Vážne riziko v štátnych kamerách: NBÚ v nich našiel 12 ruských čísel, na ovládnutie systému mohla stačiť SMS

Kamery, ktoré má štát používať na kontrolu dopravy, by mali byť predovšetkým bezpečné. V tomto prípade však analýza odhalila vlastnosti, ktoré vyvolávajú vážne otázky o tom, ako mohli zariadenia prejsť kontrolami a dostať sa do testovacej prevádzky.

Kamery NERO R-ONE, ktoré Ministerstvo vnútra SR testovalo na kontrolu dopravy vo verejných priestoroch, obsahujú viacero závažných bezpečnostných nedostatkov. Analýza Národného bezpečnostného úradu (NBÚ) odhalila okrem iného nezdokumentovaný modul 3G/4G, zabudované telefónne čísla s ruskými prefixmi či možnosť vzdialeného administrátorského prístupu.

Redakciu Startitup o zisteniach informoval Slovensko.Digital prostredníctvom tlačovej správy. Organizácia ich označuje za vážne zlyhanie kontrolných mechanizmov štátu a upozorňuje, že zariadenia s takýmito vlastnosťami by podľa nej nemali prejsť ani do testovacej prevádzky štátneho systému.

Redakcia Startitup v súvislosti so zisteniami NBÚ oslovila Ministerstvo vnútra SR. Po obdržaní odpovede budeme článok aktualizovať.

Kamera má komunikačný kanál, ktorý štátna sieť nevidí

Jedným z najzávažnejších zistení je nezdokumentovaný modul 3G/4G. Ten vytvára samostatný komunikačný kanál nezávislý od siete, do ktorej je kamera pripojená. Bežné bezpečnostné prvky, ako firewall či segmentácia siete, ho preto podľa analýzy nedokážu zachytiť ani zablokovať.

V skúmanej vzorke pritom nebola vložená SIM karta. Samotný slot je však podľa Slovensko.Digital fyzicky ľahko dostupný. SIM kartu by tak mohol do zariadenia vložiť človek s fyzickým prístupom ku kamere bez toho, aby sa pritom musel dostať do jej záberu.

NBÚ zároveň identifikoval ďalšie komunikačné možnosti zariadenia. Kamera aktívne vysiela vlastnú Wi-Fi sieť určenú na lokálne pripojenie.

V zariadení sa nachádza 12 čísel s ruskými prefixmi

Analýza odhalila aj súbor dvanástich konkrétnych telefónnych čísel zabudovaných v zariadení. Majú prefixy +78 a +79, ktoré patria Ruskej federácii.

Samotná prítomnosť týchto čísel podľa dostupných informácií automaticky neznamená, že kamera komunikovala s Ruskom. Zistenie je však problematické v kombinácii s ďalšími vlastnosťami zariadenia.

Ak je do kamery vložená SIM karta, prijatie SMS správy z jedného z týchto čísel môže pri znalosti vstavaného hesla umožniť získanie plného administrátorského prístupu ku kamere. Zároveň môže vzniknúť sieťový prístup ku kamere a k sieťam, ku ktorým je pripojená.

Problémom je aj nakonfigurovaný RTSP stream. Ten podľa analýzy sprístupňuje obraz z kamery bez hesla komukoľvek, kto má sieťové pripojenie k zariadeniu.

Bezpečnostné chyby sú aj priamo v softvéri

NBÚ v zariadení identifikoval viacero ďalších softvérových zraniteľností. Kamera umožňuje prihlásenie do zabudovaného administrátorského účtu „root“, a to pri fyzickom prístupe ku kamere aj prostredníctvom siete cez protokoly Telnet a SSH.

Nejde pritom iba o prístup do používateľského rozhrania kamery. Účet umožňuje prístup priamo do operačného systému zariadenia a tým aj jeho úplné ovládanie.

Ďalším problémom je, že účet root má vo firmvéri napevno definované heslo. To podľa Slovensko.Digital predstavuje významné bezpečnostné riziko, najmä ak sa zariadenie používa v systéme štátnej inštitúcie.

„Zariadenia s takýmito vlastnosťami by sa nemali dostať ani len do testovacej prevádzky žiadneho štátneho systému,“ uviedol eGov expert Peter Hanečák zo Slovensko.Digital. Za mimoriadne znepokojujúci považuje práve nezdokumentovaný 3G/4G modul, ktorý podľa jeho slov predstavuje komunikačný kanál, ktorý štát nevidí a nedokáže kontrolovať.

Slovensko.Digital žiada audit kamerových systémov

Slovensko.Digital odporúča ministerstvu vnútra preveriť, ako mohlo dôjsť k tomu, že sa zariadenia s uvedenými vlastnosťami dostali do testovacej prevádzky.

Organizácia zároveň navrhuje vykonať audit všetkých existujúcich kamerových systémov ministerstva. Cieľom má byť overenie, či sa v nich nenachádzajú podobné bezpečnostné nedostatky.

Podľa Slovensko.Digital má téma aj výrazný rozmer ochrany súkromia. Kamerové systémy totiž môžu predstavovať zásah do súkromia občanov a polícia pri ich používaní disponuje osobitnými právomocami. O to dôležitejšie je podľa organizácie zabezpečiť, aby technológie používané na tento účel spĺňali primerané bezpečnostné štandardy.

Koniec spolupráce so Soitronom aj personálne zmeny na ministerstve

O kontroverzii okolo dopravných radarových kamier sme informovali už v predchádzajúcom článku. Vtedy sa ukázalo, že analýza NBÚ potvrdila prítomnosť ruských komponentov v zariadeniach, ktoré by v prípade nasadenia do ostrej prevádzky mohli predstavovať bezpečnostné riziko.

Minister vnútra Matúš Šutaj Eštok v súvislosti s prípadom uviedol, že spoločnosť Soitron už na projekte nebude spolupracovať. Zároveň oznámil, že na ministerstve dôjde k vyvodeniu personálnej zodpovednosti.

Rezort podľa jeho vtedajšieho vyjadrenia považoval za problém najmä to, že bol oklamaný. Minister zároveň uviedol, že nie je jeho úlohou posudzovať, či spoločnosť Soitron o problematických komponentoch vedela, alebo bola sama uvedená do omylu svojimi subdodávateľmi. Zmluvný vzťah mal totiž podľa ministra rezort uzatvorený práve so spoločnosťou Soitron.

Samotný projekt pritom nemal skončiť. Infraštruktúra bola podľa predstaviteľov ministerstva vybudovaná a otestovaná a rezort plánoval pokračovať s iným dodávateľom. Personálna zodpovednosť sa mala týkať riaditeľa odboru aplikácií a projektového manažéra, ktorý mal projekt na starosti.

Čítaj viac z kategórie: Zo Slovenska

Zdroje: TS/ Slovensko.Digital, startitup.sk