Słowackie służby bezpieczeństwa wykryły rosyjskie komponenty i poważne problemy z zabezpieczeniami w kamerach przeznaczonych do monitorowania ruchu drogowego. Urządzenia miały m.in. ukryty modem 3G, zapisane rosyjskie numery telefonów oraz mechanizmy pozwalające na zdalną komunikację. Sprawą zajmuje się już słowacki Urząd Ochrony Danych Osobowych.
Kamery zostały zakupione przez słowackie Ministerstwo Spraw Wewnętrznych do monitorowania ruchu drogowego. Urządzenia pozwalały na obserwowanie kilku pasów jednocześnie i wykonywanie zdjęć o jakości umożliwiającej identyfikację tablic rejestracyjnych, a nawet twarzy kierowców i pasażerów.
Wątpliwości dotyczące ich pochodzenia pojawiły się po analizach ekspertów i słowackiej opozycji. Urządzenia miały przypominać rosyjskie fotoradary produkowane przez firmę Simicon z Sankt Petersburga, mimo że formalnym dostawcą sprzętu była firma z Cypru.
Ukryty modem i rosyjskie numery
Znacznie poważniejsze okazały się jednak ustalenia dotyczące samego sprzętu. Według informacji opublikowanych przez Sekuraka słowackie analizy wykazały obecność ukrytego modemu 3G. W konfiguracji urządzenia zapisanych było również 12 rosyjskich numerów telefonów, z których kamera mogła odbierać wiadomości.
Według informacji przedstawionych przez słowacką opozycję dostęp do urządzenia miał być możliwy po wysłaniu wiadomości SMS na jeden z zapisanych numerów i podaniu odpowiedniego hasła. Jeden z komponentów odpowiedzialnych za komunikację nie został przy tym wykazany w dokumentacji sprzętu i miał być zamontowany w sposób utrudniający jego usunięcie bez ingerencji w działanie urządzenia.
To jednak nie koniec problemów. W urządzeniach znaleziono również zapisane na stałe hasło do konta root, do którego możliwe było logowanie przez SSH, oraz konfigurację OpenVPN. Oznaczało to możliwość zestawienia połączenia VPN z zewnętrznym serwerem, którego właściciela nie udało się jednoznacznie zidentyfikować.
Nie ma jednak dowodów, że mechanizmy te zostały faktycznie wykorzystane do przejęcia urządzeń lub wykradania danych.
Kamera dostępna z internetu
Jedną z kamer wcześniej odnalazł za pomocą wyszukiwarki Shodan słowacki badacz bezpieczeństwa Jan Neurocny. Urządzenie udostępniało w internecie obraz wysokiej jakości bez odpowiedniego zabezpieczenia dostępu.
Uwagę badacza zwrócił także certyfikat HTTPS. Zawierał określenie „Photo Radar”, a jako jego wystawca wskazana była firma Simicon z Sankt Petersburga.
Analiza dodatkowo wskazywała na podatności w oprogramowaniu urządzenia. Badacz nie potwierdził jednak, czy możliwe było ich praktyczne wykorzystanie.
Ślady prowadzące do Rosji pojawiły się również podczas sprawdzania firm uczestniczących w dostawie sprzętu. Formalnym producentem miała być cypryjska spółka Sodasus. Z homologacją urządzeń związana była natomiast niewielka firma z Bratysławy, której przedstawiciele wcześniej mieli związki z przedsiębiorstwem sprowadzającym na Słowację rosyjskie fotoradary Simicon.
Ministerstwo wycofuje urządzenia
Słowackie Ministerstwo Spraw Wewnętrznych początkowo zapewniało, że kamery nie stwarzają ryzyka przesyłania wrażliwych informacji poza granice kraju i komunikują się jedynie z systemami policji.
Po ujawnieniu wyników analiz minister Matúš Šutaj Eštok nakazał jednak usunięcie testowanych urządzeń i zakończenie współpracy z dostawcą. Resort twierdzi, że został przez firmę wprowadzony w błąd.
Sprawą zajmuje się także słowacki Urząd Ochrony Danych Osobowych, który wszczął postępowanie na podstawie ekspertyzy Krajowego Urzędu Bezpieczeństwa (NBU). Do czasu jego zakończenia urząd nie informuje, czy kontrolowane jest Ministerstwo Spraw Wewnętrznych, czy przedsiębiorstwo realizujące dostawę.
Słowacka opozycja zapowiedziała ponadto skierowanie sprawy do prokuratury i domaga się dymisji ministra spraw wewnętrznych. Resort podkreśla natomiast, że urządzenia były wykorzystywane testowo i nie miały dostępu do kluczowych systemów państwowych.
Problem większy niż kilka kamer
Sprawa słowackich fotoradarów pokazuje również problem bezpieczeństwa łańcucha dostaw urządzeń IoT wykorzystywanych przez administrację publiczną. W tym przypadku ryzyko nie wynikało jedynie z podatności oprogramowania, ale również z komponentów i konfiguracji, których zamawiający mógł nie być świadomy.
Urządzenie podłączone do sieci może posiadać własny modem komórkowy, zapisane dane dostępowe czy możliwość zestawienia tunelu VPN niezależnie od infrastruktury, do której zostało oficjalnie podłączone. Samo odseparowanie takiego sprzętu od głównych systemów nie musi więc eliminować wszystkich kanałów komunikacji.
W przypadku infrastruktury publicznej weryfikacja producenta, komponentów sprzętowych, konfiguracji urządzenia oraz całego łańcucha dostaw staje się dlatego równie istotna jak późniejsze zabezpieczenie jego dostępu do sieci.
Źródła: PAP/Bankier.pl, Sekurak, CyberDefence24
Czytaj także:
