NDSS: DroneID von DJI kann leicht durch Angreifer gekapert werden

Mit Sicherheit besitzt der eine oder andere Leser hier auch eine eigene Drohne, die für interessante Aufnahmen aus luftigen Perspektiven sorgen soll oder anderweitige Einsätze erfüllt. Wer eine Drohne von DJI sein Eigen nennt, der weiß um die DroneID des Unternehmens, mit der DJI die Position der Drohne und ihres Betreibers im Ernstfall an autorisierte Stellen wie Strafverfolgungsbehörden oder Betreiber kritischer Infrastrukturen übermitteln soll. Ein Ernstfall wäre beispielsweise die böswillige Nutzung oder das Kapern von Drohnen durch Dritte, um damit Schaden anzurichten oder sie zur Überwachung einzusetzen.

In einem umfangreichen Papier hat nun das NDSS-Symposium aufgezeigt, wie die DroneID von DJI durch einen Angreifer missbräuchlich abgegriffen und verwendet werden könnte, da nicht nur der Over-the-Air-Datenverkehr abgehört werden kann, sondern die übertragenen Daten dabei überhaupt nicht verschlüsselt sind und damit im Grunde jedermann darauf zugreifen könnte. Das Papier zeigt zudem insgesamt 16 Schwachstellen auf, von Denial-of-Service bis hin zur Ausführung von beliebigem Code. 14 dieser Schwachstellen können bei einem erfolgreichen Angriff aus der Ferne über das Smartphone des Bedieners ausgelöst werden, wodurch sich die Drohne während des Fluges zum Absturz bringen ließe.

Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf ge­lan­gt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir ei­ne kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.