DJI ทำ Private SSL, AWS Account และ Firmware Encryption Key รั่วใน GitHub

นักวิจัยด้านความมั่นคงปลอดภัยได้ออกมาเปิดเผยถึงการค้นพบ Private SSL, AWS Account Credential และ Firmware AES Encryption Key ของทาง DJI ที่ปรากฎอยู่บน GitHub Public Repo ของทาง DJI เอง หลังจากที่แจ้งไปทาง DJI เพื่อเข้าโครงการ Bug Bounty แล้วแต่ไม่ได้รับการตอบสนอง

Credit: wk1003mike/ShutterStock

 

เหตุการณ์ข้อมูล DJI รั่วครั้งนี้เกิดขึ้นมาแล้วเป็นเวลากว่า 4 ปีจนกระทั่ง Kevin Finisterre ได้มาเจอกับประเด็นนี้ อีกทั้งเขายังได้ชี้ด้วยว่าการตั้งค่า AWS S3 Bucket ของทาง DJI นั้นก็ยังมีปัญหา ซึ่งทำให้เขาสามารถเข้าถึงข้อมูล Flight Log, Passport, ใบขับขี่ และข้อมูลบัตรประชาชนที่ DJI เก็บเอาไว้ได้ ซึ่งเขาเองก็ไม่สามารถยืนยันได้ว่านอกจากตัวเขาแล้ว ยังมีหน่วยงานอื่นๆ ที่นำข้อมูลเหล่านี้ไปใช้ทำอะไรอีกหรือไม่

ทาง DJI นั้นจริงๆ แล้วมีโครงการ Bug Bounty ที่มอบรางวัลถึง 30,000 เหรียญหรือราวๆ 1 ล้านบาทให้กับผู้ที่แจ้งบั๊กร้ายแรงเข้ามา แต่ทาง Kevin และ DJI นั้นไม่สามารถตกลงกันในเรื่องของ Non-disclosure Agreement ได้ และด้วยขั้นตอนที่ยืดเยื้อนี้เองที่ทำให้เขาหมดความอดทนและตัดสินใจออกมาเปิดเผยถึงประเด็นนี้

ปัจจุบันนี้ทาง DJI ได้ทำการ Revoke Certificate ที่มีปัญหาไปแล้ว ส่วนประเด็นที่อาจเกี่ยวข้องก็คงเป็นกรณีที่สหรัฐได้ประกาศห้ามใช้ DJI ในกองทัพไปเมื่อก่อนหน้านี้ในปี 2017 โดยไม่ระบุสาเหตุ และทางออสเตรเลียก็ประกาศห้ามใช้งานตามด้วยเช่นกัน

 

ที่มา: https://www.theregister.co.uk/2017/11/16/dji_private_keys_left_github/


About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

Google+ ประกาศปิดตัวเร็วขึ้น 4 เดือน หลังพบบั๊กใหม่ที่เข้าถึงข้อมูลผู้ใช้ 52.5 ล้านรายได้

Google+ ได้ประกาศเลื่อนวันปิดตัวเร็วขึ้นจากเดิม 4 เดือน มาเป็นเดือนเมษายน 2019 แทน หลังพบบั๊กใหม่ในระบบของตนที่ทำให้ข้อมูลส่วนตัวของผู้ใช้งานกว่า 52.5 ล้านรายถูกเข้าถึงได้โดยไม่ได้รับอนุญาต

เครือ Marriott ประกาศชดใช้ค่าทำ Passport ใหม่ สำหรับลูกค้าที่ถูกขโมยข้อมูลกว่า 500 ล้านราย

  ถือเป็นแนวทางการรับผิดชอบที่น่าสนใจไม่น้อย เมื่อเครือ Marriott ออกมาประกาศชดเชยค่าทำ Passport ให้กับลูกค้าของตนเองที่ได้รับผลกระทบจากกรณีข้อมูลรั่วไหลครั้งใหญ่ที่ผ่านมา