米国の調査会社がDJI製ドローンのセキュリティを検証

米国の調査会社がDJI製ドローンのセキュリティを検証

サイバーセキュリティの調査会社Kivu社(本社:米国パロアルト、CEO:キム・ニケッテ)は、DJI製ドローンのデータセキュリティに対する調査結果を公開した。(田中亘)


DJIの4製品を独自に購入して検証

 Kivu社は、DJI Spark、DJI Mavic、DJI Phantom 4 Pro、DJI Inspire 2の4製品を独自に購入して、AppleおよびAndroidストアからGO 4モバイルアプリをインストールして、複数のフォレンジック分析手法を用いて、ドローンとGO 4アプリで収集されるデータのセキュリティ分析を行った。調査にあたり、Kivuはドローンの操作中に交信される全データをキャプチャした。また、GO 4アプリがインターネットに送信するデータも収集した。さらに、Kivuのスタッフは中国のDJI本社に出向いて、エンジニアやマネージャーなどのチームと数日間を過ごして、製品の情報セキュリティについて意見を交換したという。DJIは、KivuにGO 4のコードリポジトリへのアクセスを提供し、ドローンと飛行制御システムにより収集されるデータの分析にも協力した。こうした分析環境のもと、Kivuは以下の項目において、データの安全性について検証した。

・データの保存と送信
・オーディオ
・飛行ログ
・診断情報と「飛行禁止領域」データ
・個人の識別情報
・DJIサーバー
・顔認証
・クラウドストレージのセキュリティ監査

公開されたKivuの調査レポート

画像や音声に飛行ログは任意にアップロードを抑制できる

 DJIのドローンが飛行中に撮影したビデオや写真と、モバイルデバイスのマイクで録音したオーディオに関しては、ユーザーが意図的に録画や撮影を実行し、SkyPixelサーバーへのアップロードを指定しない限りは、データが外部に流出する危険性は低いと評価された。
 一方で飛行ログに関しては、GPSの位置情報をはじめとして、ジンバルの情報に写真とビデオのキャプチャ時間、飛行中に撮影された画像やビデオのサムネイル、機体の詳細データ、さらには飛行時間やバッテリ情報などが収集される。これらの飛行ログは、DJIのドローンやGO 4アプリが、自動的にアップロードすることはない。ただし、ユーザーがGO 4アプリで「同期」を設定すると、米国の場合は国内のサーバーにアップロードされるという。

GO 4アプリのデータセキュリティを検証

診断情報と飛行禁止領域は自動的に送信される

 初期設定では、機体の診断データや位置確認データは、自動的にDJIのサーバーに送信される。Kivuの報告書によれば、GO 4アプリで送信を無効にするか、インターネット接続を切断することで、それらの送信は防止できるという。さらに、Android用の飛行制御アプリでは、すべてのインターネットへのデータ送信を防止するローカルデータモード(LDM)が含まれている。
 一方で、製品のアクティベーションを行うときに入力する個人のメールアドレスや電話番号は、実際にはDJIが検証していなかった。そのため、その内容がドローンの飛行に影響を与えることはない。個人データは、GO 4アプリの特定の領域に保存され、通常はアクセスできないので、安全性は高いという。
 ちなみに、GO 4アプリがインターネット経由で送信するデータは、すべてDJI社のサーバーに保存される。米国では、SkyPixel向けのデータ以外は、すべてAmazon Web Services(AWS)でホストされる。Kivuによれば、AWSはクラス最高のセキュリティ制御を備えているという。DJIは、安全なAWSへのアクセスコントロールを実施していて、情報への不正アクセスの危険性は低いと評価されている。
 そして、顔認識に関しては、特定の個人を識別するような機能は使われていないという。また、クラウドストレージのセキュリティ監査においてKivuは、DJIが法律で要求されている通知を守っていると確認した。

 一連の調査を通して、KivuはGO 4アプリとAWSサーバーにおいて、既知のソフトウェアの脆弱性を特定した。その結果、DJIではKivuと協力して脆弱性の修復に対応したという。

レポートの公開先
https://www.dropbox.com/s/u221xdd3w0tkde6/Kivu%20summary%20of%20DJI%20report.pdf?dl=0

この記事のライター

関連する投稿


DJIと農薬業界最大手のシンジェンタジャパンが「農業ドローンと農薬の安心・安全」の実現に向けて業務提携へ覚書締結

DJIと農薬業界最大手のシンジェンタジャパンが「農業ドローンと農薬の安心・安全」の実現に向けて業務提携へ覚書締結

DJI JAPAN 株式会社(東京都港区)と、 シンジェンタジャパン株式会社(東京都中央区)は、日本の農業の持続的な発展に両社で貢献していくことを念頭に、業務提携に向けて覚書を 締結したと発表した。


DJI 、ドローン空撮データを収集、可視化、分析する「DJI TERRA」を発表

DJI 、ドローン空撮データを収集、可視化、分析する「DJI TERRA」を発表

3Dモデリングとマッピングソフトウェアが、ドローン空撮データをデジタル資産に変換し、分析と意思決定をサポート。


SkyPixel、2018 年 空撮コンテスト「Aerial Storytelling Contest」受賞者発表

SkyPixel、2018 年 空撮コンテスト「Aerial Storytelling Contest」受賞者発表

空撮写真コミュニティのSkyPixel は、2018 年の「Aerial Storytelling Contest」の受賞者を発表した。


【Japan Drone 2019】パートナーとの協業を前面に押し出すDJI Japan

【Japan Drone 2019】パートナーとの協業を前面に押し出すDJI Japan

DJI Japanの展示コーナーでは、メインのプレゼンテーション用ステージの他に、ソリューションや販売パートナーごとに小さな展示スペースを設けて、協力各社の説明員が来客の対応にあたっていた。


DJI JAPANが国際航業が提携、高精度 UAV 測量のための「Phantom 4 RTK写真測量講習プロ グラム」提供開始

DJI JAPANが国際航業が提携、高精度 UAV 測量のための「Phantom 4 RTK写真測量講習プロ グラム」提供開始

DJI JAPAN (東京都港区)と do (東京都千代田区)は、国際航業と業務提携し、高精度 UAV 測量を実 現するための講習プログラムを開発し、全国の提携講習団体が3 月から受講者の募集 を開始 する。


最新の投稿


NTTグループが関連企業15社と共同でドローンとAIを活用したスマート営農に取り組む

NTTグループが関連企業15社と共同でドローンとAIを活用したスマート営農に取り組む

NTT グループ、ふくしま未来農業協同組合、株式会社エンルート、日本農薬株式会社は、準天頂衛星みちびきに対応したドローンやNTT グループのAI 技術を活用しスマート営農ソリューションの実証実験を行う。


【国際ドローン展】産業用ドローンと周辺機器の新たな潮流が続々と

【国際ドローン展】産業用ドローンと周辺機器の新たな潮流が続々と

幕張メッセで開催された2019年の国際ドローン展では、産業用ドローンの新たな潮流を示す数多くの機体や周辺機器が展示された。


都築電気、空飛ぶクルマの開発プロジェクト「CARTIVATOR」への協賛を決定

都築電気、空飛ぶクルマの開発プロジェクト「CARTIVATOR」への協賛を決定

都築電気株式会社(東京都港区)は、 空飛ぶクルマの開発を進める有志団体CARTIVATORへの協賛を決定。


テラドローン、テラドローンインド、インド工科大学(IIT)ハイデラバード校がインドにおけるドローン業界強化を目的とした三者間協定

テラドローン、テラドローンインド、インド工科大学(IIT)ハイデラバード校がインドにおけるドローン業界強化を目的とした三者間協定

テラドローン(東京都)は、テラドローンインドとインド工科大学(IIT)ハイデラバード校がインドにおけるドローン業界強化を目的とした三者間協定を締結し、インド工科大学ハイデラバード校に、世界初のドローンソリューション専門機関「センター・オブ・エクセレンス」を共同で設立した。


【国際ドローン展】カスタマイズ開発ドローンでビジネスを広げる日本サーキット

【国際ドローン展】カスタマイズ開発ドローンでビジネスを広げる日本サーキット

都内でDJI ARENAなどのトレーニング施設を運営している日本サーキット(神奈川県)は、DJI SDKを使ったカスタマイズ開発やオリジナルドローンを展示していた。