- Ignas Jačauskas, BNS
- Teksto dydis:
- Spausdinti
Kinijos gamintojų „Hikvision“ ir „Dahua“ vaizdo stebėjimo kameros turi saugumo spragų, leidžiančių nesunkiai jas valdyti per nuotolį ir vykdyti stebėjimą, o programinė įranga atnaujinama serveriuose Rusijoje, teigia Nacionalinio kibernetinio saugumo centro (NKSC) vadovas Rytis Rainys.
NKSC, po LRT tyrimo atlikusi šių Lietuvos institucijose naudojamų, taip pat didelę rinkos dalį Europoje užimančių vaizdo kamerų kibernetinio saugumo vertinimą, rado keturis esminius saugumo pažeidimus.
Anot R. Rainio, pagal išankstinius nustatymus kamerų nuotolinis valdymas yra įjungtas, tačiau didžiulės saugumo spragos leidžia prisijungti prie šių įrenginių pašaliniams asmenims.
„Kameros turi nuotolinį valdymą, slaptažodžiai perduodami nešifruotu kanalu, patys slaptažodžiai užšifruoti silpnais, labai senais algoritmais. Saugumas toks, kad tų kamerų slaptažodžius galima perimti iš ryšių srauto, nuskaityti, dekoduoti, prisijungti prie kamerų ir atlikti bet ką“, – BNS sakė R. Rainys.
Anot jo, perėmus slaptažodį, galima nuotoliniu būdu įjungti, išjungti kamerą, pakeisti nustatymus, taip pat stebėti vaizdą ar net transliuoti kamerų vartotojams visai kitą vaizdą.
Iš viso 2018 metais pradėtose naudoti kamerose nustatytas 61 pažeidžiamumas, iš jų, pasak R. Rainio, 23 yra „aukšto grėsmės lygio“, t.y. lengvai gali būti išnaudojamos DDoS atakoms, kenkėjiško kodo įterpimui ar kitiems kenkėjiškiems tikslams.
Saugumas toks, kad tų kamerų slaptažodžius galima perimti iš ryšių srauto, nuskaityti, dekoduoti, prisijungti prie kamerų ir atlikti bet ką.
Programinė įranga atnaujinama Rusijoje
Nustatyta, kad „Hikvision“ gamintojas taip pat renka konkrečią informaciją apie įrenginių techninius parametrus. Taip pat specialistai nustatė, kad kamerų programinė įranga gali būti atnaujinta tik rankiniu būdu, iš tinklalapio Kinijoje.
„Tačiau tas IP adresas nukreipia į serverį, esantį Rusijos Federacijoje, iš kurio ir vyksta siuntimo procesas“, – vėliau pristatydamas tyrimą Krašto apsaugos ministerijoje tvirtino R. Rainys.
Pasak jo, siunčiant atnaujinimus, į serverius gaunamos užklausos iš esmės leidžia nustatyti, kiek tokių kamerų ir jų vartotojų yra Lietuvoje, kokie jų techniniai parametrai, programinės įrangos versijos, ir tai panaudoti kenkėjiškiems tikslams.
„Tada gali būti įvairūs scenarijai, apie kuriuos neturėčiau spekuliuoti – variantai įvairūs“, – komentavo jis.
Jis atkreipė dėmesį, kad ekspertai vertino tik pačią kamerą ir jos įrangą, o pačius atnaujinimus dar reikėtų tyrinėti atidžiau.
„Bet galima suponuoti, kad lieka tam tikra informacija, kurios institucijos tam tikros neturėtų to daryti (viešinti – BNS)“, – pridūrė R. Rainys.
NKSC teigimu, kameras naudoja 57 viešojo sektoriaus institucijos Lietuvoje, 24 jų turi tiesioginę sąsają su internetu. Įstaigos apie saugumo spragas informuotos ir, anot R. Rainio, kai kurios jau atliko namų darbus.
„Manau, kad ta rizika šiuo metu maksimaliai suvaldyta“, – tvirtino R. Rainys.
LRT tyrimas skelbė, kad šių kamerų dėl saugumo spragų jau anksčiau atsisakė Jungtinės Valstijos, o Lietuvoje jos naudojamos Lietuvos Vadovybės apsaugos, Migracijos, Policijos departamentuose, taip pat Valstybės sienos apsaugos ir Viešojo saugumo tarnybose bei valstybės įmonėje „Oro navigacija“.
Vilniaus savivaldybės administracijos direktoriaus pavaduotojas Adomas Bužinskas BNS patvirtino, kad šios kameros naudojamos ir sostinėje.
R. Rainys sako negalintis atmesti, kad be minėtų įstaigų, kameras naudoja ir valdžios institucijos, įskaitant Seimą.
Rekomenduoja taisyti spragas, įkurti serverį Lietuvoje
Centras rekomenduoja įstaigoms izoliuoti jas atskirame tinkle, kuris neturėtų prieigos prie viešojo interneto, arba atlikti būtinus saugumo nustatymus. Taip pat nustatyti, kad programiniai atnaujinimai būtų siunčiami iš Europos Sąjungos valstybių.
„Manome, kad būtų geras sprendimas programinės įrangos atsisiuntimų serverį įrengti Lietuvoje“, – teigė jis.
R. Rainio nuomone, atsiunčiama programinė įranga turėtų būti papildomai tikrinama, nes ir atnaujinimai gali turėti spragų.
NKSC vadovas taip pat sakė, kad tyrimo metu kamerų gamintojai susisiekė su centru, jie yra supažindinami su tyrimo rezultatais.
„Mūsų tyrimo tikslas – adresuoti šiuos klausimus gamintojui: suabejoti situacija, kuri yra su šiomis kameromis, pateikti faktus, įrodymus, kad yra problemų, ir gamintoją spausti imtis veiksmų, taisyti situaciją (...). Laukiame jų komentarų, refleksijų ir veiksmų“, – tvirtino R. Rainys.
NKSC vadovas neatmetė, kad panašių spragų gali turėti ir kitų gamintojų vaizdo stebėjimo įranga.
Kibernetinio saugumo ekspertai taip pat rekomenduoja naudoti ugniasienes, blokuoti prievadus, kurių nenaudoja kamera, sumažinant galimybes išnaudoti kameras kibernetinei atakai.
Įsigyjant naujas kameras, įstaigoms rekomenduojama įtraukti reikalavimą, kad tiekėjas patiektų kameras su naujausiais programinės įrangos atnaujinimais, kuriais jau būtų ištaisytos saugumo spragos, taip pat minėtas reikalavimas turėti programinės įrangos atsisiuntimo serverius Lietuvoje ar bent jau ES ar NATO šalyse. Mažinant riziką, rekomenduojama, jog gamintojai išjungtų ir nereikalingas kamerų funkcijas.
Šių reikalavimų dėl kamerų rekomenduojama laikytis ir privačiam sektoriui.
R. Rainys pabrėžė, kad įgyvendinus šias rekomendacijas, saugumas būtų užtikrinamas ir pačių kamerų keisti nereikėtų.
Jo nuomone, įsitraukti į tokius tyrimus galėtų ir mokslo institutai, taip būtų pasiekta efektyvesnių rezultatų.
„Bet jei mūsų pajėgumų neužtenka, galbūt valstybei reikia investuoti į skaitmeninius kompetencijų centrus plačiau, nei yra dabar“, – svarstė jis.
SUSIJĘ STRAIPSNIAI
-
Vilkikai prie Šalčininkų punkto nuo penktadienio turi laukti kitoje vietoje4
Vilkikai, važiuojantys per Šalčininkų pasienio postą ir laukiantys kelkraštyje bei keliantys riziką eismo saugumui, nuo penktadienio nukreipiami laukti į kitą, mažiau judrų kelią. ...
-
Papasakojo, kaip miške pasiklydęs tarnybinis šuo grįžo pas šeimininką7
Nekasdienė situacija nutiko Panevėžio rajone. Pasiklydusių žmonių ieškoti išmokytas tarnybinis šuo miško platybėse dingo pats. Paskelbta net paieška, pakeltas dronas. Pasirodo, Roksis, toks tarnybinio šuns varda...
-
Lietuvos kalėjimų tarnybos vadovu siūloma skirti M. Kairį1
Teisingumo ministrė Ewelina Dobrowolska (Evelina Dobrovolska) Lietuvos kalėjimų tarnybos (LKT) vadovu siūlo skirti dabartinį įstaigos direktoriaus pavaduotoją Mindaugą Kairį. ...
-
Į Lietuvą pratyboms atvyksta JAV karinė technika10
Penktadienį Lenkijos - Lietuvos sieną kirto pirmoji JAV kariuomenės 2-ojo kavalerijos pulko karinės technikos kolona, pranešė Lietuvos kariuomenė. ...
-
Laisvės alėjoje kepa ir šakočius, ir sūrius3
Laisvės alėjoje karaliauja ūkininkai, tautodailininkai ir amatininkai. „Kauno mugė. Pavasaris 2024“ dalyvių stalai lūžta nuo mėsos, pieno, duonos, tekstilės, molio, juvelyrinių ir kitokių gaminių, dirbinių. ...
-
Kas ir kokiu atveju pripažįsta žmogų nepakaltinamu?2
Teismo esate pripažintas nukentėjusiuoju, bet nusikaltėlis – nepakaltinamas. Ar jums bus atlyginta žala ir kada žmogus laikomas nepakaltinamu? Į šiuos klausimus LNK atsakė Baudžiamosios ir baudžiamojo proceso teisės komiteto narys advoka...
-
Klaipėdoje baigti Baltijos prospekto sankryžos rekonstrukcijos darbai
Klaipėdoje pabaigti Baltijos prospekto, Šilutės plento ir Vilniaus plento žiedinės sankryžos rekonstrukcijos darbai, pranešė miesto savivaldybė. ...
-
Komendantūros: dažniausiai užduodami klausimai3
Kiekvienas žmogus turi žinoti savo vaidmenį valstybės gynyboje ir įgyti praktinių gebėjimų, reikalingų priešintis, nes žinios suteikia užtikrintumo, teigia Krašto apsaugos ministerija. Tam, kad visi suprastų savo vaidmenis, Lietuvos k...
-
Prezidentūra sureagavo į L. Kasčiūno siūlymus: tai negali vėlinti divizijos įgyvendinimo datos5
Krašto apsaugos ministro Lauryno Kasčiūno siūlymai stiprinti oro gynybą bei etapais didinti tankų pajėgas negali pavėlinti užsibrėžto divizijos suformavimo termino, teigia Prezidentūra. ...
-
Vilniaus savivaldybė pritarė naujojo darželio Perkūnkiemyje projektui3
Vilniaus miesto savivaldybė pritarė naujo, 290 vaikų talpinančio darželio Perkūnkiemio rajone projektui. Skelbiama, kad gavus statybų leidimus, darbus tikimasi pradėti kitų metų pradžioje. ...