اسلواکی برای نوسازی سامانه کنترل ترافیک خود صدها دوربین جدید تهیه کرد اما بررسیهای امنیتی نشان داد بخشی از این تجهیزات میتوانند به یک کابوس امنیتی تبدیل شوند. سازمان امنیت ملی این کشور در برخی نمونهها یک سیمکارت مخفی پیدا کرده است که به روسها امکان دسترسی به تصاویر و کنترل دوربینها را میداد.
دوربین کنترل سرعت در واقع یک کامپیوتر متصل به شبکه است و اگر امنیت آن جدی گرفته نشود، میتواند به یک نقطه ورود خطرناک به زیرساخت کشورها تبدیل شود.
دوربینهایی که با یک پیامک قابل کنترل بودند
ماجرا از پروژهای با بودجه ۳۰ میلیون یورو از محل منابع اتحادیه اروپا شروع شد که هدف آن نوسازی سامانه پایش ترافیک اسلواکی بود. در این پروژه قرار بود ۲۷۹ دوربین NERO R-ONE در جادههای این کشور نصب شوند.
اما بررسی سازمان امنیت ملی اسلواکی (NBU) نشان داد این دوربینها حاوی یک ماژول ثبتنشده هستند که به ۱۲ شماره تلفن روسی متصل است. ترسناکتر اینکه ارسال پیامک مخصوص از این شمارهها میتواند مسیر دسترسی به سیستم دستگاه را باز کند و امکان اجرای کد و دسترسی تحت شبکه را فراهم کند.
به بیان سادهتر، موضوع فقط یک حفره امنیتی معمولی در نرمافزار دوربین نیست. وجود چنین قابلیتی میتواند به فردی که به سازوکار آن دسترسی دارد اجازه دهد از راه دور کنترل دستگاه را در دست بگیرد.
بررسیها همچنین نشان دادهاند که Secure Boot دوربینها عملاً قابل اتکا نیست و رابط مدیریتی تحت وب آنها نیز مشکل امنیتی دارد. حتی بدتر اینکه بررسیها نشان داد در برخی شرایط برای مشاهده تصویر زنده دوربین تنها داشتن آدرس IP دستگاه کافی است و رمز عبوری برای دسترسی به تصاویر لازم نیست.
دوربینهای روسی با نام دیگری وارد اسلواکی شدند؟
نگرانیها فقط به امنیت نرمافزاری ختم نمیشود. NBU اعلام کرده دوربینهای NERO R-ONE در واقع نسخه تغییرنامیافته دوربین CORDON PRO.M هستند که توسط شرکت روسی Semicon در سنپترزبورگ تولید میشود.
گزارشها همچنین حاکی از آن است که این تجهیزات از طریق یک شرکت ثبتشده در قبرس خریداری شدهاند و در روند تأمین آنها نیز ابهامهایی درباره گواهیهای محصول وجود داشته است. همین موضوع باعث شد بررسی امنیتی تجهیزات جدیتر دنبال شود.
پس از انتشار نتایج این بررسی، وزارت کشور اسلواکی دوربینهایی را که نصب و راهاندازی شده بودند غیرفعال کرد و قرار است یافتههای NBU توسط یک نهاد مستقل نیز بررسی شود.
ماجرا از این جهت اهمیت دارد که دوربینهای کنترل سرعت فقط برای ثبت تخلف استفاده نمیشوند و به زیرساخت نظارتی و ترافیکی یک کشور متصل هستند. اگر چنین تجهیزاتی واقعاً امکان دسترسی از راه دور یا مشاهده تصاویر بدون احراز هویت داشته باشند، مشکل آنها میتواند بسیار فراتر از چند تخلف رانندگی باشد.
نگرانی دیگر این است که دوربینهایی با منشأ مشابه ممکن است در کشورهای دیگر نیز استفاده شده باشند و هنوز بررسی امنیتی کاملی روی آنها انجام نشده باشد.
