Politie sluit niet uit dat data van DJI-drones op Chinese servers belandt
De politie kan niet uitsluiten dat data van DJI-drones die het gebruikt op Chinese servers belandt, zo laat het weten tegenover Investico. Het platform voor onderzoeksjournalistiek deed voor Trouw, De Groene Amsterdammer en EenVandaag onderzoek naar het gebruik van DJI-drones door de Nederlandse politie.
De drones worden echter ook ingezet door de NS en ProRail voor bijvoorbeeld, spoorinspecties. Bedrijven in de Rotterdamse en Amsterdamse havens gebruiken ze voor inspecties en onderhoud. En Rijkswaterstaat zet de toestellen in om de Deltawerken en andere bruggen te inspecteren.
Volgens Investico maakte de politie alleen dit jaar al meer dan duizend keer gebruik van drones voor opsporing en het controleren van de openbare orde. Inmiddels zou politie over meer dan honderd DJI-drones beschikken. Als Chinees bedrijf is DJI wettelijk verplicht om data te delen met de Chinese overheid. Vanwege deze reden zet de Nederlandse Defensie geen DJI-drones in voor operationeel gebruik.
"De data zijn vaak niet afgeschermd, en staan meestal op servers in China. De eigenaren kunnen worden verplicht om data te leveren aan de Chinese overheid", aldus een woordvoerder. Ook de politie is zich hiervan bewust en maakt geen gebruik van de drones bij "afgeschermde operaties". Tegelijkertijd zegt de politie dat het niet kan uitsluiten dat dronedata op Chinese servers terechtkomt. "We zijn ons bewust van dit risico. Tot nu toe hebben we geen datalek vastgesteld", merkt een woordvoerder op.
DJI ontwierp een speciale drone voor overheden die extra dataveiligheid zou moeten bieden. De politie maakt hiervan geen gebruik. Al sinds 2016 wordt er met de drones van het Chinese bedrijf gevlogen. Dit jaar is er begonnen met een Data Protection Impact Assessment (DPIA). Met een DPIA worden de risico's in kaart gebracht en maatregelen om die te mitigeren. Zolang die nog gaande is kan de politie er verder niets over zeggen. DJI laat in een reactie weten dat de drones veilig zijn en gebruikers geen data hoeven te delen (pdf).
Hoe dan ook te zot voor woorden dat die data 'ergens' op een server land - die je niet zelf volledig onder beheer hebt.
https://nos.nl/artikel/2399774-chinese-drones-van-rijkswaterstaat-en-politie-mogelijk-onveilig
https://www.nporadio1.nl/uitzendingen/nos-radio-1-journaal/8f37740e-82cc-43a6-b38d-9a9ddaf07255/2021-09-30-nos-radio-1-journaal
Waarom is de daarvoor bedoelde gov. variant niet afgenomen(toch al niet te vertrouwen?), en dit hadden ze onmogelijk kunnen voorzien? of is het gewoon fuck it de kop in het zand gestoken.
En wat gebruik defensie hier voor dan? schroef die rail gun er vanaf, en gebruik dat spul dan.
Zet anders zelf wat op met het Nederlands bedrijf leven, en maak het open source project zodat instanties kunnen weten waar ze aan toe zijn, en daar zelf op kunnen voortborduren om dit soort gezeik op voorhand te voorkomen.
Dus stop er mee, i.p.v bewust van de risico's te wezen, en er vrolijk door mee te gaan.
Ondertussen gewoon er mee blijven werken, want: ja we hebben nog niks kunnen vaststellen bla bla aka kop in het zand.
Dit is wel even een behoorlijke misser voor degene(n) die de functionele eisen heeft opgesteld, voor de aankoop van die drones. Maar dat weten we niet zeker. Er is in ieder geval iets misgegaan maar het kan ook op een andere wijze zijn gebeurt.
Maar stel dat we even aannemen (ik haat het maar goed) dat er aan dat security aspect (data classificatie en riskmanagement) niet was gedacht...
Is dit aspect überhaupt erkend bij de aankoop van producten bij de politie (ik bedoel dit opbouwend)
Want zo niet, is dit wel even een leerpuntje met alle respect. Maar dat kan ik mij niet voorstellen.
Solution?:
Zijn ze niet te herprogrammeren? Of bepaalde functies hardware matig uit te schakelen?
En wat mijn voorganger post... open source zou ook mijn voorkeur zijn inzake dit soort producten opdat we meer controle houden. Want nu is de kans om dit goed van het begin af aan goed op te pakken ook al zijn we slecht begonnen.
Werk samen met security officers van meerdere instanties om de functionele specs op te stellen .want als je het goed wilt doen komt er er heel wat bij kijken. En laat dit reviewen. En dan denk ik direct aan data classificatie, risk management en procedures en de CIA triad en AAAAA etc... En focus je niet alleen op de security aspecten van de software, procedures maar ook de hardware.
Voordat we straks een leger drones hebben in een botnet, over genomen door partij X met vijandige intenties (zonder dat we er bewust van zijn).
En voor de praktische technische invulling wellicht in samenwerking met b.v. de TU Delft? (let op single point of failure)
Al met al weer een kostbare aangelegenheid opgeleverd via belastinggeld van de burger.
Door Anoniem 11-03-2021 14:47 :
Hard-coded backdoors. Vanuit "security" perspectief onbegrijpelijk, maar ze bestaan echt:
"Researcher says millions of IoT and surveillance devices that use HiSilicon chips have a trivial backdoor"
https://www.techspot.com/news/83909-researcher-millions-iot-surveillance-devices-use-hisilicon-chips.html
"Full disclosure: 0day vulnerability (backdoor) in firmware for Xiaongmai-based DVRs, NVRs and IP cameras"
https://habr.com/en/post/486856/
"Millions of security cameras, baby monitors and “smart” doorbells are open to hijack – and no solution is currently available."
https://threatpost.com/iot-devices-vulnerable-takeover/144167/
Ik gebruik zelf de combinatie RaspberryPi Zero + cameramodule, dat lijkt voorlopig safe.
https://eenvandaag.assets.avrotros.nl/user_upload/PDF/Reactie%20DJI%20-%20drones.pdf
Uit de verwijzing naar de Engelstalige tekst en uitleg van de fabrikant op DJI.com over de Local Data Mode valt op te maken dat de “kill switch” in werkelijkheid in de DJI 'command and control mobile app' zit gebouwd. Dan is er dus slechts sprake van een softwarematige beveiliging -- met alle risico's van dien, want het is immers geen echte schakelaar.
https://www.platform-investico.nl/artikel/politie-gebruikt-omstreden-chinese-drones-voor-opsporing/
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
