 程 序 中 存 在 的 安 全 问 题 。 该 应 用 有 绕 过 G o o g l e   P l a y 商 店 的 自 动 更 新 机 制 的 功 能 ， 可 自 动 安 装 恶 意 应 用 程 序 ， 也 可 将 个 人 敏 感 信 息 传 输 至 D J I 的 服 务 器 。 这 份 由 网 络 安 全 公 司 S y n a c k t i v 和 G R I M M 提 供 的 报 告 发 现 ， D J I 的 G o   4   A n d r o i d 应 用 程 序 不 仅 要 求 广 泛 的 权 限 许 可 及 收 集 个 人 数 据 （ I M S I ， I M E I ， S I M 卡 的 序 列 号 ） ， 还 采 用 了 反 调 试 和 加 密 技 术 来 阻 止 安 全 性 分 析 。 S y n a c k t i v 表 示 ： “ 这 种 运 行 原 理 与 C & C 服 务 器 中 的 恶 意 软 件 非 常 相 似 。 ” ” 因 为 D J I   G O   4 需 要 获 取 用 户 的 多 项 权 限 ， 包 括 联 系 人 、 麦 克 风 、 摄 像 头 、 位 置 、 存 储 、 网 络 连 接 更 改 ， 所 以 D J I 或 微 博 中 文 服 务 器 几 乎 可 以 完 全 控 制 用 户 设 备 。 ” 该 A n d r o i d 应 用 程 序 在 G o o g l e   P l a y 商 店 的 安 装 次 数 超 一 百 万 。 但 是 ， 该 应 用 中 识 别 出 的 安 全 漏 洞 不 影 响 未 混 淆 及 无 隐 藏 更 新 功 能 的 i O S 版 本 。 “ 不 为 人 知 不 为 人 知 ” 的 自 我 更 新 机 制 的 自 我 更 新 机 制 G R I M M 表 示 ， 这 项 研 究 是 针 对 一 个 匿 名 的 国 防 与 公 共 安 全 技 术 供 应 商 的 安 全 审 核 而 进 行 的 ， 该 审 核 旨 在 “ 调 查 A n d r o i d   D J I   G O   4 应 用 程 序 中 D J I 无 人 机 的 隐 私 问 题 ” 。 在 对 应 用 程 序 进 行 反 向 工 程 时 ， S y n a c k t i v 发 现 了 U R L （ “   h x x p s ： / / s e r v i c e - a d h o c . d j i . c o m / a p p / u p g r a d e / p u b l i c / c h e c k ” ） 的 存 在 ， 该 U R L 用 于 下 载 应 用 程 序 更 新 并 提 示 用 户 授 予 “   安 装 未 知 应 用 程 序   ”   权 限 。
研 究 人 员 说 ： “ 我 们 修 改 了 此 请 求 ， 因 为 它 会 触 发 对 任 意 应 用 程 序 的 强 制 更 新 。 首 先 ， 提 示 用 户 授 权 安 装 不 受 信 任 的 应 用 程 序 ， 此 外 还 会 在 通 过 阻 止 使 用 来 强 制 用 户 更 新 。 ” 此 功 能 不 仅 直 接 违 反 了 G o o g l e   P l a y 商 店 指 南 ， 也 产 生 了 很 大 影 响 。 攻 击 者 可 能 会 入 侵 更 新 服 务 器 ， 使 用 恶 意 应 用 程 序 更 新 来 锁 定 用 户 。 更 令 人 担 忧 的 是 ， 该 应 用 即 使 在 关 闭 后 仍 继 续 在 后 台 运 行 ， 并 利 用 微 博 S D K （ “   c o m . s i n a . w e i b o . s d k ” ） 安 装 任 意 下 载 的 应 用 ， 使 得 微 博 直 播 用 户 自 动 发 布 无 人 机 视 频 。 G R I M M 表 示 ， 没 有 发 现 任 何 证 据 证 明 该 恶 意 软 件 已 被 利 用 。 除 此 之 外 ， 研 究 人 员 发 现 该 应 用 程 序 利 用 M o b T e c h   S D K 的 优 势 来 悬 停 有 关 手 机 的 元 数 据 ， 包 括 屏 幕 尺 寸 ， 亮 度 ， W L A N 地 址 ， M A C 地 址 ， B S S I D ， 蓝 牙 地 址 ， I M E I 和 I M S I 编 号 ， 运 营 商 名 称 ， S I M 序 列 号 ， S D 卡 信 息 ， O S 语 言 和 内 核 版 本 以 及 位 置 信 息 。 D J I 反 对 调 查 结 果 反 对 调 查 结 果 D J I   称 调 查 结 果 为 “ 典 型 的 软 件 问 题 ” ， 对 该 研 究 提 出 异 议 ， 并 称 “ 美 国 国 土 安 全 部 （ D H S ） ， B o o z   A l l e n   H a m i l t o n 和 其 他 人 的 报 告 ， 均 未 发 现 D J I 为 政 府 和 专 业 客 户 设 计 的 应 用 程 序 中 存 在 意 外 数 据 传 输 连 接 的 证 据 。 该 公 司 表 示 ： “ 没 有 证 据 表 明 它 们 曾 被 利 用 过 ， 也 没 有 用 于 政 府 和 专 业 客 户 的 D J I 飞 行 控 制 系 统 中 ， 且 无 法 自 行 重 启 。 ” “ 在 新 的 版 本 中 ， 用 户 也 可 以 从 所 在 国 家 / 地 区 下 载 G o o g l e   P l a y 的 正 式 版 本 。 如 果 用 户 不 下 载 ， 出 于 安 全 原 因 ， 将 禁 用 其 未 经 授 权 （ 被 黑 客 入 侵 ） 的 应 用 程 序 版 本 ” 。 大 疆 创 新 是 全 球 最 大 的 商 业 无 人 机 制 造 商 ， 与 其 他 中 国 公 司 就 国 家 安 全 问 题 受 到 越 来 越 多 的 审 查 ， 美 国 内 政 部 于 今 年 1 月 初 将 其 D J I 无 人 机 机 队 停 飞 。 去 年 五 月 ， 国 土 安 全 部 曾 警 告 许 多 公 司 ， 如 果 它 们 使 用 在 中 国 制 造 的 商 用 无 人 机 ， 其 数 据 可 能 会 受 到 威 胁 ， 包 含 数 据 被 破 坏 、 在 公 司 外 的 服 务 器 上 发 生 信 息 共 享 等 风 险 。 “ 这 项 决 定 明 确 表 明 ， 美 国 政 府 对 D J I 无 人 机 的 关 注 是 是 因 为 D O I 机 队 的 原 因 （ 注 ： D O I 的 整 个 机 队 都 使 用 中 国 制 造 的 零 件 ， 大 疆 是 其 零 件 供 应 商 之 一 ） 。 这 与 安 全 无 关 ， 而 是 出 于 部 分 政 治 动 机 ， 旨 在 减 少 市 场 竞 争 并 支 持 国 产 无 人 机 技 术 。 ” 该 公 司 在 1 月 份 的 一 份 声 明 中 表 示 。 参 考 链 接 ： R e s e a r c h e r s   R e v e a l   N e w   S e c u r i t y   F l a w   A f f e c t i n g   C h i n a ’ s   D J I   D r o n e s
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理