Вчера изпратих въпрос до ДАНС относно видеокамери и валидатори в столичния градски транспорт
В малка част от реакциите и медийни публикации, това беше иронизирано като „Божанов се притесни, че руснаци и китайци ще ни следят в градския транспорт“. Разбирам тази интерпретация, тъй като ако човек няма целия контекст на киберсигурността и националната сигурност, всяко такова притеснение изглежда параноично. Затова ще си позволя малко по-дълго и техническо обяснение защо съществува риск и той трябва да бъде изследван.
Не казвам, че „руснаци и китайци ще ни следят“, обаче. Казвам, че чрез китайски и руски технологии, които са потенциално компрометирани, може да се въздейства негативно на стратегическата дейност – обществен транспорт в столицата.
По отношение на камерите – китайските (и не само) камери с известни уязвимости се използват по много начини от всякакви хакерски групи – и „частни“ и такива, които са свързани с чужди служби. Ако „хакването“ на тези камери е лесно (а то е, при някои модели), това допуска отдалечен контрол на тези устройства. Камерите едва ли са свързани директно с интернет, така че рискът е по-малък, но в зависимост от това как е сегментирана и защитена мрежата, пробив в една част може да доведе до достъп до камерите и извеждането на стрийм към трета страна.
Заради дългогодишни проблеми с евтини и незащитени устройства, Европейската комисия предлага „Регламент относно хоризонтални изисквания за киберсигурност за продукти с цифрови елементи и за изменение на Регламент (ЕС) 2019/1020“, с което да въведе изисквания към такъв тип устройства, вкл. за регулярни обновления, за докладване на уязвимости и др. Т.е. този проблем е доста масов и Европейската комисия е предприел законодателна инициатива.
Относно валидаторите, произведени в Русия – валидаторите имат задължително връзка с интернет (едва ли директно, но през вътрешна мрежа, която „излиза“ навън) защото трябва да извършва картови транзакции. Това означава, че са идеален обект на т.нар. supply chain атаки („атаки чрез веригата на доставки“). Дори в момента на производство и доставка да няма никаква уязвимост, при получаване на обновления такава може да бъде въведена.
Supply chain атаките са едни от най-трудните за установяване и предотвратяване, особено когато идват от място, на което имаш доверие, но то се оказва компрометирано. Една от най-мащабните хакерски атаки от последните години е т.нар. Solorigate, при което държавни институции и големи компании са атакувани през обновление за софтуер на SolarWinds. Затова големите компании правят оценка на риска на доставчиците си, за да оценят къде да фокусират повече усилия. Има цели компании, които се занимават изцяло с оценка на риска на доставчиците и на техните доставчици (защото един руски производител сам по себе си може да не е компрометиран, но негов подизпълнител може да бъде). Тъй като в Русия има репресивен режим, дори на добронамерена компания може да бъде въздействано, което увеличава риска. Такива са за хипотезите, поради които Касперски беше обявена за рискова компания от някои западни служби. Сложността при софтуерните системи е висока и това създава рискове за сигурността, които трябва да се изследват.
В конкретика, при въвеждане на „задна врата“ във валидатор и при недобра сегментация и защита на мрежата, това може да позволи „прескачане“ на хакерите от канала на валидатора към други системи. Вкл., например, за управление на стрелките или на електрическата мрежа в метрото, което вече води до рискове за физическата сигурност, а не само за мрежовата. Може да звучи параноично, и се надявам да остане такова, но това са реални рискове. Наскоро на една конференция, генерал от израелската армия сподели с половин уста за практиките на тяхната армия и служби спрямо неприятелски държави. Техните действия, по неговите думи, са с цел превенция и възпиране (deterrance), но други служби могат да имат други цели – от Христо Грозев и Белингкат разбрахме, че взривовете в български складове са дело на ГРУ (руското разузнаване).
С въпроса ми всъщност питам ДАНС дали ЦГМ и Метрополитен са взели необходимите мерки да ограничат тези рискове. Напр. дали са настроили защитните стени (firewall) правилно, дали следят за необичайни портове, за необичаен изходящ трафик към непознати адреси, дали пароли по подразбиране са сменени, как се управляват, дали се прилагат обновления (patch-ове), дали се следи трафика след прилагане на обновления, и други добри практики.
Винаги, когато се говори за киберсигурност и национална сигурност, нещата звучат притеснително за страничния наблюдател. А не трябва – всичко се свежда до управление на риска и прилагане на добри практики. В ДАНС има професионалисти, които разбират това и затова очаквам позитивен отговор, но съм длъжен да поставя тези въпроси. Киберсигурността на стратегически обекти е в компетенцията на ДАНС, но докато бях министър работихме добре съвместно с тях, тъй като министерството отговаря за киберсигурността в администрацията. А понякога дори за най-техническите неща се изисква политическа воля.
Материалът Киберсигурност на стратегически обекти е публикуван за пръв път на БЛОГодаря.
