Estokove kamery: Zlyhanie bezpečnosti?

Stručné zhrnutie

• NBÚ zistil v kamerových systémoch s ruskými komponentmi technické bezpečnostné diery vrátane nezdokumentovaného 3G/4G modulu, predvolených telefónnych čísel s ruskými predvoľbami, vypnutého SecureBoot a možnosti sprístupniť obraz bez hesla.
• Politická opozícia (Hnutie Progresívne Slovensko) identifikovala pôvod komponentov porovnávacou analýzou hardvéru a softvéru, overením certifikátov a infožiadosťami a upozornila na prepojenia cez cyperskú schránkovú firmu a ruského dodávateľa Simicon.
• Navrhované riešenia zahŕňajú oznámenie zistení NBÚ a SIS, podanie trestného oznámenia, využitie infožiadostí verejnosti, revíziu štátnych nákupných procesov a bezpečnostné audity pred akýmkoľvek plošným nasadením.

Najčastejšie otázky

Q: Ako NBÚ technicky zhodnotil bezpečnosť týchto kamerových zariadení?
A: NBÚ zistil, že dokumentácia ku kamere nezodpovedá realite, v zariadení bol nezdokumentovaný 3G/4G modul, predvolené telefónne čísla s ruskými predvoľbami +78 a +79, zariadenie nevyužívalo certifikovaný merací softvér, SecureBoot bol vypnutý a obraz z kamery mohol byť sprístupnený bez hesla.

Q: Kto a akými metódami určil pôvod komponentov kamerových systémov?
A: Hnutie Progresívne Slovensko vykonalo porovnávaciu analýzu hardvéru a softvéru, overovalo certifikáty (vrátane starších certifikátov Slovenského metrologického ústavu), využilo infožiadosti a identifikovalo väzby cez cyperskú schránkovú firmu a ruského dodávateľa Simicon.

Q: Aké riziká predstavuje prítomnosť nezdokumentovaného 3G/4G modulu v kamere?
A: Nezdokumentovaný 3G/4G modul umožní vložením SIM karty pripojenie kamery do telekomunikačnej siete, čo môže viesť k prenosu obrazu a dát do zahraničia, sledovaniu presunov techniky a potenciálnemu prieniku do väčších systémov ministerstva.

Q: Kam sa dá nahlásiť bezpečnostné riziko súvisiace s verejnými kamerami?
A: Bezpečnostné riziko sa má nahlásiť Národnému bezpečnostnému úradu (NBÚ) a SIS; v diskusii sa uvádza, že NBÚ už vydal varovanie a infožiadosti boli použité na získanie dokumentov.

Q: Aké právne kroky sa v súvislosti s kamerami spomínali?
A: V diskusii sa spomína podanie trestného oznámenia a požiadavky na vyvodenie politickej a trestnej zodpovednosti voči zodpovedným osobám v štátnej správe.

Q: Ako môžu občania preveriť bezpečnosť verejných technologických nákupov?
A: Občania môžu žiadať informácie cez infožiadosti, požadovať overenie certifikátov (napr. od Slovenského metrologického ústavu), sledovať správy NBÚ a žiadať nezávislé bezpečnostné audity pred nasadením zariadení.

Závery z diskusie

Zhoda

• NBÚ zistil bezpečnostné nedostatky v kamerách vrátane nezdokumentovaného 3G/4G modulu a vypnutého SecureBoot.
• Kamerové systémy obsahovali ruské komponenty alebo ruský softvér podľa analýz a porovnávacej dokumentácie.
• Existuje obava z možného využitia týchto kamier na sledovanie obyvateľov a z úniku citlivých dát.

Sporné názory

• Niektorí považujú kauzu za vážne bezpečnostné riziko, iní ju považujú za mediálny humbuk alebo ideologický útok; sporné je, či problém spočíva primárne v pôvode komponentov, alebo v plosnom nasadení kamier štátom.
• Jedna strana obviňuje vládu z nepreverených nákupov cez schránkové firmy, druhá strana vidí aktivizmus opozície a ideologické motivácie.

Otvorené otázky

• Bude vyvodená zodpovednosť alebo podané trestné oznámenia konkrétnych osôb za nákup a inštaláciu týchto kamier?
• Boli kamery nasadené len na meranie rýchlosti, alebo aj na plošné sledovanie občanov a prístup k citlivým dátam?
• Kto presne stál za dodávkami cez cyperskú schránku a aké právne a kontrolné zmeny budú prijaté tomu zabrániť v budúcnosti?

Spomenuté značky a firmy

NBÚ, SIS, Hnutie Progresívne Slovensko, Simicon, ČEZ, JESS, TA3, kanal1.sk, SITA, RTVS, Ministerstvo vnútra, Ministerstvo spravodlivosti, Slovenský metrologický ústav

Spomenuté produkty a metódy

3G/4G modul, predvolené telefónne čísla s predvoľbami +78 a +79, SecureBoot (vypnuté), nezabezpečené zobrazenie obrazu bez hesla, necertifikovaný softvér, certifikovaný merací softvér (nevyužitý), porovnávacia analýza hardvéru a softvéru, infožiadosti, zverejnenie obchodného registra, kamerový systém na meranie rýchlosti, radary

Miesta a osoby

Braňa Krála, Maros Kramar, Jaroslav Spisiak, Štefančík, Robert Fico, Saková, Kotlar, Peková, Taraba, Simkovicova, Machala, Kuffa, Estok, Chámeneí, Jaslovské Bohunice, Slovensko, Rusko, Anglicko, Saudská Arábia, Turecko, Pakistan, Čína, NATO, EU