Slovakya hız kameralarında SMS arka kapısı buldu: AB rozetinin ardında Rus donanımı
Slovakya'nın Ulusal Güvenlik Otoritesi, NBÚ olarak bilinir, ülkenin yeni hız kameralarından birini fiziksel olarak sökmeye karar verdiğinde, bir Avrupa trafik cihazını incelemeyi bekliyordu. Bunun yerine analistler, Sankt Petersburg merkezli Simicon tarafından üretilmiş, farklı bir isimle satılmış ve on iki belirli Rus telefon numarasından birinden kısa mesaj gönderen herkese shell ve ağ erişimi verebilecek gizli bir mekanizma takılmış donanım buldular. Bu bulgu, 279 kameranın 30 milyon euro değerindeki AB destekli yaygınlaştırmasını dondurdu ve tüm Avrupa'da üç ayrı ürün hattını kapsayan bir güvenlik alarmı tetikledi.
Belgelenmemiş radyolarla yeniden markalanmış kamera
Söz konusu cihaz, Kıbrıs'ta kayıtlı bir tedarikçi olan SODASUS tarafından pazarlanan Slovakya'nın NERO R-ONE konuşlandırmasının parçası olarak kuruldu. NBÚ teknisyenleri açtığında, içerisi bambaşka bir hikâye anlattı: bu, Rusya'nın Sankt Petersburg kentinde üretilen bir ürün hattı olan Simicon CORDON PRO.M'di. Niebezpiecznik'ın haberine göre ünitede iki adet 3G/4G hücresel modem vardı, ancak bunlardan yalnızca biri ürün spesifikasyonlarında veya yönetim arayüzünde herhangi bir yerde belgelenmişti. İkinci modem yöneticilere görünmezdi ve onu kontrol eden kişiye doğrudan cihaza giden sessiz bir out-of-band kanal veriyordu. Bu tür belgelenmemiş bağlantı, tam olarak tedarik zinciri denetçilerinin aradığı şeydir - ve tam olarak satın alma evraklarında faturada bir Avrupalı tedarikçi gösterdiğinde nadiren kontrol edilen şey. Cihazı satan şirket ile onu üreten fabrika arasındaki fiziksel boşluk, güvenin sessizce eridiği yerdir. Backdoor: on iki numara ve sekiz haneli bir kod
En alarm verici keşif, donanımdan çok firmware mantığına gömülmüştü. Kamera, yönetim panelinde asla görünmeyen gizli bir yönetici telefon numarası listesi tutuyordu: Sankt Petersburg'da kayıtlı dokuz mobil numara, aynı şehirden iki sabit hat ve Sibirya'daki Kemerovo'dan bir mobil numara. O listedeki herhangi bir numaradan gelen, ardından sekiz haneli bir kimlik doğrulama kodu gelen bir kısa mesaj, cihazın shell'ine ve çevresindeki ağa uzaktan erişim açıyordu. Tetikleyici belgelenmemiş modem üzerinden hücresel ağla ulaştığı için, bir operatörün yapılandırmış olabileceği güvenlik duvarlarını, VPN'leri ve diğer tüm çevre kontrollerini atlıyor. Security Affairs'ın belirttiği gibi, mekanizma yıllarca uykuda kalırken sessizce komut kabul ediyor olabilir, bu da sonradan adli tespiti son derece zorlaştırıyor. Kimsenin bellek-bozulma hatası sömürmesine ya da şifre tahmin etmesine gerek yok; sadece mesaj atılacak doğru numarayı bilmeleri yeterli. Yaygınlaştırma durduruldu ve Secure Boot kapatıldı
NBÚ'nun tepkisi hızlıydı. AB tarafından finanse edilen proje kapsamındaki 279 kameranın tamamının yaygınlaştırması inceleme sonuçlanana dek duraklatıldı ve suçlu üniteler devre dışı bırakıldı. Ajans ayrıca endişeyi derinleştiren iki ek bulgu açıkladı: cihazlarda Secure Boot devre dışıydı, yani açılışta yüklenen firmware'in kurcalanmadığı kriptografik olarak doğrulanamıyordu ve kameraların canlı video akışları yeterli koruma olmadan açıktaydı. Kamu yollarını izleyen bir kameranın kendisi bir istihbarat varlığıdır; kimlik doğrulamasız akışlar, üçüncü tarafların trafik yaptırımı için tasarlanmış görüntüleri görebileceği anlamına gelir. Tom's Hardware'ın haber verdiği gibi, NBÚ yalnızca Slovakya konuşlandırmasını değil, üç ilgili ürün hattını kapsayan bir uyarı yayınladı: Kıbrıs'tan dağıtılan SODASUS NERO R-ONE, Simicon'un kendi Cordon serisi ve aynı Cordon platformu üzerine kurulan Hırvatistan'ın NEROline üniteleri. Bu ailelerden ekipman işleten her operatör, aksine kanıtlanana dek ele geçirilmiş sayılmaları yönünde fiilen uyarılmış durumda. Göz önünde saklanan tedarik zinciri dersi
Bu olay, donanım kökeninin yazılım güncellemeleri kadar önemli olmasının ders kitabına girmiş bir örneği. Kameralar meşru kanallardan satın alındı, bir Avrupa kuruluşu tarafından faturalandı ve kamu fonuyla konuşlandırıldı. Evrak, çekirdek ürünün Avrupalı hükümetlerin aktif olarak savunduğu istihbarat servislerine sahip ülkenin üreticisinden geldiğini hiçbir zaman ortaya koymadı. Yeniden markalama, yalnızca marka adlarına bel bağlayan satın alma taramalarını etkisiz kılar. Bağlı herhangi bir altyapının operatörleri için pratik çıkarım somut. Satın almadan önce tam bileşen beyanı ve belgelenmiş radyo arayüzleri talep edin. Secure Boot gibi açılış bütünlüğü özelliklerinin yalnızca mevcut değil, fiilen etkin olduğunu doğrulayın. Belgelenmemiş her modem, seri portu veya kablosuz arayüzü açıklanana dek elemeci sayın. Ve yönetim panellerini gerçeğe karşı denetleyin: cihaz, kendi arayüzünün göstermediği komutları kabul ediyorsa, donanımınızın tam kontrolü sizde değil demektir. Bunun trafik yaptırımının ötesinde neden önemli olduğu
Bir hız kamerası, enerji şebekeleri ya da telekom anahtarları yanında önemsiz duyulur, ama mimari özdeştir: embedded Linux, hücresel bağlantı, kalıcı internet bağlantıları ve fiziksel olarak erişilebilir kamusal konumlara yerleştirme. Ele geçirilmiş bir yol kenarı cihaz filosu, belediye ağlarına sızm pozisyonları, geçen araçları gözetleme platformu ya da basitçe kritik altyapıya istenildiği zaman ulaşılabildiğinin gösterisi sunar. Slovakya'nın şimdi karşılaştığı 30 milyon euroluk soru, filoda ait diğer ünitelerin aynı gizli dinleyicileri içerip içermediği - ve cevabın kameralar bir kez daha ceza kesmeden gelip gelmeyeceği. Denetleyemdiğin donanım, belki de çoktan bir başkasının kontrolünde olan donanımdır. Bu hikâye, hep geri döndüğümüz bir ilkeyi pekiştiriyor: güvenlik, bağımlı olduğun makinelerde tam olarak neyin çalıştığını bilmekle başlar - Tor öncesi cihaz güvenliği rehberimizde işlediğimiz bir tema.
