Kiểm toán độc lập: Không có cơ sở an ninh để hạn chế DJI ở Mỹ

Kiểm toán độc lập: không tìm thấy cơ sở an ninh để cấm DJI tại Mỹ

Một đánh giá an ninh độc lập do công ty an ninh mạng có trụ sở tại Mỹ OnDefend thực hiện vừa công bố kết luận rằng không có căn cứ an ninh rõ ràng để ngăn chặn việc nhập khẩu và bán sản phẩm DJI tại Hoa Kỳ. Báo cáo này kiểm tra hai hệ thống chính: DJI Air 3S (với bộ điều khiển RC 2) và DJI Matrice 4E (với bộ điều khiển RC Plus 2 Enterprise), áp dụng thử nghiệm tấn công nâng cao trên phần mềm, phần cứng và miền tần số vô tuyến.

Tổng quan về khung kiểm tra và tính độc lập

DJI đã cho phép OnDefend tiến hành đánh giá nhưng các thiết bị dùng trong thử nghiệm không phải do DJI cung cấp. OnDefend mua mẫu Air 3S từ các kênh bán lẻ tại thị trường Mỹ mà không thông báo thời điểm hoặc địa điểm mua, còn các mẫu Matrice 4E được lấy từ kho đại lý hiện có. Điều này nhằm đảm bảo rằng “tất cả thiết bị thử nghiệm phản ánh phân phối tiêu chuẩn trên thị trường Mỹ”, theo DJI.

OnDefend là một đội ngũ bảo mật tấn công (offensive security) gồm chuyên gia từng phục vụ trong quân đội và cơ quan chính phủ Mỹ, ứng dụng các kỹ thuật như phân tích silicon-level, chụp ảnh AI-driven để phát hiện đường truyền không được phép, linh kiện giả, và sửa đổi phần cứng không khai báo. Những phương pháp này thường đi sâu hơn các đánh giá bảo mật phần cứng/phần mềm tiêu chuẩn.

Kết luận chính của báo cáo

Báo cáo kết luận rằng với hai mẫu sản phẩm được kiểm tra: không có các phát hiện mức độ critical, high hoặc medium. Cụ thể:

• Không tìm thấy bằng chứng về việc truyền dữ liệu ra ngoài lãnh thổ Hoa Kỳ.
• Tất cả các kết nối từ ứng dụng điều khiển bay được giải quyết tới hạ tầng đặt tại Hoa Kỳ trong khoảng thời gian kiểm tra.
• Không phát hiện backdoor hay cơ chế truy cập từ xa trái phép.
• Không có lỗ hổng cho phép jailbreak hoặc chỉnh sửa firmware thành công trên các bộ điều khiển đã thử nghiệm.
• Không phát hiện phát xạ tần số vô tuyến bất thường; các tín hiệu không được báo cáo trước đó được giải thích là sản phẩm phụ của phương pháp sinh tín hiệu, không phải kênh bí mật.
• Không có dấu hiệu can thiệp chuỗi cung ứng hoặc sửa đổi phần cứng trái phép.

OnDefend chỉ ra rằng cần tiếp tục kiểm thử liên tục đối với firmware, cập nhật phần mềm và xác minh tính toàn vẹn phần cứng/chíp để duy trì đảm bảo an ninh theo thời gian.

Những phát hiện cấp thấp và quan sát

Các hệ thống thử nghiệm ghi nhận 10 phát hiện mức độ low-risk và 13 quan sát (observations). Những vấn đề này chủ yếu liên quan tới cấu hình an toàn ứng dụng, quản lý phiên (session handling) và gia cố giao tiếp không dây (wireless hardening). OnDefend và DJI đã phối hợp thảo luận về các phương án khắc phục và DJI cho biết đang xử lý các điểm này trong các bản cập nhật phần mềm tiếp theo.

Bối cảnh chính sách: tại sao điều này quan trọng?

DJI bị đưa vào FCC Covered List vào tháng 12/2025, dẫn đến việc nhiều sản phẩm không được cơ quan quản lý liên bang chấp thuận nhập khẩu hay phân phối tại Mỹ. Tuy nhiên, quyết định này không đi kèm với một lỗ hổng an ninh cụ thể được công bố rộng rãi. DJI kháng cáo quyết định và nhiều bên yêu cầu một đánh giá kỹ thuật minh bạch dựa trên bằng chứng.

Trong bối cảnh đó, DJI đã chủ động thuê kiểm toán độc lập và công bố kết quả nhằm thách thức cơ sở kỹ thuật của các biện pháp hạn chế. Việc này có ý nghĩa lớn đối với các nhà làm phim, nhiếp ảnh gia hàng không, doanh nghiệp dịch vụ bay chụp ảnh khảo sát, và cả chuỗi cung ứng thiết bị nhiếp ảnh-video (kể cả dòng Osmo Pocket bị ảnh hưởng do không được FCC chấp thuận).

Phân tích chuyên sâu: ý nghĩa với cộng đồng nhiếp ảnh, quay phim và drone

Việc một kiểm toán độc lập, được thực hiện trên thiết bị mua lẻ, không phát hiện rủi ro an ninh nghiêm trọng có hai ý nghĩa chính:

• Về mặt kỹ thuật, các mẫu Air 3S và Matrice 4E trong thị trường Mỹ không cho thấy cơ chế tự động khai thác dữ liệu hay điều khiển trái phép từ xa trong phạm vi đánh giá.
• Về chính sách, kết quả này là luận cứ để DJI và các bên ủng hộ đưa bằng chứng kỹ thuật vào quá trình xem xét lại quyết định của FCC và các bước pháp lý tiếp theo.

Tuy nhiên, một báo cáo không phải là “bảo đảm vĩnh viễn”. Thiết bị nhúng và hệ thống điều khiển bay liên tục cập nhật firmware, thay đổi dịch vụ đám mây và tích hợp tính năng mới. Do đó, ngành vẫn cần quy trình đánh giá bảo mật liên tục, minh bạch và độc lập, cùng tiêu chuẩn công khai để duy trì niềm tin.

Hướng dẫn thực tế cho người dùng DJI (nhiếp ảnh gia, quay phim, doanh nghiệp)

Dưới đây là các bước chuyên môn hoá mà người dùng thiết bị bay nên áp dụng để giảm thiểu rủi ro an ninh và bảo vệ dữ liệu tác nghiệp:

• Cập nhật firmware thường xuyên: Luôn kiểm tra và áp dụng các bản vá firmware chính thức từ DJI. Bản vá có thể sửa lỗi bảo mật ứng dụng, điều khiển bay và quản lý dữ liệu.
• Quản lý ứng dụng điều khiển (DJI Fly/RC/Nest): Sử dụng phiên bản ứng dụng chính thức, hạn chế cấp quyền không cần thiết (truy cập danh bạ, vị trí), và kiểm tra cấu hình phiên (session timeout, xác thực 2FA nếu có).
• Bảo mật dữ liệu ảnh/telemetry: Thực hiện mã hóa lưu trữ nếu có thể, và tránh truyền file không cần thiết qua mạng công cộng. Sao lưu dữ liệu quan trọng ngoại tuyến trước khi chia sẻ.
• Kiểm soát truy cập vật lý: Bảo quản bộ điều khiển, thẻ nhớ và các phụ kiện quan trọng; tránh để thiết bị rơi vào tay người không đáng tin cậy.
• Giám sát RF và can nhiễu: Trong môi trường nhạy cảm, sử dụng thiết bị kiểm tra phổ (spectrum analyzer) để phát hiện phát xạ bất thường hoặc can nhiễu chủ động.
• Chuỗi cung ứng và mua hàng: Mua thiết bị từ đại lý ủy quyền để giảm nguy cơ nhận hàng bị can thiệp. Lưu hồ sơ mua bán để minh bạch hóa nguồn gốc thiết bị.
• Tuân thủ quy định địa phương: Luôn kiểm tra luật bay drone, giới hạn mật độ bay ở khu vực công hoặc quân sự, và yêu cầu giấy phép nếu phục vụ mục đích thương mại.

Ý nghĩa pháp lý và chính sách

Kết quả kiểm toán không tự động làm thay đổi trạng thái pháp lý của DJI tại Mỹ. Quyết định về Covered List và các biện pháp hành chính phụ thuộc vào quá trình xem xét của FCC, Bộ An ninh Nội địa và các thủ tục tố tụng liên quan. Tuy nhiên, báo cáo là tài liệu có trọng lượng khi trở thành bằng chứng kỹ thuật trong các thủ tục kháng cáo hoặc tranh luận công khai.

Đối với nhà hoạch định chính sách, bài học là cần tiêu chuẩn đánh giá kỹ thuật độc lập, minh bạch và được cập nhật thường xuyên để cân bằng giữa an ninh quốc gia và lợi ích kinh tế – kỹ thuật của cộng đồng sáng tạo nội dung và doanh nghiệp dịch vụ.

Phản ứng của DJI và lời kêu gọi với FCC

DJI cho biết đây là “đánh giá an ninh độc lập toàn diện nhất” từng thực hiện trên sản phẩm của họ, và họ kêu gọi FCC xem xét kỹ lưỡng các kết luận này như một phần trong quá trình kháng cáo. Công ty nhấn mạnh rằng những quan ngại dẫn tới lệnh hạn chế chưa được hỗ trợ bởi bằng chứng kỹ thuật trong báo cáo này.

Song song với các thủ tục pháp lý, DJI cam kết tiếp tục phối hợp với đơn vị kiểm tra độc lập để khắc phục các phát hiện mức thấp và gia tăng minh bạch trong thực hành dữ liệu và cập nhật phần mềm.

Những điều cần theo dõi tiếp theo

• Quyết định của FCC sau khi xem xét các bình luận công khai và hồ sơ kháng cáo: FCC đang tiếp nhận ý kiến công chúng với số lượng lớn hơn nhiều so với các vụ xử lý trước đây.
• Các bản cập nhật phần mềm/firmware của DJI giải quyết các phát hiện mức thấp và quan sát được nêu trong báo cáo.
• Đánh giá độc lập bổ sung: Việc tiến hành các kiểm tra trên nhiều mẫu phần cứng và chu kỳ firmware khác nhau sẽ tăng tính thuyết phục của kết luận.

FAQ — Câu hỏi thường gặp

1. Hiện tại người dùng vẫn có thể mua DJI ở Mỹ không?

Nếu thiết bị nằm trong danh sách bị hạn chế của FCC, một số sản phẩm có thể không được nhập khẩu hoặc phê duyệt để phân phối chính thức. Tuy nhiên, tình trạng pháp lý có thể thay đổi tùy theo kết quả kháng cáo và quyết định của FCC. Người dùng và doanh nghiệp nên kiểm tra tình trạng pháp lý của từng mẫu cụ thể trước khi mua.

2. Báo cáo có nghĩa là sản phẩm DJI hoàn toàn an toàn không?

Báo cáo cho thấy không có lỗ hổng nghiêm trọng với hai mẫu được thử nghiệm trong khung thời gian đánh giá, nhưng an ninh là quá trình liên tục. Thiết bị có thể thay đổi qua cập nhật firmware, cấu hình đám mây hoặc tích hợp phần cứng mới. Do đó, tiếp tục cập nhật, đánh giá định kỳ và thực hành an ninh tốt vẫn cần thiết.

3. Người làm phim/chụp ảnh cần làm gì ngay bây giờ?

Hãy đảm bảo bạn cập nhật firmware và ứng dụng, lưu trữ/ mã hóa dữ liệu quan trọng, mua từ nguồn ủy quyền và duy trì hồ sơ mua hàng. Đối với các hợp đồng nhạy cảm, cân nhắc thảo luận rõ ràng về trách nhiệm bảo mật dữ liệu trong hợp đồng với khách hàng.

4. Làm sao để xác minh thiết bị chưa bị can thiệp về phần cứng?

Việc kiểm tra toàn diện về phần cứng đòi hỏi công cụ chuyên sâu (ví dụ: phân tích silicon-level). Ở cấp độ người dùng, kiểm tra tổng quát gồm: xác minh IMEI/serial với nhà sản xuất, kiểm tra seal/dấu hiệu mở máy, và mua hàng từ đại lý ủy quyền. Các doanh nghiệp có nhu cầu cao về bảo mật nên thuê dịch vụ kiểm tra phần cứng chuyên nghiệp.

5. Kết quả này có ảnh hưởng tới bảo hiểm thiết bị/hoạt động bay?

Bảo hiểm thiết bị và trách nhiệm phụ thuộc vào điều khoản hợp đồng của nhà bảo hiểm. Một đánh giá an ninh độc lập có thể được sử dụng làm bằng chứng giảm thiểu rủi ro, nhưng quyết định bảo hiểm còn phụ thuộc vào chính sách nội bộ của từng công ty bảo hiểm.

Kết luận và lời khuyên của dancamera.vn

Báo cáo của OnDefend mang tính chất quan trọng trong cuộc tranh luận giữa an ninh quốc gia và quyền tiếp cận công nghệ cho cộng đồng sáng tạo nội dung và doanh nghiệp. Với tư cách là cộng đồng nhiếp ảnh và quay phim, dancamera.vn khuyến nghị người dùng:

• Theo dõi cập nhật pháp lý từ FCC và thông tin chính thức từ nhà sản xuất.
• Ưu tiên việc cập nhật firmware, bảo mật dữ liệu và mua sắm từ nguồn tin cậy.
• Đối với doanh nghiệp, cân nhắc đánh giá an ninh độc lập hoặc yêu cầu nhà cung cấp cung cấp hồ sơ chứng nhận bảo mật trước khi triển khai thiết bị vào dự án nhạy cảm.

Để cập nhật tin tức, phân tích chuyên sâu về thiết bị nhiếp ảnh, drone và lời khuyên mua sắm, truy cập dancamera.vn — nơi chúng tôi tổng hợp thông tin kỹ thuật, đánh giá thực tế và hướng dẫn vận hành thiết bị cho nhiếp ảnh gia, nhà làm phim và doanh nghiệp dịch vụ bay.

Muốn đọc thêm hoặc cần tư vấn mua/drone/gear?

Vào dancamera.vn để xem đánh giá chi tiết, so sánh sản phẩm, và nhận tư vấn về cấu hình phù hợp cho nhu cầu chụp ảnh hàng không, quay phim thương mại và ứng dụng khảo sát bằng drone.

Ghi chú: Bài viết này tóm tắt và phân tích nội dung báo cáo an ninh do OnDefend thực hiện trên hai mẫu DJI, và cung cấp góc nhìn chuyên môn cho độc giả quan tâm tới an ninh thiết bị, quy định và tác động tới hoạt động nhiếp ảnh/quay phim.