Alarm na Słowacji. Znaleźli rosyjski backdoor w fotoradarach

Słowackie służby bezpieczeństwa wykryły poważne problemy w fotoradarach NERO R-ONE. Analiza wykazała obecność nieudokumentowanego mechanizmu zdalnego dostępu powiązanego z rosyjskimi numerami telefonów. Urządzenia mogą odbierać komendy przez SMS, a ich oprogramowanie pozwala na znacznie większą ingerencję zdalną, niż wynikało z dokumentacji.

Sprawa jest szczególnie kłopotliwa dla słowackich władz, ponieważ kamery zostały kupione bez przetargu od cypryjskiej firmy Sodasus. Według ustaleń mediów przedsiębiorstwo miało posługiwać się fałszywymi certyfikatami.

Rosyjskie numery ukryte w fotoradarach

Analizę NERO R-ONE przeprowadziła słowacka Narodowa Agencja Bezpieczeństwa. Badacze znaleźli w urządzeniach nieudokumentowany moduł powiązany z 12 rosyjskimi numerami telefonicznymi. Część z nich ma być przypisana do regionów Petersburga i Kemerowa.

Mechanizm został zakwalifikowany jako potencjalny backdoor. Według ustaleń ekspertów odpowiednio spreparowane wiadomości SMS mogły zostać wykorzystane do przesyłania poleceń do urządzenia.

Peter Bator, słowacki ekspert ds. cyberbezpieczeństwa, ocenił w rozmowie z lokalnymi mediami, że połączenie dostępu do mechanizmu z odpowiednim hasłem może pozwolić na zdalne przejęcie kontroli nad kamerą.

Problem nie ogranicza się do samej możliwości wykonywania poleceń. NBU wykryła również rozbieżności między deklarowaną a rzeczywistą konfiguracją interfejsów komunikacyjnych oraz oprogramowania odpowiedzialnego za przetwarzanie pomiarów.

Fotoradary miały mieć inne pochodzenie

Historia urządzeń stała się jeszcze bardziej kontrowersyjna po analizie ich konstrukcji. Według technicznego raportu NBU NERO R-ONE jest zmodyfikowaną wersją rosyjskiego fotoradaru Cordon.Pro-M produkowanego w Petersburgu.

Słowackie Ministerstwo Spraw Wewnętrznych początkowo zaprzeczało rosyjskiemu pochodzeniu kamer i przekonywało, że urządzenia nie stwarzają zagrożenia dla danych. Późniejsze ustalenia NBU wykazały jednak szereg problemów z bezpieczeństwem sprzętu i jego oprogramowania.

Szczególną uwagę zwrócono na zdalne mechanizmy zarządzania, których konfiguracja nie była w pełni dostępna dla użytkownika. Analiza wykazała również słabe zabezpieczenia oprogramowania oraz problemy z panelem administracyjnym.

Według raportu kamery mogą dodatkowo udostępniać transmisję na żywo przy znajomości ich adresu IP i odpowiednich danych dostępowych.

Zakup bez przetargu i zatrzymana instalacja

NBU zainteresowała się sprawą po publikacjach słowackich mediów dotyczących zakupu urządzeń. Fotoradary trafiły do kraju za pośrednictwem Sodasus, cypryjskiej firmy, której działalność i dokumentacja wzbudziły zastrzeżenia.

Po ujawnieniu wyników analizy instalacja kolejnych urządzeń została wstrzymana. Opozycja domaga się również politycznych konsekwencji i wskazuje ministra spraw wewnętrznych Matúša Šutaja Eštoka jako osobę odpowiedzialną za nadzór nad sprawą.

Minister przyznał, że istnieją zagrożenia związane z kamerami. Premier Robert Fico prezentuje znacznie bardziej uspokajające stanowisko i twierdzi, że NERO R-ONE nie stanowią zagrożenia dla Słowacji.

Fotoradar może być czymś więcej niż kamerą

Odkrycie jest istotne nie tylko ze względu na prywatność kierowców. Systemy automatycznego pomiaru prędkości działają w przestrzeni publicznej i mogą gromadzić informacje o pojazdach, lokalizacji oraz czasie przejazdu.

Vladimír Bednár, analityk bezpieczeństwa cytowany przez słowackie SME, zwrócił uwagę na jeszcze jeden aspekt. Rosja wykorzystywała dostęp do kamer monitorujących i systemów pomiaru prędkości na Ukrainie do obserwowania sytuacji na drogach oraz oceny skutków ataków.

W przypadku Słowacji nie ma dowodu, że NERO R-ONE zostały wykorzystane do operacji szpiegowskiej. Sama obecność nieudokumentowanych mechanizmów komunikacji, rosyjskich numerów i możliwości zdalnego zarządzania wystarczyła jednak, by instalacja została zatrzymana do czasu wyjaśnienia sprawy.