Ruské radary na Slovensku? Posielajú citlivé dáta Moskve?

Ruský pôvod?

Dnes ešte nemáme dôkaz, že nové fixné radary na slovenských cestách vyrobila ruská spoločnosť SIMICON. Rovnako nemáme dôkaz, že zariadenia posielajú údaje do Ruska či dokonca priamo Putinovmu režimu. Ministerstvo vnútra oba scenáre odmieta. To však ešte neznamená, že otázky môžeme zmiesť zo stola.

Progresívne Slovensko minulý týždeň upozornilo na výraznú podobnosť namontovaných kamier s ruským systémom CORDON. Peter Bátor tvrdí, že odborníci porovnali kryt, optiku, ventilátor, konektory, polohu skrutiek a ďalšie konštrukčné detaily. Zhoda dosahuje až 99 %.

Predseda PS Michal Šimečka zvolil v statuse ešte tvrdšie slová. Pýta sa: „Montuje u nás Ficova vláda sledovací systém ruskej výroby?“ Hovorí o podozrení na veľký bezpečnostný škandál a tvrdí, že zariadenia môžu zbierať evidenčné čísla, modely vozidiel, fotografie, videá aj zábery ľudí v kabíne. Podľa Šimečku môžu údaje následne odosielať nevedno kam, potenciálne aj Putinovmu režimu. Varuje tiež pred záznamami pohybu bezpečnostných zložiek a vojenskej techniky.

Ide o tvrdenia predsedu opozičnej strany, nie o potvrdené zistenie, že dáta skutočne mieria do Ruska. Šimečka žiada, aby minister zverejnil pôvod systému, spôsob obstarania, meno dodávateľa a celkovú cenu.

Vizuálna zhoda neurčuje pôvod zariadenia

Rovnaký alebo veľmi podobný kryt môže používať iný výrobca, dodávateľ môže techniku premenovať a fotografia zvonku neodhalí hardvér ani softvér vo vnútri. Na spoľahlivú identifikáciu potrebujeme typový štítok, výrobné číslo, presné označenie modelu, číslo typového schválenia a dokumentáciu k dodávke. Práve tieto základné údaje ministerstvo pod vedením Matúša Šutaja Eštoka vo verejnej reakcii neposkytlo.

Rezort hovorí o uzavretej sieti

Ministerstvo vnútra tvrdí, že zariadenie nepochádza od ruského výrobcu. Odkazuje na certifikát Slovenského metrologického ústavu, ktorý má výrobcu jednoznačne identifikovať. Rezort však nezverejnil číslo certifikátu ani meno firmy, takže verejnosť si jeho tvrdenie nemôže sama skontrolovať.

Podľa ministerstva kamera komunikuje iba s určeným systémom rezortu v uzavretej a izolovanej infraštruktúre. Zariadenie vytvára fotografie, videá a potrebné sprievodné údaje, dôkazový balík kryptograficky podpíše, dočasne ho uloží a bezpečne odošle do systému ministerstva. Samotná kamera vraj nemá prístup do štátnych registrov. Evidenčné číslo a ďalšie informácie spracúva až rezortné zázemie. Vraj.

Takáto architektúra dáva z bezpečnostného hľadiska zmysel a riziko by výrazne znížila. Verejnosť však zatiaľ pozná iba opis ministerstva, nie výsledok nezávislého bezpečnostného auditu.

Rezort zároveň odmietol spájanie fixných kamier so zmluvou spoločnosti NetPoint za takmer 500-tisíc eur. Tá sa podľa neho týka desiatich mobilných meračov rýchlosti nemeckej výroby, teda iného projektu. Tým však stále nezodpovedal základnú otázku. Kto dodal zariadenia, ktoré už stoja na D2 pri odpočívadle Jarovce a na Hlbokej v Trnave?

Čo systém SIMICON skutočne dokáže?

Firma SIMICON sídli v Petrohrade a vyrába systémy CORDON na meranie rýchlosti a automatizovaný dohľad nad premávkou. V produktových materiáloch uvádza meranie viacerých jazdných pruhov, automatické čítanie evidenčných čísel, rozlišovanie kategórie vozidla, rozpoznávanie značky a modelu, tvorbu fotografií aj videa, lokálne ukladanie záznamov a odosielanie údajov do policajného systému.

Kamera môže na zábere zachytiť vodiča či spolujazdca, ak jej to dovolí uhol, svetlo a čelné sklo. To však automaticky neznamená, že vykonáva biometrické rozpoznávanie tváre alebo spoľahlivo určuje totožnosť človeka.

Môžu sa citlivé údaje dostať do Ruska?

Technicky môže údaje odosielať takmer každé sieťovo pripojené zariadenie, ak obsahuje zadné vrátka, škodlivý firmvér, aktívny rádiový modul alebo nesprávne nastavené spojenie. Rovnaké riziko sa netýka iba ruskej techniky. Rozhoduje konkrétny hardvér, zdrojový kód, spôsob aktualizácií, vzdialená správa, povolená komunikácia smerom von, správa šifrovacích kľúčov a kontrola prevádzky v sieti.

Zatiaľ nič nedokazuje, že slovenské kamery komunikujú s Ruskom. Tvrdenie, že už teraz posielajú Putinovmu režimu fotografie miliónov vodičov či pohyb vojenskej techniky, preto prekračuje známe fakty. Ak by však útočník získal prístup k rozsiahlej databáze evidenčných čísel, času a miest prejazdu, dokázal by z nej skladať pohybové profily bežných ľudí, policajných vozidiel aj vojenských presunov. Takéto údaje majú spravodajskú hodnotu a štát ich musí chrániť mimoriadne prísne.

Ministerstvo môže tvrdenie o uzavretej sieti podoprieť nezávislým auditom. Ten má preveriť firmvér, všetky sieťové rozhrania, aktualizačné servery, vzdialený servis, dátové toky, uchovávanie záznamov aj skutočné vypnutie prípadných Wi-Fi a mobilných modulov. Bez takejto kontroly zostáva ubezpečenie rezortu iba ubezpečením rezortu.

Metrologický certifikát nie je bezpečnostný audit!

Typové schválenie potvrdzuje najmä to, že merač pri stanovených podmienkach meria v dovolenej tolerancii a spĺňa metrologické požiadavky. Nehovorí automaticky nič o zadných vrátkach, dodávateľskom reťazci, bezpečnosti firmvéru ani o tom, kam môže zariadenie posielať údaje.

Vo verejnej databáze slovenských typových schválení sa nachádza napríklad model iDS-TCV907-BIR čínskej spoločnosti Hikvision, pri ktorom vystupuje ako žiadateľ BETAMONT. Databáza obsahuje aj švédsky model Axis Q1686-DLE, pri ktorom figuruje spoločnosť Triton SECURITY. Ani jeden z týchto dokumentov sám osebe nedokazuje, že práve daný model namontovali na dve známe slovenské miesta. Ukazuje však, aké jednoduché by bolo spor ukončiť. Ministerstvu stačí zverejniť presný model a číslo certifikátu osadených kusov.

Šutaj Eštok môže podozrenie ukončiť za pár minút

Minister by mal verejnosti povedať, kto zariadenia vyrobil, kto ich doviezol a namontoval, komu patria, na základe akej zmluvy ich štát používa, koľko kusov objednal a koľko celý systém stojí. Rovnako má zverejniť číslo typového schválenia, bezpečnostný audit, pravidlá uchovávania dát, krajinu umiestnenia serverov, zoznam servisných subjektov a spôsob aktualizácie firmvéru.

Odpoveď „máme certifikát“ nestačí, ak rezort certifikát verejnosti neukáže. Štát buduje systém, ktorý bude automaticky zaznamenávať pohyb veľkého množstva áut a poslúži aj ako podklad na ukladanie pokút. Občan preto nemusí veriť ministrovi na slovo. Minister má priniesť overiteľné fakty.

Celý príbeh navyše prichádza po problémoch s veľkým nákupom 279 radarov a ďalších zariadení. Tie už mali pokrývať Slovensko od júna, no Úrad pre verejné obstarávanie našiel v súťaži chyby a projekt nabral meškanie. Nejasný pôvod prvých namontovaných kusov dôveru rozhodne nezachraňuje.

„Ruský krájač jabĺk“ v prípade pokút nie je ideál

Ruská technika je dnes vo veľkej časti sveta skôr terčom posmechu než synonymom presnosti, kvality a kybernetickej bezpečnosti.

Miniséria Černobyľ od HBO pripomína starý vtip: „Viete, čo je veľké ako dom, žerie to 20 litrov nafty za hodinu, šialene to dymí, robí rámus a krája to jablká na tretiny? Sovietsky stroj na krájanie jabĺk na štvrtiny!“ Pri zariadení, pomocou ktorého štát ukladá pokuty, by podobná (ne)funkčnosť prestala byť smiešna.

Ak má podobne "presne či účinne" merať rýchlosť či iné priestupky a dodávať tým podklady na pokuty, certifikácia a správne ciachovanie je nutné a bez ohľadu na politickú preferenciu by mala byť transparetne overiteľná každým vodičom, ktorý môže čeliť pokute. V opačnom prípade, podobne ako v prípade meračov alkoholu, alebo iných radarov je možné pokuty napadnúť a spochybniť. 

Obrázok na titulku nie je reálna fotografia, ale počítačom vytvorená ilustrácia.