Euroopa Liidu toetusest rahastatud 30 miljoni eurose projekti raames paigaldas Slovakkia maanteedele 279 uhiuut NERO R-ONE nime kandvat kiiruskaamerat. Rõõm moodsa liikluskontrolli üle jäi aga üürikeseks, sest riigi julgeolekuteenistus NBU (Riiklik Julgeolekuamet) avastas seadmetest turvaauke. Tänaseks on kogu kaameravõrk teedelt maha võetud või välja lülitatud.
Kogu lugu meenutab külma sõja aegset spioonipõnevikku, mis on põimitud tänapäevase küberturbe komöödiaga. Uurimisel selgus, et Slovakkia teedele jõudnud NERO R-ONE kaamerad on tegelikult Peterburi ettevõtte Semicon toodetud Vene CORDON PRO.M seadmed, millele oli lihtsalt uus silt peale kleebitud, vahendab Tom's Hardware.
Seadmete teekond Slovakkiasse kulges mööda äärmiselt hämaraid radu. Partii soetati Küprosel registreeritud varifirma kaudu ning hangetel kasutati võltsitud sertifikaate. Kuigi populistliku peaministri Robert Fico valitsus lükkas esialgu opositsiooni hoiatused tagasi ja eitas seadmete idapoolset päritolu, sundis poliitiline surve julgeolekuteenistust asja siiski lähemalt uurima.
SMS-iga avanev tagauks ja paroolita otsepilt
Mis neis kaamerates siis täpsemalt peidus oli?
NBU analüüs tõi päevavalgele lausa uskumatu turvalisuse puudumise.
- SMS-iga juhitav tagauks: kaamerate püsivarasse oli sisse kirjutatud nimekiri Venemaa telefoninumbritest. Piisas vaid nendelt numbritelt saadetud lühisõnumist, et seade avaks käsurea ja täieliku võrguligipääsu (shell access).
- Otseülekanne igale huvilisele: kaamerate veebipõhine haldusliides oli jäetud täiesti paroolita. Igaüks, kes teadis või leidis seadme IP-aadressi, sai reaalajas vaadata Slovakkia maanteedel toimuvat.
- Kasutu turvakaitse: seadmete riistvaraline turvakäivitus (SecureBoot) ei toiminud, mis tähendab, et seadmes jooksvat tarkvara sai mugavalt manipuleerida ilma, et süsteem protestiks.
Kas ohus on ka teised riigid?
Slovakkia siseministeerium reageeris NBU raportile kiiresti ja lülitas kõik kõnealused kaamerad välja. Tulemuste lõplikuks kinnitamiseks kutsutakse kohale sõltumatu rahvusvaheline audiitor.
Ekspertide hinnangul ei pruugi see juhtum aga piirduda vaid Slovakkiaga. Kahtlustatakse, et sarnase päritoluga ja ümberbränditud kaamerasüsteeme võib olla paigaldatud ka Horvaatiasse ning mitmetesse teistesse Ida-Euroopa riikidesse.
