Brytyjska Marynarka odłączyła kamery drona. Oprogramowanie wysyłało dane do Chin

To miał być nowoczesny bezzałogowy system obserwacyjny dla Royal Marines. Zamiast problemów z konstrukcją czy zasięgiem pojawiło się coś znacznie bardziej niepokojącego: brytyjskie Ministerstwo Obrony odkryło, że podsystem kamer wykorzystywany na bezzałogowej platformie K3 Scout komunikował się z serwerem znajdującym się w Chinach.

W reakcji na wykrycie nietypowej komunikacji internetowej resort zdecydował o odizolowaniu kamer od sieci. Według brytyjskiego Ministerstwa Obrony przeprowadzone dochodzenie nie wykazało dowodów na przejęcie danych ani systemów resortu. Sam fakt odkrycia oprogramowania na sprzęcie wykorzystywanym przez siły zbrojne wywołał jednak poważne pytania dotyczące kontroli nad komponentami pochodzącymi od zewnętrznych dostawców.

Problem odkryto podczas kontroli bezpieczeństwa

K3 Scout należy do bezzałogowej floty Royal Marines. System został rozmieszczony w marcu jako część programu o wartości około 12 mln funtów. Platformy zostały pozyskane przez Kraken Technology Group, która przy realizacji projektu korzystała również z produktów dostarczanych przez inne przedsiębiorstwa.

To właśnie jeden z takich komponentów zwrócił uwagę podczas rutynowej kontroli cyberbezpieczeństwa.

Ministerstwo Obrony Wielkiej Brytanii potwierdziło wykrycie problemu dotyczącego podsystemu bezzałogowego statku nawodnego Kraken. Analiza wykazała komunikację urządzenia z infrastrukturą znajdującą się w Chinach. W konsekwencji brytyjskie służby zdecydowały się całkowicie odłączyć internetową łączność kamer.

Nie chodziło więc o klasyczny atak hakerski przeprowadzony już po wdrożeniu systemu. Problem znajdował się w samym wyposażeniu platformy, a dokładniej w jego oprogramowaniu sprzętowym.

Kamera miała kontakt z chińskim serwerem

Wykorzystanie gotowych komponentów elektronicznych jest dziś powszechne także w zaawansowanych systemach wojskowych. Kamery, moduły komunikacyjne, układy sterujące czy urządzenia sieciowe mogą pochodzić od wyspecjalizowanych dostawców, którzy niekoniecznie produkują cały system na potrzeby konkretnej armii.

Taki model pozwala skrócić czas projektowania i ograniczyć koszty. Jednocześnie pojawia się problem kontroli nad tym, co dokładnie znajduje się w urządzeniu.

W przypadku K3 Scout sprawa stała się szczególnie delikatna, ponieważ wykryty moduł był elementem platformy wykorzystywanej przez brytyjskie siły zbrojne. Oprogramowanie sprzętowe urządzenia utrzymywało komunikację z infrastrukturą w Chinach, mimo że sprzęt został wdrożony do zastosowań wojskowych w Wielkiej Brytanii.

Ministerstwo Obrony nie ujawniło wszystkich szczegółów technicznych dotyczących tego połączenia. Nie wiadomo więc publicznie, jakie dokładnie informacje były przesyłane, jak często następowała komunikacja ani jakie dane mogły być potencjalnie dostępne dla urządzenia.

Londyn: nie znaleziono dowodów na wyciek danych

Brytyjski resort obrony podkreśla, że wykrycie połączenia nie jest równoznaczne z potwierdzeniem kradzieży informacji. Przeprowadzone dochodzenie nie wykazało dowodów na dostęp osób trzecich do danych lub systemów Ministerstwa Obrony. Nie stwierdzono również naruszenia wewnętrznych systemów ani potwierdzonej transmisji informacji resortu na zewnątrz.

To istotne rozróżnienie. Sam fakt, że urządzenie kontaktowało się z serwerem w określonym kraju, nie dowodzi jeszcze, że dane wojskowe zostały wyprowadzone z brytyjskiej infrastruktury. Z perspektywy bezpieczeństwa wystarczy jednak sama możliwość niekontrolowanej komunikacji, aby taki komponent wymagał dokładnego sprawdzenia.

Dlatego reakcja była zdecydowana. Zamiast pozostawić urządzenie podłączone do sieci i obserwować jego zachowanie, brytyjskie Ministerstwo Obrony odizolowało problematyczny podsystem.

Jeden komponent wystarczył, aby pojawił się poważny problem

Incydent K3 Scout pokazuje, jak trudne może być zabezpieczenie współczesnego sprzętu wojskowego. Nawet jeśli główny system został zaprojektowany i zbudowany zgodnie z wymaganiami armii, pojedynczy moduł dostarczony przez zewnętrznego producenta może posiadać własne oprogramowanie, komunikację sieciową i zależności, których użytkownik końcowy nie kontroluje w pełni.

Szczególnie istotne jest tutaj oprogramowanie sprzętowe. W przeciwieństwie do aplikacji instalowanych przez użytkownika często działa ono głęboko w urządzeniu i może odpowiadać za podstawowe funkcje komunikacyjne.

Jeżeli komponent został zaprojektowany z możliwością kontaktowania się z zewnętrzną infrastrukturą, samo podłączenie go do wojskowego systemu może stworzyć dodatkowy kanał komunikacji.

Właśnie dlatego pochodzenie sprzętu staje się równie istotne jak jego parametry techniczne. Certyfikat producenta nie zawsze wystarcza, jeśli później okazuje się, że urządzenie zawiera oprogramowanie komunikujące się z infrastrukturą, której obecności użytkownik się nie spodziewał.

Dla wojska problem zaczyna się już na etapie zakupów

Sprawa K3 Scout może mieć konsekwencje wykraczające poza jeden model bezzałogowej platformy. Armie coraz częściej wykorzystują elektronikę produkowaną przez globalny łańcuch dostaw, a dokładne prześledzenie każdego układu, modułu i fragmentu oprogramowania staje się trudnym zadaniem.

W przypadku zwykłego urządzenia konsumenckiego nietypowe połączenie z serwerem może być irytującą funkcją albo problemem prywatności. W systemie wojskowym sytuacja wygląda zupełnie inaczej.

Niebezpieczny komponent nie musi nawet zostać wykorzystany do przeprowadzenia skutecznego ataku. Sama możliwość zdalnej komunikacji może być wystarczającym powodem do wycofania urządzenia z określonego zastosowania.

Dlatego przyszłe procedury zakupowe mogą wymagać znacznie dokładniejszego sprawdzania zarówno producentów, jak i dostawców poszczególnych podzespołów. Kontrola będzie musiała obejmować nie tylko fizyczne pochodzenie urządzeń, ale również oprogramowanie, firmware oraz sposób komunikowania się sprzętu z siecią.

K3 Scout pozostaje sprawny, ale z ważnym ograniczeniem

Najważniejszą konsekwencją wykrycia problemu jest odizolowanie podsystemu kamer. Nie oznacza to automatycznie wycofania całej platformy K3 Scout.

Incydent pokazuje jednak, że nawet nowoczesny system wojskowy może wymagać modyfikacji już po dostarczeniu do użytkownika. Inżynierowie muszą znaleźć sposób na usunięcie problematycznego oprogramowania, zastąpienie komponentu albo trwałe odcięcie jego komunikacji z zewnętrzną siecią.

Dla operatorów wojskowych taki scenariusz jest szczególnie niewygodny. Każda dodatkowa poprawka sprzętu oznacza testy, certyfikację i konieczność ponownego sprawdzenia bezpieczeństwa całej konfiguracji.

Tym razem brytyjskie służby wykryły problem podczas kontroli. Według dostępnych informacji nie doszło do potwierdzonego przejęcia danych ani włamania do systemów Ministerstwa Obrony. Pozostaje jednak ważne pytanie: ile podobnych urządzeń znajduje się już w wojskowych magazynach i na jakim etapie ich eksploatacji można wykryć podobne zachowanie?