Robot süpürgede büyük açık: Binlerce eve erişim mümkün mü?

Yeni satın aldığı robot süpürgesini oyun kumandasıyla kontrol edebilmek için özel bir uygulama geliştiren yazılım mühendisi Sammy Azdoufal, sistemin arka planındaki iletişim protokolünü incelerken ciddi bir yetkilendirme hatasını fark etti. The Verge’de yayımlanan habere göre Azdoufal, cihazın DJI sunucularıyla nasıl veri alışverişi yaptığını analiz ederken, kendi cihazı için oluşturulan erişim anahtarının başka kullanıcıların cihazlarına da kapı araladığını keşfetti. Bu durum, 24 farklı ülkede yaklaşık 7 bin robot süpürgeye istemeden erişim sağlanmasına yol açtı.

Ortaya çıkan güvenlik açığı sayesinde gerçek zamanlı kamera görüntülerine ve ses kayıtlarına ulaşılabildiği, cihazların seri numaraları, batarya durumları ve evlerin detaylı kat planlarının görüntülenebildiği belirtildi. Ayrıca IP adresleri üzerinden yaklaşık konum bilgilerine erişim sağlanabildiği ifade edildi. Daha da dikkat çekici olan ise güvenlik kodunun tamamen atlanabilmesi ve eşleştirme yapılmadan kameraya bağlanılabilmesiydi.

Azdoufal, herhangi bir sisteme izinsiz giriş yapmadığını ve yalnızca güvenlik açığını tespit ettiğini savundu. Olayın ardından DJI tarafından yapılan açıklamada, robot süpürgelerde “arka uç yetkilendirme doğrulama sorunu” bulunduğu kabul edildi. Şirket, güvenlik açığının ocak ayı sonunda tespit edildiğini ve 8 ile 10 Şubat tarihlerinde yayımlanan iki ayrı güncellemeyle sorunun giderildiğini duyurdu. Güncellemelerin otomatik olarak yüklendiği ve kullanıcıların ek işlem yapmasına gerek olmadığı belirtildi.

Açıklamada, açığın MQTT tabanlı cihaz-sunucu iletişim sistemini etkilediği ve teorik olarak yetkisiz erişime imkan tanıyabileceği ifade edildi. Vakaların büyük bölümünün güvenlik araştırmacılarının kendi cihazları üzerinde yaptığı testlerden kaynaklandığı savunuldu.

Yaşanan gelişme, kameralı ve mikrofonlu robot süpürgelerin veri güvenliği risklerini yeniden gündeme taşıdı. Uzmanlar, akıllı ev cihazlarının yeterli güvenlik önlemleriyle korunmaması halinde kişisel mahremiyet açısından ciddi tehditler oluşturabileceğine dikkat çekiyor. Özellikle uzaktan erişim özelliğine sahip cihazlarda güçlü kimlik doğrulama sistemleri ve düzenli yazılım güncellemeleri büyük önem taşıyor.

Akıllı ev teknolojilerinin hızla yaygınlaştığı günümüzde, kullanıcıların yalnızca konforu değil veri güvenliğini de önceliklendirmesi gerektiği vurgulanıyor. Bu olay, IoT cihazlarında güvenli yazılım geliştirme süreçlerinin ve arka uç sistem denetimlerinin ne kadar kritik olduğunu bir kez daha gözler önüne serdi.