NOWOŚĆ! Szkolenie AI w pracy admina
Konferencja Mega Sekurak Hacking Party w Krakowie – 26-27 października!
Backdoory w rosyjskich fotoradarach na Słowacji
Wg słowackich analiz sprzęt posiadał ukryty modem 3G oraz zapisane 12 rosyjskich numerów, z których mógł przyjmować komunikaty (mogące dać potencjalnie zdalny dostęp). Na dodatek zahardcodowane hasło na roota (logowanie dostępne przez SSH) i również zahardcodowana konfiguracja OpenVPN (prawdopodobnie urządzenie może łączyć się VPNem do zewnętrznego, niezidentyfikowanego serwera).
Na początku szło gładko. Fotoradary zostały zakupione bez przetargu od cypryjskiej firmy. Jednocześnie pewien słowacki badacz – Jan Neurocny – szukał sobie na Shodanie kamerek dostępnych do internetu. Znalazł pewną kamerę w Bratysławie, która streamowała wysokiej jakości obraz zupełnie anonimowo do Internetu (samo to było niepokojące – bo można było rozpoznawać ze streamu tablice rejestracyjne czy twarze kierowców).
Zaciekawiło go jednak coś innego – “certyfikat HTTPS-owy” posiadał w nazwie “Photo Radar”, a wystawiła go firma Semicon z Sankt Petersburga…
Wg relacji chodzi dokładnie o ten sprzęt powyżej: Cordon.Pro-M (foto ze strony producenta: Simicon).
Naucz się budować własnego agenta AI. Bezpłatne szkolenie od sekuraka
Shodan wykrył do tego masę podatności w oprogramowaniu urządzenia (choć badacz nie potwierdzał, że da się je wykorzystać). W każdym razie wygląda na to, że firma cypryjska przemalowała trochę fotoradar rosyjski i dostarczyła go bez przetargu. W trakcie całej procedury wdrożeniowej do akcji wkroczyli słowaccy rządowi cyberanalitycy i mamy wnioski jak z początku postu.
Słowacy zapowiedzieli zakończenie współpracy z firmą. Przy okazji też zaznaczono, że nie ma dowodów, że wskazane podatności / problemy rzeczywiście były wykorzystane. A dodatkowo wszystkie 3 kamery na terenie Słowacji były “używane tylko testowo” bez dostępu do rządowych systemów.
Relację trochę uprościłem, starając się o maksymalną czytelność przekazu.
W Polsce też używa(ło) się radarów firmy Simicon, czasem sprzedawanych pod polską marką Zurad.
Zuradowi (należącemu do Polskiej Grupy Zbrojeniowej) nie przeszkadzało brać konstrukcję od Ruskich.
Ciekawe czy nasze też są/były “z niespodzianką”?
PS Michał, raz napisałeś “Semicon”, a raz “Simicon”.
Wysokiej jakości obraz, na ktorej widac twarze i tablice poruszajacych sie pojazdow byl streamowany modemem 3G??? Mało wiarygodne.
Fotoradary produkowane przez Simcon miały od zawsze możliwość korzystania z kanału serwisowego i nie było to objęte żadną klauzulą tajności. Czyli trudno mówić o niespodziankach. Aby korzystać z kanału serwisowego niezbędna była karta SIM. Karta SIM nie była niezbędna do pracy fotoradaru. Fotoradar Integra 3D/Fotorapid Pro/Cordoba uzyskał w Polsce Zatwierdzenie Typu GUM. O ile badań w zakresie bezpieczeństwa oprogramowania wykonywanych w tej instytucji nie można traktować zbyt poważnie, to już badania zlecone Instytutowi Łączności w Warszawie to już wyższy zakres badań. Zlecił je właśnie ZURAD.
Słowacka afera to raczej działania konkurencji i zapewne nieczyste rozgrywki związanej z zamówieniami.Jesli jednak ktoś zakłada że w Polsce w tej materii jest jakoś bardziej przejrzyście to czas aby zszedł na ziemię.
Gwoli ścisłości ZURAD miał produkować fotoradary na licencji firmy Simocon z pełnym dostępem do oprogramowania.
Ps. Może kiedyś ktoś dociekliwy sprawdzi jakim sposobem wdrożono urządzenia integrujące z jedynym słusznym sposobem transmisji danych? Dlaczego w Polsce zbudowano najdroższy i najmniej efektywny system fotoradarowy? Dlaczego fotoradary wyprowadzono z Policji? W mętnej wodzie łatwiej się pływa.