Premiér Robert Fico zľahčoval obavy z ruských radarových kamier na slovenských cestách a pýtal sa, ako môžu dve zariadenia ohroziť bezpečnosť štátu. Detailná analýza Národného bezpečnostného úradu (NBÚ) však ukazuje podstatne vážnejší obraz. V skúmanej kamere našiel nezdokumentovaný komunikačný modul, predvolených 12 telefónnych čísel s ruskými predvoľbami, možnosti vzdialeného prístupu aj závažné chyby v softvéri.
Kauza sa začala začiatkom augusta, keď vzniklo podozrenie, že zariadenia NERO R-ONE deklarované ako cyperský výrobok sú v skutočnosti technologicky späté s ruskou firmou Simicon. Ministerstvo vnútra tvrdenia najskôr odmietalo, neskôr však zariadenia stiahlo a požiadalo NBÚ o preverenie. Analýza následne potvrdila, že hardvér CORDON PRO.M aj jeho základný softvér pochádzajú od ruského výrobcu.
Fico sa pýtal, čo to „preboha“ riešime
Premiér však bezpečnostný rozmer kauzy nepovažuje za vážny. Argumentoval tým, že ide iba o dve kamery určené na sledovanie dopravy a možnosti špionážnych satelitov sú neporovnateľne väčšie. Pýtal sa tiež, ako môže bezpečnosť Slovenska ohroziť situácia, keď sa niekto pozerá na ulicu a sleduje počet prechádzajúcich áut.
Práve analýza NBÚ však ukazuje, prečo problém nespočíva iba v obraze bežnej cesty. Po odstránení krytu našli experti druhý, v dokumentácii neuvedený 3G/4G modul so slotom na SIM kartu. Kamera pritom obsahovala zoznam 12 predvolených telefónnych čísel s ruskými predvoľbami +78 a +79, ktoré neboli viditeľné v bežnom administračnom rozhraní.
Kamera vedela prijímať príkazy
Pri prijatí SMS zariadenie overovalo, či správa prišla z povoleného čísla, a následne dokázalo spracovať príkazy napríklad na reštart, volanie alebo zmenu režimu pripojenia. Telefonické spojenie mohlo spustiť mechanizmus umožňujúci vzdialený prístup ku kamere. NBÚ našiel aj účet root s heslom napevno uloženým vo firmvéri a prednastavené VPN spojenia so zabudovanými heslami.
Problém bol aj v samotnom softvéri. NBÚ zistil, že kamera nepoužívala deklarovaný certifikovaný merací softvér spôsobom, ktorý naznačovala dokumentácia. V zdrojovom kóde zároveň identifikoval až 260 miest s potenciálne nebezpečným vykonávaním príkazov. Pri prítomnosti zraniteľnosti by mohli umožniť útočníkovi spustiť vlastný kód s plnými administrátorskými právami.
Samostatne vyšlo najavo, že kamera rovnakého typu umiestnená v areáli dodávateľa v Bratislave bola už v marci dostupná cez verejnú IP adresu. Vysokokvalitný živý obraz z Plynárenskej ulice bolo možné nájsť cez službu Shodan bez dodatočného overenia. Soitron tvrdí, že v tom čase zariadenie spravoval jeho subdodávateľ, nebolo pripojené k ministerstvu ani do internej siete firmy a od 29. mája už fungovalo v izolovanom prostredí.
Ministerstvo tvrdí, že k úniku nedošlo
Ministerstvo vnútra zdôrazňuje, že dve testovacie zariadenia neboli zapojené do ostrej prevádzky, nerozdávali pokuty a neboli pripojené k chráneným databázam rezortu. Podľa ministerstva preto nie je dôkaz, že by v tomto prípade došlo k sledovaniu občanov alebo zneužitiu štátnych dát. Dodávateľ Soitron zároveň odmieta tvrdenie, že by niekto kamery počas jeho testovania ovládal na diaľku.
To však nemení samotný bezpečnostný nález. NBÚ zariadenia oficiálne označil za významnú kybernetickú hrozbu a vyzval organizácie, ktoré podobnú techniku používajú, aby ju vo svojej infraštruktúre identifikovali a kontaktovali úrad. Progresívne Slovensko preto podáva trestné oznámenie a žiada odvolanie ministra vnútra. Kauzu nových radarov na TECHBYTE priebežne sledujeme.
