Des failles de sécurité détectées dans les drones fabriqués par DJI

Des chercheurs de Bochum et de Sarrebruck ont ​​détecté des failles de sécurité, dont certaines graves, dans plusieurs drones fabriqués par le constructeur DJI. Ceux-ci permettent, par exemple, aux utilisateurs de modifier le numéro de série d’un drone ou de passer outre les mécanismes qui permettent aux autorités de sécurité de suivre les drones et leurs pilotes. Dans des scénarios d’attaque spéciaux, les drones peuvent même être abattus à distance en vol.

L’équipe dirigée par Nico Schiller de l’Institut Horst Görtz pour la sécurité informatique de l’Université de la Ruhr à Bochum, en Allemagne, et le professeur Thorsten Holz, anciennement à Bochum, maintenant au Centre CISPA Helmholtz pour la sécurité de l’information à Sarrebruck, présenteront leurs conclusions au Network and Symposium sur la sécurité des systèmes distribués (NDSS). La conférence aura lieu du 27 février au 3 mars à San Diego, aux États-Unis.

Les chercheurs ont informé DJI des 16 vulnérabilités détectées avant de diffuser les informations au public ; le fabricant a pris des mesures pour les réparer.

Quatre modèles mis à l’épreuve

L’équipe a testé trois drones DJI de différentes catégories : le petit DJI Mini 2, le moyen Air 2 et le grand Mavic 2. Plus tard, les experts en informatique ont également reproduit les résultats pour le nouveau modèle Mavic 3. Ils ont alimenté le matériel et le micrologiciel des drones avec un grand nombre d’entrées aléatoires et ont vérifié celles qui provoquaient le crash des drones ou apportaient des modifications indésirables aux données du drone telles que le numéro de série, une méthode connue sous le nom de fuzzing. Pour cela, ils ont d’abord dû développer un nouvel algorithme.

“Nous avons souvent le micrologiciel complet d’un appareil disponible à des fins de fuzzing. Ici, cependant, ce n’était pas le cas”, explique Nico Schiller. Parce que les drones DJI sont des appareils relativement complexes, le fuzzing devait être effectué dans le système en direct. “Après avoir connecté le drone à un ordinateur portable, nous avons d’abord regardé comment nous pouvions communiquer avec lui et quelles interfaces étaient à notre disposition à cet effet”, explique le chercheur de Bochum. Il s’est avéré que la plupart des communications se font via le même protocole, appelé DUML, qui envoie des commandes au drone par paquets.

Quatre erreurs graves

Le fuzzer développé par le groupe de recherche a ainsi généré des paquets de données DUML, les a envoyés au drone et évalué quelles entrées ont fait planter le logiciel du drone. Un tel plantage indique une erreur dans la programmation. “Cependant, toutes les failles de sécurité n’ont pas entraîné un crash”, explique Thorsten Holz. “Certaines erreurs ont entraîné des modifications de données telles que le numéro de série.”

Pour détecter ces vulnérabilités logiques, l’équipe a couplé le drone avec un téléphone mobile exécutant l’application DJI. Ils pouvaient ainsi vérifier périodiquement l’application pour voir si le fuzzing modifiait l’état du drone.

Les quatre modèles testés présentaient des failles de sécurité. Au total, les chercheurs ont documenté 16 vulnérabilités. Les modèles DJI Mini 2, Mavic Air 2 et Mavic 3 présentaient quatre défauts graves. D’une part, ces bogues ont permis à un attaquant d’obtenir des droits d’accès étendus au système.

“Un attaquant peut ainsi modifier les données du journal ou le numéro de série et dissimuler son identité”, explique Thorsten Holz. “De plus, bien que DJI prenne des précautions pour empêcher les drones de survoler les aéroports ou d’autres zones réglementées telles que les prisons, ces mécanismes pourraient également être annulés.” De plus, le groupe a pu écraser les drones volants en vol.

Dans de futures études, l’équipe de Bochum-Sarrebruck a l’intention de tester également la sécurité d’autres modèles de drones.

Les données de localisation sont transmises en clair

De plus, les chercheurs ont examiné le protocole utilisé par les drones DJI pour transmettre la position du drone et de son pilote afin que les organismes autorisés, tels que les autorités de sécurité ou les opérateurs d’infrastructures critiques, puissent y accéder.

En procédant à l’ingénierie inverse du micrologiciel de DJI et des signaux radio émis par les drones, l’équipe de recherche a pu documenter pour la première fois le protocole de suivi appelé “DroneID”. “Nous avons montré que les données transmises ne sont pas cryptées, et que pratiquement n’importe qui peut lire la position du pilote et du drone avec des méthodes relativement simples”, conclut Nico Schiller.