Mindig igaz a mondás: „Olcsó húsnak híg a leve”. Bizonyos esetekben ez vicces helyzeteket teremt, azonban, ha biztonsági kamerákról van szó, akkor viccnek nincs helye. A BBC Panorama stábja a két legnagyobb kínai kameragyártó termékeivel kapcsolatban tárt fel aggasztó tényeket.

Kínai gyártmányú térfigyelő kamerák vannak a brit irodákban, főutcákon, sőt még a kormányzati épületekben is - a Panorama pedig a két vezető márka biztonsági hibáit vizsgálta. Mennyire könnyű feltörni őket, és mit jelent ez a biztonságunkra nézve?

A BBC londoni Broadcasting House-jának sötétített stúdiójában egy férfi ül a laptopja előtt, és beírja a jelszavát. Több ezer mérfölddel arrébb egy hacker figyeli, amit beír. Ezután a BBC alkalmazottja felkapja a mobiltelefonját, és beírja a jelszót. A hacker már azt is tudja.

"Most már az enyém az eszköz - azt csinálok vele, amit akarok" - mondja a hacker. "Kikapcsolhatom... vagy használhatom arra, hogy megnézzem, mi történik a BBC-nél".

A megfigyelt férfi szerencséjére a hacker a BBC-vel dolgozik. Az eset része a Panorama kísérletsorozatának, amellyel néhány kínai gyártmányú térfigyelő kamera biztonságát tesztelik.

A Hikvision és a Dahua a világ két vezető videó megfigyelő kameragyártója. Senki sem tudja, hogy hány készülékük van az Egyesült Királyság utcáin, vagy szerte a világon.

Tavaly a Big Brother Watch adatvédelmi kampánycsoport megpróbálta kideríteni. 2021 augusztusa és 2022 januárja között 4510 információszabadság-kérelmet nyújtottak be szerte az Egyesült Királyság közintézményeihez. A válaszadó 1289-ből 806 megerősítette, hogy Hikvision vagy Dahua kamerákat használnak – 227 önkormányzati és 15 rendőri szerv a Hikvision, 35 önkormányzat pedig a Dahua kameráit használja.

A Hikvision kamerákat számos kormányzati épület megfigyelésére is használják – a Panorama egyetlen délután alatt London központjában a Nemzetközi Kereskedelmi Minisztérium, az Egészségügyi Minisztérium, az Egészségbiztonsági Ügynökség, a Defra és a hadsereg tartalékos központja előtt is talált ilyen kamerákat.

A biztonsági szakértők attól tartanak, hogy a kamerákat trójai falóként használhatják a számítógépes hálózatok megzavarására, ami viszont polgári zavargásokat okozhat.

Fraser Sampson professzor, az Egyesült Királyság térfigyelő kamerákért felelős biztosa arra figyelmeztet, hogy az ország kritikus infrastruktúrája – beleértve az energiaellátást, a közlekedési hálózatokat, valamint a friss élelmiszerekhez és vízhez való hozzáférést – sebezhető.

„Mindezek a dolgok nagymértékben függnek a távfelügyelettől – így, ha valaki képes beavatkozni ebbe, akkor olcsón és távolról is pusztítást okozhat" - mondja.

Charles Parton, a Royal United Services Institute (Rusi) volt diplomatája, aki Pekingben dolgozott, egyetért ezzel: "Mindannyian láttuk fiatalkorunkban az Olasz melót, ahol a közlekedési lámparendszeren keresztül egész Torinót leállítják. Nos, ez akkor talán fikció volt, most már nem lenne az".

A Hikvision a Panorámának elmondta, hogy független vállalat, és nem jelent veszélyt az Egyesült Királyság nemzetbiztonságára.

"A Hikvision soha nem folytatott és nem is fog soha semmilyen kémkedéssel kapcsolatos tevékenységet folytatni a világ bármely kormánya számára" - közölték, hozzátéve, hogy "termékeire szigorú biztonsági követelmények vonatkoznak, és megfelelnek az Egyesült Királyságban, valamint bármely más országban és régióban, ahol működünk, a vonatkozó törvényeknek és előírásoknak".

A Panorama az amerikai székhelyű IPVM-mel, a világ egyik vezető felügyeleti technológiával foglalkozó hatóságával együttműködve tesztelte, hogy lehetséges-e feltörni egy Hikvision-kamerát. Az IPVM szállította azt a kamerát, amelyet a BBC egyik stúdiójában helyeztek el.

A csapat biztonsági okokból nem futtathatta a kamerát a BBC hálózatán - így azt egy olyan teszthálózatra helyezték, ahol nincs tűzfal és kevés a védelem.

A tesztelt kamera egy 2017-ben felfedezett sebezhetőséget tartalmaz. Az IPVM igazgatója, Conor Healy ezt úgy írja le, hogy "egy hátsó ajtó, amelyet a Hikvision épített be a saját termékeibe".

A Hikvision azt állítja, hogy eszközeibe nem szándékosan programozták bele ezt a hibát, és rámutat, hogy szinte azonnal kiadott egy firmware-frissítést a hiba kijavítására, miután tudomást szerzett a problémáról. Hozzáteszi, hogy a Panorama tesztje nem reprezentatív a ma működő eszközökre nézve. Conor Healy szerint azonban világszerte több mint 100 000 online kamera van, amelyek még mindig sebezhetők a probléma miatt.

Amikor a Panorama hackerkísérlete elkezdődik, Conor és az IPVM kutatómérnöke, John Scanlan laptopok mögött ülnek a pennsylvaniai székhelyükön. Egy számítógépes rendszer engedély nélküli feltörése bűncselekménynek minősül - ezért a Panorama nem közöl minden részletet arról, hogyan csinálják ezt.

Healy és Scanlan a Broadcasting House-on belül a kamera helyének meghatározásával kezdi, majd nekilátnak, hogy megtámadják annak biztonságát.

Ezután Healy megnézi, mennyi időbe telik, amíg átveszi az irányítást. Mindössze 11 másodperccel később Scanlan bejelenti: "Most már hozzáférünk a kamerához."

Innentől kezdve már látják a stúdió belsejét - beleértve a Panorama alkalmazottját is – a laptopján keresztül.

„Ha szorosan ráközelítünk a billentyűzetre, tisztán láthatjuk a billentyűket, amiket nyomogatnak, hogy beírják a jelszavukat" - mondja Scanlan.

"Ez olyan, mintha egy lakatos adna egy kulcsot az otthonodhoz, és az titokban elkészítene egy mesterkulcsot a közösség összes zárjához... gyakorlatilag ezt tették a Hikvision mérnökei".

Ezután a hackerek megkezdik a második tesztjüket - a Dahua kameráihoz való hozzáférést az azokat vezérlő szoftverekbe való behatolással.

Két tesztkamerát állítottak fel az IPVM központjában. Ha a hackerek sikerrel járnak, akkor egy egész megfigyelő kamerahálózatot vehetnek át.

Hamarosan meg is találják a szoftver sebezhetőségét. "Meg is van, bent vagyunk" - mondja Healy.

Most már bent vannak a rendszerben, és egy kamerát használhatnak lehallgatásra.

"Amit sokan nem tudnak ezekről a kamerákról, hogy nagy többségükben mikrofonok vannak" - magyarázza Healy, és bár a felhasználók gyakran kikapcsolják ezeket, a hackerek könnyen visszakapcsolhatják őket - gyakorlatilag "lehallgatják" a szobát.

A Dahua azt állítja, hogy amikor tavaly év végén tudomást szerzett a sebezhetőségről, "azonnal átfogó vizsgálatot folytatott", és a "firmware-frissítések" révén gyorsan kijavította a problémát.

A vállalat azt is állítja, hogy nemállami hátterű, és hogy berendezései nem tudtak beavatkozni az Egyesült Királyság kritikus infrastruktúrájába. Hozzáteszi: "Ezek az állítások valótlanok, és rendkívül félrevezető képet festenek a Dahua Technology-ról és termékeiről".

Szakértők szerint azonban az Egyesült Királyságnak többet kell tennie annak érdekében, hogy megvédje magát attól, amit Sampson professzor, a térfigyelő kamerákért felelős biztos "digitális azbesztnek" nevez.

"Van egy előző generáció, amelyik telepítette ezeket a berendezéseket, nagyrészt azon az alapon, hogy olcsó volt és elvégezte a munkát" - mondja. "Mostanra rájöttünk, hogy ez komoly és velejáró kockázatokkal jár - mit tegyünk tehát ezzel kapcsolatban?"

Arra a kérdésre, hogy bízik-e a Hikvisionban és a Dahua-ban, így válaszol: "Egyáltalán nem."

Kamerarendszer telepítése előtt érdemes ezért megfontolni, hogy mi a fontosabb: az alacsony telepítési költség, vagy az információbiztonság. Mindannyian tudjuk erre a választ.

A bejegyzés egy BBC Panorama cikk fordítása.

Forrás: https://www-bbc-com.cdn.ampproject.org/c/s/www.bbc.com/news/technology-65975446.amp