In mehreren Drohnen des Herstellers DJI haben Forschende aus Bochum und Saarbrücken teils schwerwiegende Sicherheitslücken entdeckt. Diese ermöglichen es Anwenderinnen und Anwendern beispielsweise, die Seriennummer der Drohne zu ändern oder die Mechanismen außer Kraft zu setzen, mit denen sich die Drohnen und ihre Piloten durch Sicherheitsbehörden orten lassen. In bestimmten Angriffsszenarien können die Drohnen sogar im Flug aus der Ferne zum Absturz gebracht werden.
Das Team um Nico Schiller vom Horst-Görtz-Institut für IT-Sicherheit der Ruhr-Universität Bochum und Prof. Dr. Thorsten Holz, früher in Bochum, jetzt am Helmholtz-Zentrum für Informationssicherheit CISPA in Saarbrücken, stellt die Ergebnisse auf dem Network and Distributed System Security Symposium (NDSS) vor. Die Konferenz findet vom 27. Februar bis 3. März in San Diego, USA, statt.
Die Forschenden haben DJI vor der Veröffentlichung über die Schwachstellen informiert und der Hersteller DJI hat im Zuge des Responsible Disclosure Verfahrens, die gemeldeten Schwachstellen behoben.
Vier Modelle im Test
Das Team testete drei DJI-Drohnen verschiedener Kategorien: die kleine DJI Mini 2, die mittelgroße Air 2, und die große Mavic 2. Später reproduzierten die IT-Expertinnen und -Experten die Ergebnisse auch für das neuere Modell Mavic 3. Sie fütterten die Hard- und Firmware der Drohnen mit einer großen Anzahl an zufälligen Inputs und überprüften, welche davon die Drohnen zum Absturz brachten oder unerwünschte Veränderungen in den Drohnen-Daten wie der Seriennummer erzeugten – eine Methode, die sich Fuzzing nennt. Dafür mussten sie zunächst einen neuen Algorithmus entwickeln.
"Oft haben wir für das Fuzzing die gesamte Firmware eines Geräts zur Verfügung. Das war hier aber nicht der Fall", erklärt Nico Schiller die besondere Herausforderung. Weil DJI-Drohnen relativ komplexe Geräte sind, musste das Fuzzing im Live-System erfolgen. „Wir haben die Drohne an einen Laptop angeschlossen und zunächst geschaut, wie wir mit ihr kommunizieren können und welche Schnittstellen uns dafür zur Verfügung stehen“, so der Bochumer Forscher. Dabei kam heraus, dass der Großteil der Kommunikation über das gleiche Protokoll erfolgt, DUML genannt, welches Befehle paketweise an die Drohne sendet.
Vier schwerwiegende Fehler
Der von der Forschungsgruppe entwickelte Fuzzer erzeugte also DUML-Datenpakete, schickte diese an die Drohne und wertete aus, welche Eingaben die Software der Drohne zum Absturz brachten. Ein solcher Crash deutet dabei auf einen Fehler in der Programmierung hin. "Allerdings haben nicht alle Sicherheitslücken einen Absturz zur Folge gehabt", sagt Thorsten Holz. "Manche Fehler haben auch dazu geführt, dass sich Daten wie die Seriennummer verändert haben." Um solche logischen Schwachstellen aufzuspüren, koppelte das Team die Drohne mit einem Handy, auf dem die DJI-App lief. So konnten sie in der App regelmäßig nachschauen, ob das Fuzzing den Zustand der Drohne veränderte.
Alle vier getesteten Modelle wiesen Sicherheitslücken auf. Insgesamt dokumentierten die Forschenden 16 Schwachstellen. Die Modelle DJI Mini 2, Mavic Air 2 und Mavic 3 besaßen vier schwerwiegende Fehler. Diese erlaubten zum einen, erweiterte Zugriffsrechte im System zu erlangen. "So kann ein Angreifer Log-Daten oder die Seriennummer ändern und seine Identität verschleiern", erklärt Thorsten Holz. "Außerdem unternimmt DJI aufwendige Vorkehrungen, um zu verhindern, dass Drohnen über Flughäfen oder andere gesperrte Bereiche wie Gefängnisse fliegen können – auch diese Mechanismen könnte man umgehen." Des Weiteren konnte die Gruppe die fliegenden Drohnen aus der Luft abstürzen lassen.
In künftigen Arbeiten will das Bochumer-Saarbrücker Team nun die Sicherheit weiterer Drohnen-Modelle überprüfen.
Standortdaten werden unverschlüsselt übermittelt
Zusätzlich untersuchten die Forschenden das Protokoll, mit dem DJI-Drohnen den Standort der Drohne und ihres Piloten übermitteln, damit autorisierte Stellen – etwa Sicherheitsbehörden oder Betreiber kritischer Infrastrukturen – darauf zugreifen können. Durch Reverse Engineering der DJI-Firmware und der von den Drohnen ausgesendeten Funksignale konnte das Forschungsteam das Tracking-Protokoll namens "DroneID" erstmals dokumentieren. "Wir konnten zeigen, dass die übermittelten Daten nicht verschlüsselt werden, sondern dass der Standort des Piloten und der Drohne mit relativ einfachen Mitteln praktisch durch jedermann ausgelesen werden kann", resümiert Nico Schiller.
Originalveröffentlichung
Nico Schiller, Merlin Chlosta, Moritz Schloegel, Nils Bars, Thorsten Eisenhofer, Tobias Scharnowski, Felix Domke, Lea Schönherr, Thorsten Holz: Drone security and the mysterious case of DJI’s DroneID, Network and Distributed System Security Symposium (NDSS), San Diego, California, 2023
Allgemeiner Hinweis: Mit einer möglichen Nennung von geschlechtszuweisenden Attributen implizieren wir alle, die sich diesem Geschlecht zugehörig fühlen, unabhängig vom biologischen Geschlecht.