DJI – A ARTE da obfuscação

Artigo original ↗ Discussão no Hacker News ↗

O software Android fortemente obfuscado da DJI e a app de controlo disponível apenas por sideload levantam questões sobre privacidade do utilizador, segurança e motivações corporativas, especialmente dada a dominância da empresa em drones de consumo e as práticas relatadas de recolha de dados. Os comentadores debatem se a obfuscação serve sobretudo para proteção de PI ou algo mais preocupante, no contexto das proibições do governo dos EUA a drones fabricados na China e do uso militar crescente de UAVs baratos em conflitos como o da Ucrânia. Muitos consideram o hardware da DJI tecnicamente excelente, mas recomendam cautela com as suas apps e telemetria, especialmente em ambientes sensíveis ou governamentais.

Engenharia reversa e obfuscação

  • Comentadores discutem contramedidas anti-debugging e packers; técnicas gerais (por exemplo, baseadas em ptrace) são fáceis de pesquisar, mas os detalhes das proteções específicas da DJI são escassos.
  • Alguns lamentam que a maioria dos tutoriais de RE pare nas bases, enquanto writeups mais sérios passam por cima das partes difíceis de anti-análise.
  • O uso de obfuscação pesada pela DJI é visto por alguns como proteção padrão de PI, e por outros como hostil ao utilizador ou um sinal de alerta.
  • A mistura de obfuscação forte com crypto mais antiga (RC4, MD5) é apontada como tecnicamente estranha, embora possivelmente aceitável no contexto.
  • Pessoas relatam engenharia reversa anterior de protocolos de controladores DJI, formatos CAN/DUML e logs de drones; a DJI mais tarde reforçou a encriptação, bloqueando efetivamente a análise de logs por terceiros.

Distribuição da app Android e ausência na Play Store

  • A app de controlo para Android só está disponível por sideload, o que muitos consideram suspeito.
  • Foram apresentadas explicações:
    • Evitar revisão dupla da Apple/Google e burocracia de exportação/sanções.
    • A falta de cultura da Play Store na China; os engenheiros podem não lhe dar prioridade.
    • Necessidade de descarregar dinamicamente binários, o que pode violar regras da Play Store.
    • Desejo de manter proteções e tooling fora da revisão da Google e de alcance mais fácil.
  • Visão contrária: muitas apps chinesas conseguem chegar à Play Store, portanto evitar isso parece intencional.
  • Algumas organizações proibiram DJI devido a políticas de MDM contra sideloading.

Uso em guerra e contramedidas

  • Há uma discussão extensa sobre drones de consumo e DIY na guerra moderna (nomeadamente na Ucrânia):
    • Drones ao estilo DJI são amplamente usados para reconhecimento e observação de artilharia.
    • Drones FPV DIY “kamikaze” são preferidos para funções de ataque; muitas vezes combinados com observadores DJI em equipas hunter-killer.
  • Debate sobre eficácia vs. jamming:
    • Drones de consumo têm frequency hopping e ligações robustas, mas podem ser neutralizados por jamming amplo em princípio.
    • Outros observam que jammers de alta potência são visíveis, consomem muita energia e ainda não são amplamente eficazes na prática.
  • A questão entre muitos drones baratos e poucos drones militares endurecidos continua em aberto e depende do cenário.

Segurança, vigilância e privacidade de dados

  • Vários comentadores receiam que plataformas de vigilância produzidas na China possam exfiltrar dados sensíveis ou fornecer inteligência de campo de batalha.
  • Outros observam que os militares provavelmente reflasham firmware, fixam versões ou usam software personalizado para mitigar isso.
  • Um resumo detalhado de engenharia reversa:
    • As apps modernas da DJI tentam respeitar modos locais/“offline” e sincronização de logs configurável.
    • As apps antigas e a postura geral de infosec são fracas, incluindo grandes fugas de dados na cloud no passado e analytics de terceiros acidentalmente expostos.
    • Telemetria e logins obrigatórios permitem profiling comportamental extensivo; “telemetria suficientemente avançada é indistinguível de spyware”.
    • Recomendação: usar os controladores próprios da DJI offline em vez de telemóveis pessoais; assumir que todos os drones são rastreáveis e emitem IDs/beacons.
  • Outro utilizador devolveu um drone ao descobrir configuração obrigatória de conta e transmissão extensa de dados; pede-se drones open source.

Proibições governamentais e geopolítica

  • A DJI foi banida pelo DoD dos EUA e poderá ser banida em todas as agências federais dos EUA; uma visão é que o “jingoism” e a proteção da indústria doméstica são motores centrais.
  • A visão contrária enfatiza a história chinesa de espionagem eletrónica e argumenta que hardware de vigilância estrangeiro em funções sensíveis é um risco óbvio de segurança nacional.
  • Outros respondem que atores dos EUA (por exemplo, NSA, grandes plataformas) também são coletores agressivos de dados, pelo que as preocupações de segurança deveriam aplicar-se a eles igualmente; aparecem tanto perspetivas de “toda a gente é um mau ator” como de “banir tecnologia estrangeira em funções críticas”.

Ecossistemas abertos e recursos de aprendizagem

  • Alguns só adotariam drones com interfaces documentadas, abertas e comportamento mínimo de “phone home”; a DJI é reconhecida como deliberadamente fechada.
  • É feito um pedido por recursos avançados de aprendizagem de Java/bytecode/obfuscação; apenas uma série de curso é brevemente mencionada, sem que seja fornecido um catálogo consensual.