Словакия нашла SMS-backdoor в камерах контроля скорости: русское железо под знаком ЕС
Когда Национальное агентство безопасности Словакии, известное как NBÚ, решило физически разобрать одну из новых камер фиксации скорости страны, оно ожидало инспектировать европейское дорожное устройство. Вместо этого аналитики обнаружили железо производства Simicon из Санкт-Петербурга, проданное под другим именем и снабжённое скрытым механизмом, который мог выдать shell- и сетевой доступ любому, кто отправит SMS с одного из двенадцати конкретных российских номеров. Находка заморозила финансируемый ЕС развёртывание 279 камер на 30 миллионов евро и вызвало предупреждение о безопасности по трём отдельным линейкам продуктов по всей Европе.
Переклеенная камера с недокументированными радиомодулями
Речь об устройстве, установленном в рамках развёртывания NERO R-ONE Словакии, продвигаемого SODASUS - поставщиком, зарегистрированным на Кипре. Когда техники NBÚ вскрыли его, нутро рассказало другую историю: это был Simicon CORDON PRO.M, линейка, собранная в Санкт-Петербурге в России. По данным Niebezpiecznik, внутри были два сотовых модема 3G/4G, но лишь один был где-либо задокументирован в спецификациях или интерфейсе управления. Второй модем был невидим для администраторов, давая контролирующему тихий внеполосный канал прямо в устройство. Именно такая недокументированная связность - то, что ищут аудиторы цепочек поставок, и именно то, что редко проверяют, когда в накладной закупки значится европейский поставщик. Физический зазор между компанией, продающей устройство, и фабрикой, его собирающей, - это место, где доверие тихо эродирует. Бэкдор: двенадцать номеров и восьмизначный код
Самая тревожная находка была спрятана в логике прошивки, а не в железе. Камера держала скрытый список телефонных номеров администраторов, который никогда не появлялся в панели управления: девять мобильных номеров, зарегистрированных в Санкт-Петербурге, два городских того же города и один мобильный из Кемерова в Сибири. SMS с любого номера из этого списка, за которым следует восьмизначный код аутентификации, открывало удалённый доступ к shell устройства и окружающей его сети. Поскольку триггер приходит по сотовой сети через недокументированный модем, он обходит файрволы, VPN и любой периметр, который оператор мог настроить. Как отмечает Security Affairs, механизм мог годами дремать, тихо принимая команды, что делает последующую форензику крайне затруднительной. Никому не нужно эксплуатировать баг повреждения памяти или угадывать пароль; достаточно знать правильный номер для SMS. Развёртывание на паузе, Secure Boot выключен
Реакция NBÚ была быстрой. Развёртывание всех 279 камер финансируемого ЕС проекта приостановлено до инспекции, проблемные устройства деактивированы. Агентство раскрыло ещё два факта, усиливающих беспокойство: Secure Boot на устройствах был отключён, то есть загрузочная цепочка не могла криптографически проверить, что прошивка, загружаемая при старте, не подменена, а видеопотоки камер шли в эфир без должной защиты. Камера, наблюдающая за общественными дорогами, сама по себе разведактив; неаутентифицированные потоки означают, что третьи лица могли смотреть записи, предназначенные для дорожного надзора. Как сообщает Tom's Hardware, NBÚ выпустил предупреждение, покрывающее не только словацкое развёртывание, но три связанные линейки: SODASUS NERO R-ONE, распространяемый с Кипра, собственную серию Cordon от Simicon и хорватские NEROline на той же платформе Cordon. Любого оператора техники этих семейств фактически предупредили: считать себя скомпрометированным, пока не доказано иное. Урок о цепочке поставок, спрятанный на виду
Этот инцидент - хрестоматийный пример того, почему происхождение железа значит не меньше, чем обновления ПО. Камеры были куплены по легальным каналам, оприходованы европейской компанией и развёрнуты на публичные деньги. Ни разу документы не раскрыли, что ключевой продукт происходит от производителя страны, чьи спецслужбы европейские правительства активно отражают. Переклейка брендов обходит закупочный скрининг, опирающийся на одни названия. Для операторов любой подключённой инфраструктуры практические выводы конкретны. Требуйте полного раскрытия компонентов и документированных радиоинтерфейсов до покупки. Проверяйте, что функции целостности загрузки вроде Secure Boot действительно включены, а не просто доступны. Считайте любой недокументированный модем, последовательный порт или беспроводной интерфейс дисквалифицирующим, пока он не объяснён. И сверяйте панели управления с реальностью: если устройство принимает команды, которых его собственный интерфейс не показывает, вы не полностью контролируете своё железо. Почему это важно за пределами дорожного надзора
Камера скорости звучит тривиально на фоне энергосетей или телеком-коммутаторов, но архитектура идентична: embedded Linux, сотовая связь, постоянные интернет-каналы и размещение в физически доступных общественных местах. Скомпрометированный парк придорожных устройств даёт плацдарм в муниципальные сети, платформу для наблюдения за проезжающими машинами или просто доказательство, что критическая инфраструктура достижима по желанию. Вопрос на 30 миллионов евро, стоящий теперь перед Словакией: содержат ли другие устройства парка те же скрытые «жучки», и придёт ли ответ раньше, чем камеры выпишут следующий штраф. Железо, которое ты не можешь аудировать, - это железо, которое, возможно, уже контролирует кто-то другой. Эта история укрепляет принцип, к которому мы возвращаемся снова и снова: безопасность начинается с точного знания того, что работает на машинах, от которых ты зависишь, - тему, разобранную в нашем гайде о безопасности устройств до Tor.
