Словаччина знайшла SMS-чорний хід у камерах контролю швидкості: російська апаратура за європейським брендом
Коли Словацька національна агенція безпеки, відома як NBÚ, вирішила фізично розібрати одну з нових камер фіксації швидкості країни, вона очікувала інспектувати європейський дорожній пристрій. Натомість аналітики знайшли залізо виробництва Simicon із Санкт-Петербурга, продане під іншою назвою й обладнане прихованим механізмом, що міг дати shell- і мережевий доступ будь-кому, хто надішле SMS з одного з дванадцяти конкретних російських номерів. Знахідка заморозила фінансоване ЄС розгортання 279 камер на 30 мільйонів євро і запустила попередження про безпеку, що охоплює три окремі продуктові лінії по всій Європі.
Переклеймована камера з недокументованими радіомодулями
Пристрій, про який ідеться, був установлений у межах розгортання NERO R-ONE Словаччини, просуваного SODASUS - постачальником, зареєстрованим на Кіпрі. Коли техніки NBÚ розкрили його, нутро розповідало іншу історію: це був Simicon CORDON PRO.M, продуктова лінія, зібрана в Санкт-Петербурзі в Росії. За даними Niebezpiecznik, усередині було два стільникові модеми 3G/4G, але лише один із них був будь-де задокументований у специфікаціях продукту чи інтерфейсі керування. Другий модем був невидимий для адміністраторів, даючи тому, хто ним керував, тихий позасмуговий канал просто до пристрою. Саме така недокументована зв’язність - це те, що шукають аудитори ланцюгів постачання, і саме те, що рідко перевіряють, коли закупівельні документи показують європейського постачальника в накладній. Фізичний зазор між компанією, що продає пристрій, і фабрикою, що його збирає, - це місце, де довіра тихо еродує. Бекдор: дванадцять номерів і восьмизначний код
Найтривожніша знахідка була закопана в логіці прошивки, а не в залізі. Камера тримала прихований список адміністраторських номерів телефонів, що ніколи не з’являвся в панелі керування: дев’ять мобільних номерів, зареєстрованих у Санкт-Петербурзі, два стаціонарні з того самого міста і один мобільний із Кемерова в Сибіру. SMS з будь-якого номера з того списку, за яким слідував восьмизначний код автентифікації, відкривав віддалений доступ до shell пристрою та його оточуючої мережі. Оскільки тригер приходить по стільниковій мережі через недокументований модем, він обходить файрволи, VPN і будь-який периметр, який оператор міг налаштувати. Як зазначає Security Affairs, механізм міг правдоподібно роками дрімати, тихо приймаючи команди, що робить подальшу форензику надзвичайно важкою. Нікому не потрібно експлуатувати баг ушкодження пам’яті чи вгадувати пароль; досить знати правильний номер для SMS. Розгортання на паузі, Secure Boot вимкнено
Реакція NBÚ була швидкою. Розгортання всіх 279 камер проєкту, фінансованого ЄС, призупинено до інспекції, проблемні пристрої деактивовано. Агенція також розкрила два додаткові факти, що поглиблюють тривогу: Secure Boot на пристроях був вимкнений, тобто ланцюг завантаження не міг криптографічно перевірити, що прошивка, що вантажиться на старті, не підмінена, а відеопотоки з камер ішли без належного захисту. Камера, що спостерігає за публічними дорогами, сама по собі розвідактив; неаутентифіковані потоки означають, що треті особи могли переглядати записи, призначені для дорожнього нагляду. Як повідомляє Tom’s Hardware, NBÚ випустив попередження, що охоплює не лише словацьке розгортання, а три пов’язані продуктові лінії: SODASUS NERO R-ONE, що поширюється з Кіпру, власну серію Cordon від Simicon і хорватські NEROline на тій самій платформі Cordon. Кожного оператора техніки цих родин фактично попередили: вважати себе скомпрометованим, доки не доведено протилежного. Урок про ланцюг постачання, схований на видноті
Цей інцидент - хрестоматійний приклад того, чому походження заліза важить не менш за оновлення ПЗ. Камери купували легальними каналами, рахували через європейську компанію та розгортали на публічні гроші. Жодного разу документи не розкрили, що ключовий продукт походить від виробника країни, спецслужби якої європейські уряди активно відбивають. Переклеймування обходить будь-який закупівельний скринінг, що спирається на самі бренди. Для операторів будь-якої під’єднаної інфраструктури практичні висновки конкретні. Вимагайте повного розкриття компонентів і задокументованих радіоінтерфейсів до купівлі. Перевіряйте, що функції цілісності завантаження на кшталт Secure Boot справді ввімкнені, а не просто доступні. Вважайте будь-який недокументований модем, послідовний порт чи бездротовий інтерфейс дискваліфікуючим, доки його не пояснено. І звіряйте панелі керування з реальністю: якщо пристрій приймає команди, яких власний інтерфейс не показує, ви не повністю контролюєте власне залізо. Чому це важливо поза дорожнім наглядом
Камера швидкості звучить тривіально поруч із енергомережами чи телеком-комутаторами, але архітектура ідентична: embedded Linux, стільниковий зв’язок, постійні інтернет-канали й розміщення у фізично доступних публічних місцях. Скомпрометований парк придорожніх пристроїв дає плацдарм у муніципальні мережі, платформу для спостереження за проїжджими машинами або просто доказ, що критична інфраструктура досяжна на розсуд. Питання на 30 мільйонів євро, що тепер стоїть перед Словаччиною: чи містять інші пристрої парку ті самі приховані «жучки» - і чи прийде відповідь раніше, ніж камери випишуть наступний штраф. Залізо, яке ти не можеш аудирувати, - це залізо, яке, можливо, вже контролює хтось інший. Ця історія зміцнює принцип, до якого ми повертаємось знову і знову: безпека починається з точного знання того, що працює на машинах, від яких ти залежиш, - тему, розібрану в нашому гайді про безпеку пристроїв до Tor.
