斯洛伐克在测速摄像头中发现 SMS 后门:欧盟标签背后的俄罗斯硬件
当斯洛伐克国家信息安全局(NBÚ)决定把该国一台新测速摄像头物理拆解时,它预期检查的是一台欧洲交通设备。分析师发现的却是圣彼得堡Simicon制造的硬件,以另一个名字出售,并装有隐藏机制:任何从十二个特定俄罗斯号码之一发送短信的人,都能获得对设备的 shell 与网络访问。这一发现冻结了欧盟资助的279台摄像头、价值3000万欧元的部署,并触发了覆盖全欧三条独立产品线的安全警报。
贴牌换标的摄像头与未记录的无线电模块
涉事设备是斯洛伐克NERO R-ONE部署的一部分,由注册在塞浦路斯的供应商SODASUS销售。NBÚ技术人员拆开它之后,内部讲述了另一个故事:这是一台Simicon CORDON PRO.M,一条在俄罗斯圣彼得堡制造的产品线。据Niebezpiecznik报道,该设备内含两个3G/4G蜂窝调制解调器,但只有一个在产品规格或管理界面中有任何记录。第二个调制解调器对管理员不可见,给控制它的人一条直通设备的静默带外信道。 这种未被记录的连接性正是供应链审计者要找的东西——也正是当采购文件上的发票只显示一家欧洲供应商时很少被检查的东西。销售设备的公司与制造设备的工厂之间的物理空隙,就是信任悄然流失之处。 后门:十二个号码与八位代码
最令人警惕的发现埋在固件逻辑而非硬件之中。摄像头维护一份从不出现在管理面板里的管理员电话号码隐藏名单:九个注册于圣彼得堡的手机号、同城的两个固话,以及西伯利亚克麦罗沃的一个手机号。来自名单中任一号码的短信,后接八位认证码,便会打开对设备 shell 及其周边网络的远程访问。 由于触发信号经由未记录的调制解调器从蜂窝网络到达,它会绕过防火墙、VPN 以及运营者可能配置的一切边界控制。正如Security Affairs所指出的,该机制可以合理地潜伏数年、静默接受指令,这让事后取证变得极其困难。没人需要利用内存破坏漏洞或猜密码;他们只需要知道该给哪个号码发短信。 部署暂停,Secure Boot被关闭
NBÚ的反应迅速。欧盟资助项目下全部279台摄像头的部署暂停待检,涉事设备已停用。该机构还披露了两项加深担忧的额外发现:设备上的Secure Boot被禁用,启动链因此无法以密码学方式验证开机加载的固件是否被篡改;摄像头的实时视频流也在缺乏充分保护的情况下暴露。一台监视公共道路的摄像头本身就是情报资产;未经验证的流意味着第三方可能查看本应用于交通执法的画面。 据Tom's Hardware报道,NBÚ发布的警报不只覆盖斯洛伐克部署,还包括三条相关产品线:从塞浦路斯分销的SODASUS NERO R-ONE、Simicon自己的Cordon系列,以及构建在同一Cordon平台上的克罗地亚NEROline设备。运行这些家族设备的运营者实际上都已被警告:在证明相反之前,应假定已被入侵。 藏在众目睽睽下的供应链教训
这起事件是教科书式的案例,说明硬件来源为何与软件更新同等重要。摄像头通过合法渠道购买,由一家欧洲实体开票,用公共资金部署。文件从头到尾没有揭示核心产品来自这样的国家:欧洲各国政府正在积极防御其情报机构。换牌贴标能够击穿任何只依赖品牌名的采购筛查。 对任何连接型基础设施的运营者而言,实操结论都很具体。采购前要求完整的组件披露和有记录的无线电接口。验证Secure Boot等启动完整性功能确实启用,而不仅仅是可用。在解释清楚之前,把任何未记录的调制解调器、串口或无线接口视为一票否决项。并把管理面板与现实对照审计:如果设备接受其自身界面不显示的指令,你就没有完全掌控自己的硬件。 为何这超越交通执法
测速摄像头在电网或电信交换机旁边听起来无足轻重,但架构完全相同:嵌入式Linux、蜂窝连接、常驻的互联网链路,以及放置在物理上可及的公共场所。一支被入侵的路边设备车队提供进入市政网络的据点、监控过往车辆的平台,或者仅仅是一种证明:关键基础设施可以随取随用。斯洛伐克如今面对的这道三千万欧元问题是:车队里是否还有别的设备藏着同样的监听器——而答案能否在摄像头开出下一张罚单之前到来。 你无法审计的硬件,就是可能已被别人掌控的硬件。这个故事强化了我们一再回到的原则:安全始于确切知道你所依赖的机器上运行着什么——我们在关于Tor之前设备安全的指南中探讨过这一主题。
