Slowakije vindt SMS-backdoor in flitspalen: Russische hardware achter een EU-label
Toen de Slowaakse Nationale Veiligheidsautoriteit, bekend als NBÚ, besloot om een van de nieuwe flitscamera’s van het land fysiek uit elkaar te halen, verwachtte het een Europees verkeersapparaat te inspecteren. In plaats daarvan vonden analisten hardware van Simicon uit Sint-Petersburg, verkocht onder een andere naam en voorzien van een verborgen mechanisme dat shell- en netwerktoegang kon geven aan iedereen die een sms stuurde van een van twaalf specifieke Russische telefoonnummers. De vondst heeft een door de EU gefinancierde uitrol van 279 camera’s ter waarde van 30 miljoen euro bevroren en een beveiligingswaarschuwing geactiveerd die drie afzonderlijke productlijnen in heel Europa dekt.
Een omgedoopte camera met ongedocumenteerde radio’s
Het apparaat in kwestie werd geïnstalleerd als onderdeel van de NERO R-ONE-uitrol van Slowakije, vermarkt door SODASUS, een op Cyprus geregistreerde leverancier. Toen NBÚ-technici het openden, vertelde de binnenkant een ander verhaal: het was een Simicon CORDON PRO.M, een productlijn gebouwd in Sint-Petersburg, Rusland. Volgens de berichtgeving van Niebezpiecznik bevatte de unit twee 3G/4G mobiele modems, maar slechts één ervan was gedocumenteerd in de productspecificaties of beheerinterface. Het tweede modem was onzichtbaar voor beheerders en gaf wie het beheerste een stilletjes out-of-band kanaal direct naar het apparaat. Precies dat soort ongedocumenteerde connectiviteit is waar supply-chain-auditors naar zoeken - en precies wat zelden gecontroleerd wordt wanneer de inkoopadministratie een Europese leverancier op de factuur toont. De fysieke kloof tussen het bedrijf dat een apparaat verkoopt en de fabriek die het bouwt, is waar vertrouwen stilletjes erodeert. De backdoor: twaalf nummers en een achtcijferige code
De meest alarmerende vondst zat begraven in de firmwarelogica eerder dan in de hardware. De camera hield een verborgen lijst bij van beheertelefoonnummers die nooit verscheen in het beheerpaneel: negen mobiele nummers geregistreerd in Sint-Petersburg, twee vaste lijnen uit dezelfde stad en één mobiel nummer uit Kemerovo in Siberië. Een sms die arriveerde van een nummer op die lijst, gevolgd door een achtcijferige authenticatiecode, opende afstandstoegang tot de shell van het apparaat en het omliggende netwerk. Omdat de trigger via het mobiele netwerk door het ongedocumenteerde modem binnenkomt, omzeilt hij firewalls, VPN’s en elke andere perimetercontrole die een exploitant zou hebben geconfigureerd. Zoals Security Affairs opmerkt, kon het mechanisme plausibel jarenlang slapend blijven terwijl het stilletjes commando’s accepteerde, wat forensische detectie achteraf buitengewoon moeilijk maakt. Niemand hoeft een memory-corruption-bug te exploiteren of een wachtwoord te raden; je hoeft alleen het juiste nummer te kennen om een bericht naartoe te sturen. Uitrol gepauzeerd en Secure Boot uitgeschakeld
De reactie van NBÚ was snel. De uitrol van alle 279 camera’s van het door de EU gefinancierde project is gepauzeerd in afwachting van inspectie, en de betrokken units zijn gedeactiveerd. Het agentschap meldde ook twee extra bevindingen die de zorg vergroten: Secure Boot was op de apparaten uitgeschakeld, hun opstartketen kon cryptografisch dus niet verifiëren dat de firmware die bij het opstarten laadde niet was gemanipuleerd, en de live videostreams van de camera’s waren zonder adequate beveiliging blootgesteld. Een camera die openbare wegen in de gaten houdt, is zelf een inlichtingenactivum; ongeauthenticeerde streams betekenen dat derden mogelijk beelden konden bekijken die voor verkeershandhaving bedoeld zijn. Zoals Tom’s Hardware meldt, gaf NBÚ een waarschuwing uit die niet alleen de Slowaakse uitrol dekt maar drie verwante productlijnen: de SODASUS NERO R-ONE die vanaf Cyprus wordt verspreid, Simicons eigen Cordon-serie en Kroatië’s NEROline-units gebouwd op hetzelfde Cordon-platform. Elke exploitant met apparatuur uit deze families is in feite gewaarschuwd compromittering aan te nemen tot het tegendeel bewezen is. De supply-chainles die voor ieders ogen verborgen blijft
Dit incident is een schoolvoorbeeld van waarom hardwareherkomst evenveel telt als software-updates. De camera’s werden via legitieme kanalen gekocht, gefactureerd door een Europese entiteit en uitgerold met publieke middelen. Nergens onthulden de stukken dat het kernproduct afkomstig was van een fabrikant uit het land waarvan de inlichtingendiensten Europese regeringen actief afweren. Omdopen ondermijnt elke inkoopscreening die alleen op merknamen vertrouwt. Voor exploitanten van welke verbonden infrastructuur dan ook zijn de praktische lessen concreet. Eist volledige openbaarmaking van componenten en gedocumenteerde radiointerfaces vóór aankoop. Verifieer dat opstartintegriteitsfuncties zoals Secure Boot echt ingeschakeld zijn, niet slechts beschikbaar. Beschouw elke ongedocumenteerde modem, seriële poort of draadloze interface als diskwalificerend tot die uitgelegd is. En audit beheerpanelen tegen de werkelijkheid: als het apparaat commando’s accepteert die de eigen interface niet toont, beheer je je eigen hardware niet volledig. Waarom dit telt voorbij verkeershandhaving
Een flitscamera klinkt triviaal naast energienetten of telecomswitches, maar de architectuur is identiek: embedded Linux, mobiele connectiviteit, permanente internetverbindingen en plaatsing op fysiek toegankelijke openbare locaties. Een gecompromitteerd wagenpark wegkant-apparaten biedt springplanken naar gemeentelijke netwerken, een platform voor surveilleren van passerende voertuigen, of gewoon de demonstratie dat kritieke infrastructuur naar believen bereikbaar is. De vraag van 30 miljoen euro waar Slowakije nu voor staat, is of andere units in de vloot dezelfde verborgen luisjes bevatten - en of het antwoord komt vóórdat de camera’s ooit weer een boete uitschrijven. Hardware die je niet kunt auditen, is hardware die iemand anders misschien al beheert. Dit verhaal bekrachtigt een principe waar we steeds naar terugkeren: beveiliging begint met precies weten wat er draait op de machines waarmee je afhangt, een thema dat we verkend hebben in onze gids over apparaatbeveiliging vóór Tor.
