Analýzy 24: Bezpečnostný audit je pri kamerách nevyhnutný, tvrdí Mlejnek

Kamery, ktoré sa mali používať na slovenských cestách, vyvolali otázky o bezpečnosti a pôvode technológie. Ministerstvo vnútra najskôr tvrdilo, že nejde o ruské výrobky, neskôr však priznalo, že pôvod zariadení ani ich kľúčových komponentov nedokáže overiť. Dve kamery preto stiahlo z testovacej prevádzky. Na možné riziká pre štátne systémy a citlivé údaje v relácii Analýzy 24 upozornil Peter Mlejnek, bývalý riaditeľ českej civilnej rozviedky.

Rozhodujúci nemusí byť iba pôvod kamery

Dovozca zariadenia označil za „de facto kópiu“ ruského systému CORDON. Podľa Mlejneka však samotný pôvod ešte automaticky neznamená, že technológia predstavuje bezpečnostnú hrozbu. Dôležitejšie je podľa neho vedieť, kto zariadenie vyvinul, kto vytvoril jeho softvér a kto má nad technológiou kontrolu. „Pôvod automaticky neznamená, že ide o nebezpečné zariadenie. Podstatnejšia je otázka, kto zariadenie vyvinul, kto vytvoril softvér a kto má nad ním kontrolu,“ vysvetlil.

Prečítajte si tiež

Analýzy 24: Téma sucha nesmie byť témou len vtedy, keď je tu sucho, zdôraznila Holéciová

Ministerstvo vnútra najskôr deklarovalo, že kamery nie sú výrobkami ruského výrobcu. O niekoľko dní neskôr však priznalo, že pôvod zariadení a ich rozhodujúcich komponentov nedokáže overiť. Pri technológiách využívaných v citlivých systémoch je podľa Mlejneka takýto stav problematický. „Je potrebné si zhodnotiť riziká. Môžete analyzovať sieťovú komunikáciu, ale je dôležité mať kontrolu nad celým dodávateľským reťazcom,“ upozornil. Práve kontrola pôvodu jednotlivých komponentov je podľa neho zásadná najmä pri technológiách, ktoré sú súčasťou kritickej infraštruktúry štátu

Rizikom môže byť najmä softvér

Dovozca uviedol, že chorvátska spoločnosť NERO Line vytvorila zariadenie NERO R-ONE ako „de facto kópiu“ ruského systému CORDON. Podľa Mlejneka je preto dôležité zistiť, čo presne bolo skopírované. Môže ísť iba o samotnú konštrukciu zariadenia, ale aj o firmvér, zdrojový kód či komunikačné protokoly. Práve softvér môže podľa odborníka predstavovať významné bezpečnostné riziko.

Prečítajte si tiež

Radary spájané s Ruskom preverí aj prokuratúra. Žilinka dal preskúmať ich nákup

Ministerstvo síce uvádza, že kamery fungujú v uzavretom systéme, no to podľa Mlejneka riziko úplne neodstraňuje. „Pokiaľ dôjde k updatu softvéru, tak potom možno pochybovať o bezpečnosti kamier. Vždy by mal byť bezpečnostný audit,“ uviedol.

Poznať systém znamená poznať jeho slabiny

Otázkou zostáva aj to, či môže byť pre prípadného útočníka výhodou znalosť architektúry pôvodného ruského systému. Ak niekto pozná softvér a jeho fungovanie, môže podľa Mlejneka ľahšie identifikovať jeho zraniteľné miesta. „Pokiaľ poznáte softvér, tak viete, kde sú zraniteľné miesta a viete sa tam nabúrať. Tam je bezprostredné riziko,“ upozornil. Jednorazový bezpečnostný audit preto nemusí byť podľa neho dostatočný. Ak sa systém aktualizuje, bezpečnostnú kontrolu by bolo vhodné zopakovať po každej významnej aktualizácii.

Dovozca v súvislosti s bezpečnosťou uviedol, že zariadenie „vie byť bezpečné, keď je správne nakonfigurované“. Mlejnek to však za bezpečnostnú garanciu nepovažuje. Za nevyhnutný krok označil nezávislý bezpečnostný audit. „Osobne by som urobil bezpečnostný audit,“ povedal. Podľa neho navyše nestačí overiť systém iba raz. Pri technológiách, pri ktorých existujú pochybnosti o pôvode hardvéru alebo softvéru, je potrebná priebežná kontrola.

Prečítajte si tiež

Ekonomické Analýzy 24: Horúčavy zamávali trhom s elektrinou. Odborníci vysvetľujú, prečo nás čaká veľká výzva

Ministerstvo argumentuje aj tým, že kamery nemajú prístup do registra vozidiel ani do registra obyvateľov. Podľa Mlejneka však potenciálny útočník nemusí mať priamy prístup k týmto databázam, aby získal cenné informácie. Samotné údaje z kamier môžu pri dlhodobom zhromažďovaní vytvoriť podrobný obraz o pohybe ľudí a vozidiel. „Môžete monitorovať niekoľko mesiacov pohyb napríklad nejakej osoby a z dát zistíte správanie tej osoby a môžete zistiť aj ďalšie podrobnosti,“ vysvetlil.

Dáta môžu odhaliť pohyb osôb

Evidenčné čísla, fotografie, čas, poloha či smer jazdy môžu mať podľa Mlejneka hodnotu aj pre cudzie spravodajské služby. Z takýchto údajov je možné sledovať logistické presuny alebo vytvárať pohybové profily konkrétnych vozidiel. „Rusko nás berie ako nepriateľa, to je holý fakt,“ uviedol.

Mlejnek však zároveň upozornil, že problém nemožno zužovať iba na konkrétne kamerové zariadenia. Aktivita ruských či čínskych spravodajských služieb podľa neho predstavuje širší bezpečnostný problém, ktorý sa týka aj internetu a ďalších technológií. „Špionáž je všade a je dobré, ak sa na to príde,“ uzavrel.

Viac si môžete pozrieť vo videu.