Onderzoek wijst uit: drones van DJI spelen geen gevoelige informatie door

Gebruikers van drones van het Chinese merk DJI hoeven niet bang te zijn dat er via de DJI Go-app gevoelige informatie wordt doorgestuurd naar servers in China. Dat blijkt uit een onafhankelijk onderzoek dat werd uitgevoerd door het Amerikaanse consultancybureau Kivu Consulting. 

Informatieveiligheid

Eind vorig jaar maakte het Amerikaanse ministerie van defensie bekend geen apparatuur meer van DJI te gebruiken vanwege de vrees dat er via de apparatuur en software mogelijk gevoelige informatie naar de Chinese overheid zou kunnen lekken, via servers van DJI. Daar bovenop kwamen kritische rapporten van beveiligingsonderzoekers waaruit zou blijken dat het bedrijf haar informatiebeveiliging niet goed op orde had. 

Maar volgens het recent gepubliceerde onderzoeksrapport is er geen sprake van dat informatie zoals foto’s, video’s of flight logs tegen de wens van de gebruiker in worden doorgespeeld naar DJI. Om de onafhankelijkheid van het onderzoek te bewaken werden de drones bij verschillende leveranciers besteld en werden de apps direct vanuit openbare app stores betrokken. 

Persoonlijke gegevens

Volgens Kivu Consulting worden opnamen en flight logs niet automatisch naar DJI verzonden, tenzij de gebruiker daar uitdrukkelijk toestemming voor geeft, bijvoorbeeld door foto’s en video’s vanuit DJI Go 4 naar SkyPixel te uploaden. Flight logs worden in principe alleen op de drone en in de DJI Go-app opgeslagen. Alleen bij het synchroniseren worden flight logs geupload, maar niet naar Chinese servers.

Ook is er geen sprake van dat gebruikers per se hun persoonlijke gegevens moeten afstaan. Alhoewel de DJI Go-app alleen werkt indien men ingelogd is met een DJI account kan er voor het aanmaken van dat account een niet-bestaand emailadres ingevoerd worden. DJI controleert niet of dat adres daadwerkelijk werkt en derhalve kan men desgewenst anoniem gebruik maken van de apparatuur van DJI. 

Gezichtsherkenning en beveiligingslekken

Ook de nieuwste functies zoals gezichtsherkenning – DJI noemt dat FaceAware – zorgen niet voor beveiligingsproblemen. De drones van DJI kunnen geen individuele gezichten herkennen en er wordt ook geen onderscheid gemaakt tussen gezichten van mensen die in beeld komen. 

Volgens Kivu Consulting heeft DJI verder op een correctie manier actie ondernemen op eerder gemelde beveiligslekken. Alhoewel het adviesbureau nog een aantal zwakke plekken identificeerde in de beveiliging van de diverse systemen heeft DJI volgens het bureau direct actie ondernomen en zijn de betreffende kwetsbaarheden inmiddels gedicht.