Словакия нашла российский бэкдор в дорожных камерах контроля скорости

Национальное управление безопасности Словакии (NBU) выпустило предупреждение против использования высокоскоростных дорожных камер NERO R-ONE. По данным ведомства, устройства содержат механизм скрытого доступа: получив SMS с одного из «зашитых» в прошивку российских телефонных номеров, камера предоставляет доступ к своей командной оболочке и к сети.

Расследование началось после того, как оппозиция обвинила правительство в закупке камер российского производства, а местные СМИ связали сделку с кипрской фирмой-однодневкой, предъявившей поддельные сертификаты. NBU установило, что NERO R-ONE — это ребрендинг российской модели CORDON PRO.M, которую выпускает петербургская компания Semicon.

Закупка на 30 миллионов

Камеры приобретались в рамках проекта модернизации национальной системы дорожного мониторинга стоимостью 30 млн евро, профинансированного из средств ЕС. По имеющимся сведениям, МВД Словакии закупило 279 устройств и готовилось установить их на отдельных участках дорог по всей стране.

Сначала министерство отрицало российское происхождение техники и уверяло, что кражи данных бояться не стоит: камеры якобы должны работать в изолированной ведомственной сети. Однако технический отчёт NBU перечисляет не только сам бэкдор, но и целый набор изъянов безопасности. Функция SecureBoot, которая должна проверять подлинность прошивки, отключена, поэтому происхождение микропрограммы никак не контролируется. Веб-портал управления содержит множество уязвимостей. Наконец, любой, кто знает вещательный IP-адрес устройства, может без всякого пароля смотреть его прямую трансляцию.

Развёртывание приостановлено

После публикации отчёта чиновники МВД поставили установку камер на паузу и пообещали заказать дополнительную проверку у независимого аудитора, чтобы подтвердить выводы службы безопасности.

Словакия, судя по всему, не единственная страна, купившая эту технику: похожие устройства, как сообщается, уже установлены в Хорватии, а возможно, и в других странах Восточной Европы. Общий вывод из истории напрашивается сам собой — камеры видеонаблюдения, тем более следящие за дорогами целой страны, вряд ли стоит закупать у производителей из государств, отношения с которыми оставляют желать лучшего.

Источник: Hacker News