Słowacja znajduje tylną furtkę SMS w fotoradarach: rosyjski sprzęt za unijną metką
Kiedy słowacka Narodowa Agencja Bezpieczeństwa, znana jako NBÚ, postanowiła fizycznie rozebrać jedną z nowych fotoradarów kraju, oczekiwała inspekcji europejskiego urządzenia drogowego. Zamiast tego analitycy znaleźli sprzęt wyprodukowany przez Simicon z Sankt Petersburga, sprzedawany pod inną nazwą i wyposażony w ukryty mechanizm, który mógł dać dostęp do shella i sieci każdemu, kto wyśle SMS-a z jednego z dwunastu konkretnych rosyjskich numerów. Odkrycie zamroziło finansowane przez UE wdrożenie 279 kamer za 30 milionów euro i uruchomiło alarm bezpieczeństwa obejmujący trzy osobne linie produktów w całej Europie.
Przebrandowana kamera z nieudokumentowanymi radiomodemami
Przedmiotowe urządzenie zainstalowano w ramach wdrożenia NERO R-ONE na Słowacji, marketingowanego przez SODASUS, dostawcę zarejestrowanego na Cyprze. Kiedy technicy NBÚ je otworzyli, wnętrze opowiadało inną historię: to był Simicon CORDON PRO.M, linia produktów zbudowana w Sankt Petersburgu w Rosji. Według doniesień Niebezpiecznika jednostka zawierała dwa modemy komórkowe 3G/4G, ale tylko jeden był gdziekolwiek udokumentowany w specyfikacjach produktu czy interfejsie zarządzania. Drugi modem był niewidoczny dla administratorów, dając każdemu, kto nim sterował, cichy kanał pozapasmowy prosto do urządzenia. Właśnie taka nieudokumentowana łączność jest tym, czego szukają audytorzy łańcuchów dostaw - i właśnie to rzadko bywa sprawdzane, gdy dokumentacja zakupowa pokazuje europejskiego dostawcę na fakturze. Fizyczna przepaść między firmą, która sprzedaje urządzenie, a fabryką, która je buduje, jest miejscem, gdzie zaufanie cicho eroduje. Backdoor: dwanaście numerów i ośmiocyfrowy kod
Najbardziej alarmujące odkrycie było zakopane w logice firmware'u raczej niż w sprzęcie. Kamera utrzymywała ukrytą listę administracyjnych numerów telefonów, która nigdy nie pojawiała się w panelu zarządzania: dziewięć numerów komórkowych zarejestrowanych w Sankt Petersburgu, dwa stacjonarne z tego samego miasta i jeden komórkowy z Kemerowa na Syberii. SMS przychodzący z dowolnego numeru z tej listy, po którym następował ośmiocyfrowy kod uwierzytelniający, otwierał zdalny dostęp do shella urządzenia i jego otaczającej sieci. Ponieważ wyzwalacz przychodzi przez sieć komórkową przez nieudokumentowany modem, omija zapory, VPN-y i każdą inną kontrolę obwodową, jaką operator mógł skonfigurować. Jak zauważa Security Affairs, mechanizm mógł realistycznie pozostawać uśpiony latami, cicho przyjmując komendy, co czyni detekcję kryminalistyczną po fakcie skrajnie trudną. Nikt nie musi eksploatować buga uszkodzenia pamięci ani zgadywać hasła; wystarczy znać właściwy numer, na który wysłać SMS-a. Wdrożenie wstrzymane, Secure Boot wyłączony
Reakcja NBÚ była szybka. Wdrożenie wszystkich 279 kamer w projekcie finansowanym przez UE zostało wstrzymane do czasu inspekcji, a winne jednostki dezaktywowano. Agencja ujawniła też dwa dodatkowe ustalenia, które pogłębiają obawę: Secure Boot był na urządzeniach wyłączony, ich łańcuch startowy nie mógł więc kryptograficznie zweryfikować, że firmware ładowany przy starcie nie został zmodyfikowany, a strumienie wideo na żywo z kamer były wystawione bez adekwatnej ochrony. Kamera nadzorująca publiczne drogi jest sama w sobie aktywem wywiadowczym; nieuwierzytelnione strumienie oznaczają, że osoby trzecie mogły potencjalnie oglądać nagrania przeznaczone do nadzoru ruchu. Jak donosi Tom's Hardware, NBÚ wydał ostrzeżenie obejmujące nie tylko słowackie wdrożenie, lecz trzy powiązane linie produktów: SODASUS NERO R-ONE dystrybuowany z Cypru, własną serię Cordon firmy Simicon i chorwackie NEROline zbudowane na tej samej platformie Cordon. Każdy operator sprzętu z tych rodzin został w praktyce ostrzeżony, by zakładał kompromitację do dowodu przeciwnego. Lekcja o łańcuchu dostaw ukryta na oczach wszystkich
Ten incydent jest podręcznikowym przykładem tego, dlaczego pochodzenie sprzętu waży tyle co aktualizacje oprogramowania. Kamery kupiono legalnymi kanałami, zafakturowano przez europejski podmiot i wdrożono ze środków publicznych. W żadnym momencie dokumentacja nie ujawniła, że produkt rdzeniowy pochodzi od producenta z kraju, do którego służb specjalnych europejskie rządy aktywnie się bronią. Rebranding obchodzi każdą weryfikację zakupów opartą wyłącznie na markach. Dla operatorów jakiejkolwiek połączonej infrastruktury praktyczne wnioski są konkretne. Żądaj przed zakupem pełnego ujawnienia komponentów i udokumentowanych interfejsów radiowych. Sprawdzaj, czy funkcje integralności startu jak Secure Boot są faktycznie włączone, a nie tylko dostępne. Traktuj każdy nieudokumentowany modem, port szeregowy czy interfejs bezprzewodowy jako dyskwalifikujący, dopóki nie zostanie wyjaśniony. I audytuj panele zarządzania względem rzeczywistości: jeśli urządzenie przyjmuje komendy, których własny interfejs nie pokazuje, nie kontrolujesz w pełni własnego sprzętu. Dlaczego to ważne poza nadzorem ruchu
Fotoradar brzmi trywialnie obok sieci energetycznych czy przełączników telekomów, ale architektura jest identyczna: embedded Linux, łączność komórkowa, trwałe łącza internetowe i umieszczenie w fizycznie dostępnych miejscach publicznych. Skompromitowana flota urządzeń przydrożnych oferuje punkty wkroczenia do sieci komunalnych, platformę do nadzoru przejeżdżających pojazdów albo po prostu dowód, że infrastruktura krytyczna jest osiągalna według uznania. Pytanie o 30 milionów euro, przed którym stoi teraz Słowacja, brzmi: czy inne jednostki floty zawierają te same ukryte podsłuchy - i czy odpowiedź przyjdzie, zanim kamery wystawią kolejny mandat. Sprzęt, którego nie potrafisz audytować, to sprzęt, który ktoś inny może już kontrolować. Ta historia umacnia zasadę, do której wciąż wracamy: bezpieczeństwo zaczyna się od dokładnej wiedzy, co działa na maszynach, od których zależysz - temat, który rozwinęliśmy w naszym poradniku o bezpieczeństwie urządzeń przed Torem.
