DJI sikkerhetsrevisjon: Ingen kritiske feil eller skjulte bakdører

DJI har offentliggjort resultatene av en uavhengig sikkerhetsrevisjon utført av det amerikanske selskapet OnDefend. I løpet av fem måneder analyserte spesialister forbrukerdronen DJI Air 3S og bedriftsmodellen Matrice 4E. De fant ingen kritiske, høye eller middels alvorlige problemer. Revisjonen avdekket heller ingen skjulte bakdører, skadelig programvare, dataoverføring utenfor USA eller vellykkede hackingforsøk.

Revisjonen kommer midt i DJIs pågående konflikt med amerikanske tilsynsmyndigheter. Selskapet utfordrer en FCC-avgjørelse som i praksis blokkerer sertifisering av nye utenlandske droner for det amerikanske markedet. DJI hevder at de kan tape omtrent 1,56 milliarder dollar per år på grunn av disse restriksjonene, og at enkelte planlagte produkter kanskje aldri når det amerikanske markedet.

OnDefend undersøkte dronene på flere områder: programvare, fastvare, maskinvare og radiofrekvenskanaler. Teamet gjennomførte simulerte mann-i-midten-angrep, fysisk demontering av enhetene og komponentanalyse. Det er verdt å merke seg at selskapet kjøpte testenhetene uavhengig: Air 3S fra detaljhandel og Matrice 4E fra forhandlerlager, uten at DJI var involvert i valg av de spesifikke enhetene.

Men revisjonen var ikke helt plettfri. Ekspertene fant ti lavrisikoproblemer, inkludert svake TLS-protokoller i følgeappen og autentiseringstokener i nettadresser. OnDefend beskrev disse problemene som typiske for komplekse innebygde systemer, og DJI opplyser at de fikser dem gjennom fastvareoppdateringer. Revisorene understreket at kontrollen bare gjenspeiler tilstanden til disse to modellene på et bestemt tidspunkt, og at den ikke erstatter løpende testing av fremtidige oppdateringer.

Valget av OnDefend er også interessant. Det samme firmaet ble tidligere utnevnt til en av TikToks uavhengige sikkerhetsinspektører i USA. Nå har det revidert to kinesiske teknologiselskaper under press fra amerikanske myndigheter med henvisning til nasjonal sikkerhet. Men DJIs revisjon ble bestilt og betalt av selskapet selv, noe som skiller den fra en full gjennomgang under føderalt tilsyn.

For DJI gir revisjonsresultatene et argument mot restriksjonene, men de vil neppe fullstendig løse politiske og regulatoriske spørsmål. Selskapet har allerede argumentert i retten for at FCCs handlinger bryter med den amerikanske grunnloven. I april ble det rapportert om tilbakekalling av tillatelser for 14 eksisterende produkter og manglende mulighet til å lansere 25 planlagte enheter. I denne sammenhengen har eksporten av sivile droner fra Kina til USA allerede falt med 60–70 prosent år-over-år siden desember, ifølge Nikkei Asia.