डीजेआई साइबर सुरक्षा विशेषज्ञ के साथ अदालत को धमकी देता है, जिन्होंने गिटहब पर कंपनी के खातों का उपयोग करने के लिए चाबियाँ खोजीं

Geektimes में DJI कंपनी quadrocopters के बारे में कई बार लिखा गया है। अधिकांश भाग के लिए, ये वास्तव में अच्छे उपकरण हैं। उनके पास कई समस्याएं हैं जो उपयोगकर्ताओं को असुविधा का कारण बन सकती हैं, लेकिन सब कुछ हल हो गया है। इतना समय पहले नहीं, यह ज्ञात हो गया कि डीजेआई सॉफ्टवेयर डेवलपर्स ने सभी कंपनी वेब डोमेन के लिए वाइल्डकार्ड प्रमाणपत्र के लिए निजी कुंजी छोड़ दी है, साथ ही साथ अमेज़ॅन वेब सेवाओं के लिए डीजेआई खाते भी हैं। इस जानकारी का उपयोग करते हुए, साइबर सुरक्षा शोधकर्ता केविन फिनिस्टर ने कंपनी के डीजेआई ग्राहकों के उड़ान डेटा तक पहुंचने में सक्षम था। इसमें ट्रैकिंग, ड्राइवर के लाइसेंस की तस्वीरें, पासपोर्ट और इन लोगों के अन्य दस्तावेज़ शामिल हैं। कुछ मामलों में, यहां तक ​​कि स्पष्ट रूप से सरकारी एजेंसियों "लिट अप" से संबंधित खातों से कॉप्टर्स की उड़ानों के डेटा को ट्रैक करना।

कंपनी के पास डीजेआई सॉफ्टवेयर में कमजोरियों को खत्म करने के लिए तीसरे पक्ष के विशेषज्ञों को आकर्षित करने का कार्यक्रम है। यह एक बग बाउंटी है , जिसकी घोषणा अगस्त में की गई थी। ऊपर उल्लिखित शोधकर्ता केवल कमजोरियों की तलाश कर रहा था, एक इनाम पाने की उम्मीद कर रहा था। लेकिन अभी तक, उन्हें सभी से डीजेए से खतरा था कि वे सीएफएए (कंप्यूटर फ्रॉड एंड एब्यूज एक्ट) के तहत अपने कार्यों की जांच शुरू करें। उसके बाद, विशेषज्ञ ने अपनी योजनाओं के डीजेआई को सूचित किए बिना, स्वतंत्र रूप से कार्य करने का निर्णय लिया। उन्होंने डीजेआई बाउंटी कार्यक्रम की शर्तों को अस्वीकार करने के कारण के बारे में स्पष्टीकरण के साथ सामग्री के साथ, के बारे में जानकारी प्रकाशित की।

अमेरिकी सेना द्वारा कंपनी के उपकरणों के साथ काम करने से इनकार करने के बाद चीनी ने सूचना सुरक्षा विशेषज्ञों को प्रोत्साहित करने के लिए अपना कार्यक्रम शुरू किया। जहां तक ​​आप समझ सकते हैं, देश की वायु सेना के नेतृत्व ने यह निर्णय लिया, जिससे डरकर कि चीनी सरकार डीजेआई ड्रोन द्वारा एकत्र की गई सभी जानकारी प्राप्त करेगी।

थोड़ी देर बाद, कंपनी के ड्रोन फर्मवेयर को तोड़ने के मामले फैलने लगे। संशोधित फर्मवेयर संस्करण गिथब और अन्य जगहों पर पोस्ट किए जाने लगे । ऐसी कंपनियां भी थीं जिन्होंने पैसे के लिए ऐसा किया, मालिकाना सॉफ्टवेयर को अपने स्वयं के साथ बदल दिया, कई कमियों और कमजोरियों से रहित जो उपयोगकर्ताओं के साथ हस्तक्षेप किया।

केविन फिनिस्टर ने डीजेआई से बग-बाउंटी कार्यक्रम में शामिल होने का फैसला किया। काम शुरू करते हुए, उन्होंने लगभग दुर्घटना से पता लगाया कि कंपनी के डेवलपर्स ने HTTPS प्रमाणपत्र * .dji.com, फर्मवेयर के लिए एईएस एन्क्रिप्शन कुंजी, साथ ही AWS में क्लाउड वातावरण तक पहुँचने के लिए पासवर्ड और अमेज़न क्लाउड सेवा इंस्टेंसेस के लिए गिथब पर एक संग्रह छोड़ दिया। S3। इसके अलावा, यह जानकारी लंबे समय से सार्वजनिक डोमेन में है - कई सालों तक। फिनिस्टर ने एक अतिरिक्त खोज की और स्काईपिक्सल फोटो-शेयरिंग सेवा के लिए एडब्ल्यूएस से समान गुथहब निजी कुंजी पर पाया। सत्यापन के समय खाते वैध थे। इस सेवा से बहुत सारी सामग्री का पता चला जो डीजेआई ड्रोन के उपयोगकर्ताओं द्वारा कंपनी की सहायता सेवा को भेजी गई थी। इसमें क्षतिग्रस्त क्वाडरोप्टर्स, खातों और उपयोगकर्ताओं की अन्य व्यक्तिगत जानकारी की तस्वीरें और यहां तक ​​कि उन लोगों की तस्वीरें भी शामिल हैं, जो कोपर स्क्रू के प्रोपेलर के कारण हुए नुकसान के चित्र हैं।

फिनिस्टर ने कंपनी की सहायता सेवा को एक अनुरोध के साथ रिपोर्ट करने के लिए भेजा कि क्या वह जो कुछ भी खोजता है वह बाउंटी कार्यक्रम के प्रावधानों के भीतर गिर गया और जवाब के लिए इंतजार किया। दो सप्ताह तक चीनी कंपनी की ओर से कोई प्रतिक्रिया नहीं हुई, जिसके बाद निम्न प्रकृति का संदेश प्राप्त हुआ: “सॉफ्टवेयर रिसाव और सुरक्षा कमजोरियों सहित सॉफ्टवेयर, अनुप्रयोगों और नेटवर्क तत्वों में सभी समस्याएं बग बाउंटी प्रोग्राम से संबंधित हैं। हम एक विस्तृत गाइड पर काम कर रहे हैं। ”

इस तरह की पुष्टि प्राप्त करने के बाद, फिनिस्टर ने अपने द्वारा खोजी गई सभी कमजोरियों और समस्याओं का वर्णन करते हुए एक रिपोर्ट तैयार करना शुरू किया। बड़ी संख्या में विवरणों का दस्तावेजीकरण करना आसान काम नहीं है, लेकिन सब कुछ जल्द से जल्द किया गया। उसके बाद, फिनिस्टर ने एक डीजेआई कर्मचारी से संपर्क किया, जो उसे मिली लगभग सभी समस्याओं का विस्तृत विवरण प्रदान करता है। उन्होंने तुरंत जवाब दिया और एक व्यापार पत्र जारी किया। संचार काफी लंबा था, इसके पूरा होने के पत्राचार में 130 ई-मेल संदेश शामिल थे। कुछ भी समस्याओं को चित्रित नहीं किया।

इसके बाद फिनिस्टर को साइबर स्पेस से जुड़े मुद्दों पर पूर्णकालिक सलाहकार बनने का प्रस्ताव दिया गया।

लेकिन फिनिस्टर को एक और पत्र प्राप्त होने के बाद कहा गया कि सर्वर भेद्यता बाउंटी कार्यक्रम की शर्तों के तहत नहीं थी। फिर भी, उन्हें बताया गया कि उन्हें यह पुरस्कार प्राप्त होगा, इसका आकार $ 30,000 है। और यह सब - कंपनी का संदेश प्रवाह व्यावहारिक रूप से सूख गया है, फ़िनिस्टर को एक महीने के लिए कुछ भी नहीं मिला।

अंत में, विशेषज्ञ को एक और प्रस्ताव मिला, या यों कहें कि यह उन समस्याओं का खुलासा न करने पर एक समझौता था, जो उन्होंने खोजी थीं। फ़िनिस्टर समझौते की शर्तों से सहमत नहीं थे, उन्होंने कहा कि यह उनके भाषण की स्वतंत्रता के अधिकार का उल्लंघन करता है।

उन्होंने स्थिति स्पष्ट करने के लिए अन्य डीजेआई इकाइयों से संपर्क करने की कोशिश की, लेकिन कोई फायदा नहीं हुआ। लेकिन उन्हें शेन्ज़ेन से कंपनी के कानूनी विभाजन द्वारा संपर्क किया गया था। वकीलों ने पाई गई समस्याओं का वर्णन करते हुए सभी डेटा को हटाने की आवश्यकता बताई। अन्यथा, वकीलों ने कहा, फिनिस्टर पर मुकदमा किया जा सकता है, कंपनी के सर्वरों में तोड़ने और वाणिज्यिक मूल्य की जानकारी चोरी करने के आरोपों के साथ। इसी इकाई ने उन्हें उपरोक्त आवश्यकताओं के साथ एक समझौते को भेजा।

फिनिस्टर ने अनुबंध की धाराओं के बारे में अपने देश के पेशेवर वकीलों से परामर्श करने का निर्णय लिया। उनके अनुसार, चार विशेषज्ञों, जिन्हें उन्होंने अलग से संबोधित किया, ने कहा कि दस्तावेज़ में व्यक्तिगत रूप से उनके लिए कोई गारंटी नहीं है, लेकिन यह कि वे ड्राफ्टर्स, डीजेआई के पदों के लिए चौतरफा समर्थन प्रदान करते हैं।

अनुबंध के नवीनतम संस्करण में, जिसे फिनिस्टर प्राप्त हुआ, विशेष रूप से कुछ भी नहीं बदला। "मैंने जिन चार वकीलों से संपर्क किया, उन्होंने कहा कि अनुबंध बेहद जोखिम भरा है, इसे उस व्यक्ति को चुप कराने के लिए डिज़ाइन किया गया है जिसने इस पर हस्ताक्षर किया था।" परामर्श में कई हज़ार अमेरिकी डॉलर खर्च हुए। यही है, साइबर सुरक्षा विशेषज्ञ ने न केवल डीजेआई से कोई पैसा प्राप्त किया, बल्कि अपने स्वयं के धन (हालांकि अपनी मर्जी से) खो दिया।



फिनिस्टर ने अभियोजन पक्ष की धमकी के संबंध में चीनी कंपनी के प्रति असंतोष व्यक्त किया, और उन्होंने पहले से वादा किए गए $ 30,000 का भुगतान करने से इनकार करते हुए सभी संचार को पूरी तरह से रोकना पसंद किया।

उसके बाद, डीजेआई ने एक आधिकारिक संदेश प्रकाशित किया और कहा कि यह कंपनी की सूचना सुरक्षा समस्याओं की जांच कर रहा है। डीजेआई ने कहा कि उसने इस घटना की पूरी जांच करने के लिए एक निजी साइबर सुरक्षा कंपनी को काम पर रखा है। संदेश में उल्लेख किया गया है फिनिस्टर, जिसे डीजेआई "हैकर" कहता है, जिसने कंपनी के कर्मचारियों के साथ पत्राचार और सार्वजनिक डोमेन में उसके द्वारा पाई गई कमजोरियों के बारे में जानकारी पोस्ट की।

चीनी कंपनी ने दावा किया है कि उसने सूचना सुरक्षा के क्षेत्र में काम करने वाले एक दर्जन शोधकर्ताओं को हजारों डॉलर का भुगतान किया है। लेकिन Finister, DJI के प्रतिनिधियों के अनुसार, उसने सार्वजनिक डोमेन में खोज की गई जानकारी को प्रकाशित करना पसंद करते हुए, सहयोग करने से इनकार कर दिया।

बाउंटी कार्यक्रम का वर्णन कहता है कि यह तृतीय-पक्ष कंपनियों की सामग्री या सेवाओं के अध्ययन को शामिल नहीं करता है, जिनमें उन लोगों का भी शामिल है जो अभी भी डीजेआई अनुप्रयोगों के साथ संबंध रखते हैं। यही है, दूसरे शब्दों में, गिटहब पर पाए जाने वाले सामग्रियों की गिनती नहीं है। अब तक, हालांकि, यह पूरी तरह से स्पष्ट नहीं है कि फिनिस्टर के काम शुरू करने से पहले ये प्रावधान मौजूद थे या बाद में कंपनी से संपर्क करने के बाद उन्हें जोड़ा गया था।

क्वाडकोप्टर डीजेआई "फैक्ट्री" सॉफ़्टवेयर के साथ डिवाइस के आंदोलनों के बारे में बड़ी मात्रा में जानकारी एकत्र करता है। तथ्य यह है कि डीजेआई ने अपने ड्रोन में विशेष सॉफ्टवेयर स्थापित किया, जो डिवाइस के स्थान को निर्धारित करता है, जो उड़ानों के लिए निषिद्ध क्षेत्रों के निर्देशांक ( नो फ्लाई ज़ोन ) की जाँच करता है। डेवलपर्स का मानना ​​है कि फ़ंक्शन नो फ्लाई ज़ोन (NFZ) आपको अपने ग्राहकों को परेशानी से बचाने की अनुमति देता है। यह डेटा कंपनी के सर्वरों को भेजा जाता है , जो न केवल अमेरिकी सेना के लिए सुखद है, बल्कि आम उपयोगकर्ताओं के लिए भी है।

एक समाधान तीसरे पक्ष के फर्मवेयर का उपयोग करना है। Geektimes की गर्मियों में यह बताया गया कि रूसी कंपनियों में से एक, Coptersafe ने अपना फर्मवेयर और जेलब्रेक लॉन्च किया। कोपर्स कैफे के एक प्रवक्ता ने कहा, "यह बहुत अच्छा है कि डीजेआई सुरक्षा को लेकर चिंतित है।" "लेकिन मेरा मानना ​​है कि इन प्रतिबंधों को स्थानीय स्तर पर स्थापित किया जाना चाहिए।"