AKTUÁLNE: Ohrozenie bezpečnosti štátu? Národný bezpečnostný úrad vydal varovanie! V pozore by mali byť vodiči

Cestné radary sa dostali do pozornosti Národného bezpečnostného úradu pre možné kybernetické riziká.
Analýza odhalila problémy týkajúce sa hardvéru, softvéru, komunikačných rozhraní aj vzdialeného prístupu.
Upozornenie sa vzťahuje na konkrétne typy zariadení od troch uvádzaných výrobcov.
NBÚ zároveň dotknutým subjektom odporučil skontrolovať vlastnú infraštruktúru a v prípade používania zariadení kontaktovať úrad.

Cestné radary už dávno nie sú iba jednoduchými zariadeniami určenými na zaznamenanie rýchlosti vozidiel. Moderné riešenia využívajú kamery, softvér a komunikačné rozhrania, a preto sa pri nich do popredia dostáva aj otázka kybernetickej bezpečnosti. Práve na tú teraz upozornil Národný bezpečnostný úrad (NBÚ). Bezpečnostná analýza konkrétnych zariadení totiž priniesla zistenia, ktoré úrad považuje za významnú kybernetickú hrozbu. Pozornosť sa sústreďuje na niekoľko typov cestných rýchlomerov vybavených kamerami.

Zistené nedostatky sa netýkajú iba jednej oblasti fungovania zariadení. Otázniky vznikli pri pôvode ich komponentov, konfigurácii komunikačných rozhraní, vzdialenom prístupe aj používanom softvéri. NBÚ preto adresoval odporúčanie prevádzkovateľom základnej služby a ďalším dotknutým subjektom. Čo presne bezpečnostná analýza pri cestných radaroch odhalila a ktorých zariadení sa varovanie týka?

Cestné radary, ktorých sa týka upozornenie NBÚ

Národný bezpečnostný úrad upozornil na významnú kybernetickú hrozbu spojenú s viacerými typmi cestných rýchlomerov s kamerami. Zistenia pochádzajú z podrobnej bezpečnostnej analýzy.

Upozornenie sa podľa poskytnutých informácií vzťahuje na tieto zariadenia:

• cestné rýchlomery NERO R-ONE, ktorých výrobcom je spoločnosť SODASUS z Cypru,
• merače rýchlosti cestných motorových vozidiel radu Cordon od výrobcu Simicon z Ruska,
• merače rýchlosti cestných motorových vozidiel radu Cordon od výrobcu NEROline z Chorvátska.

Práve preverovanie týchto zariadení ukázalo viacero oblastí, ktoré môžu podľa NBÚ predstavovať riziko pre siete a informačné systémy.

Cestné radary majú podľa analýzy viacero bezpečnostných nedostatkov

Jedným zo zistených problémov je nejasný pôvod hardvéru a softvéru používaného v kamerách. Bezpečnostná analýza však upozornila aj na ďalšie nedostatky.

NBÚ zaznamenal rozdiely medzi tým, ako bola deklarovaná konfigurácia komunikačných rozhraní, a tým, aká bola ich skutočná konfigurácia. Pozornosť úradu vzbudili tiež prednastavené mechanizmy umožňujúce vzdialený prístup a správu zariadenia.

Samostatnou oblasťou je softvér používaný pri spracovaní nameraných údajov. Úrad upozornil na nesúlad medzi deklarovaným a reálne používaným softvérom na spracovanie meraní, pričom problémom má byť aj jeho slabé zabezpečenie.

Súhrn týchto zistení je dôvodom, prečo NBÚ situáciu nepovažuje iba za technický nedostatok jednotlivých zariadení, ale upozorňuje na možnú hrozbu pre siete a informačné systémy.

Cestné radary majú prevádzkovatelia skontrolovať

Po výsledkoch analýzy prišlo zo strany NBÚ aj konkrétne odporúčanie. Prevádzkovatelia základnej služby a ďalšie dotknuté subjekty by mali preveriť svoju infraštruktúru a zistiť, či sa v nej niektorý z uvedených produktov nachádza.

Ak organizácia takéto zariadenia používa, podľa odporúčania úradu by mala kontaktovať NBÚ a dohodnúť sa na ďalšom postupe.

Nejde teda iba o všeobecné upozornenie na možné riziká. Úrad vyzýva dotknuté subjekty, aby si aktívne overili, aké technológie majú vo svojej infraštruktúre nasadené.

Cestné radary analyzoval NBÚ na žiadosť ministerstva

Dôležité sú aj okolnosti, za ktorých preverovanie zariadení vzniklo. Bezpečnostná analýza bola vykonaná na žiadosť Ministerstva vnútra Slovenskej republiky.

Práve na základe jej výsledkov následne NBÚ vydal svoje varovanie. Zistené problémy sa pritom týkajú viacerých vrstiev fungovania preverovaných zariadení – od pôvodu hardvéru a softvéru cez komunikačné rozhrania až po možnosti vzdialeného prístupu.

Pre dotknuté organizácie je preto rozhodujúcim krokom identifikovať, či sa konkrétne produkty v ich infraštruktúre používajú, a následne postupovať podľa odporúčania NBÚ.

FAQ: Cestné radary a kybernetická bezpečnosť

1. Prečo môžu byť bezpečnostné nedostatky cestných radarov problémom pre informačné systémy?

Preverované zariadenia využívajú hardvér, softvér a komunikačné rozhrania, preto sa ich bezpečnosť netýka iba samotného merania rýchlosti. NBÚ upozorňuje na riziká pre siete a informačné systémy. Analýza identifikovala viacero nedostatkov, ktoré treba posudzovať spoločne.

2. Aký význam má nejasný pôvod hardvéru a softvéru?

Pôvod hardvérových a softvérových komponentov patrí medzi oblasti, ktoré NBÚ pri preverovaných zariadeniach označil za problematické. Ide o jeden z viacerých nedostatkov identifikovaných bezpečnostnou analýzou. Nie je to teda jediný dôvod vydaného upozornenia.

3. Prečo je dôležitý rozdiel medzi deklarovanou a skutočnou konfiguráciou?

NBÚ pri analýze zaznamenal rozdiely medzi deklarovanou a reálnou konfiguráciou komunikačných rozhraní. Takýto nesúlad je z pohľadu posudzovania bezpečnosti zariadenia podstatný. V tomto prípade tvorí jednu zo súčastí širšieho súboru identifikovaných rizík.

4. Aké riziko predstavuje prednastavený vzdialený prístup?

Prednastavené mechanizmy vzdialeného prístupu a správy zariadenia patria medzi nedostatky, na ktoré NBÚ upozornil. Vzdialená správa je preto jednou z oblastí, ktorú bezpečnostná analýza preverovaných rýchlomerov identifikovala. Úrad ju uvádza spolu s problémami v oblasti hardvéru, softvéru a komunikačných rozhraní.

5. Čo majú urobiť organizácie, ktoré používajú uvedené zariadenia?

NBÚ odporúča prevádzkovateľom základnej služby a ďalším dotknutým subjektom skontrolovať vlastnú infraštruktúru. Majú zistiť, či sa v nej nachádzajú produkty uvedené vo varovaní. Ak ich používajú, mali by kontaktovať NBÚ a dohodnúť si ďalší postup.

6. Prečo NBÚ vykonal bezpečnostnú analýzu týchto zariadení?

Analýza nevznikla bez konkrétneho podnetu. NBÚ ju vykonal na žiadosť Ministerstva vnútra SR. Na základe jej výsledkov následne vydal upozornenie týkajúce sa zistených kybernetických rizík.