Dvanásť ruských čísel a možný priamy prístup
Rozobratie kamery prinieslo zistenie, ktoré tvorí jadro celého bezpečnostného škandálu. Okrem priznaného 3G/4G modulu našli experti ďalší komunikačný modul, ktorý dokumentácia neuvádzala. Po vložení SIM karty sa mohol pripojiť k mobilnej sieti. Slot sa nachádzal za ľahko dostupným krytom a človek pri ňom nemusel vstúpiť do zorného poľa kamery.
Každý modul využíval samostatnú aplikáciu podporujúcu hovory a SMS. Pri prijatí správy aplikácia porovnala číslo odosielateľa so zoznamom povolených kontaktov. Skúmaná kamera mala v tomto zozname napevno uložených 12 telefónnych čísel s ruskými predvoľbami +78 a +79. Dve patrili pevným linkám, ostatné mobilným číslam. Bežné administračné rozhranie ich používateľovi vôbec neukázalo.
Pri telefonickom spojení kamera spustila príkazy potrebné na vzdialený prístup. Cez SMS prijímala povely na reštart modemu alebo celého zariadenia, nadviazanie hovoru, zmenu režimu pripojenia či odoslanie sériového čísla.
Ak jedno z povolených ruských čísel ovládala ruská strana a poznala potrebné heslo, mohla získať priamy prístup ku kamere. Analýza neuvádza majiteľov čísel a nedokazuje, že niekto túto možnosť skutočne využil. Dokazuje však, že výrobca pripravil funkčný komunikačný mechanizmus, ktorý dôveroval ruským číslam a pred bežným správcom ho ukryl.
Živý prenos z Bratislavy bez hesla
Skúmaný kus mal nakonfigurovaný videostream RTSP bez hesla. Obraz tak získal ktokoľvek so sieťovým prístupom ku kamere. NBÚ korektne upozornil, že išlo o nastavenie konkrétnej vzorky, nie o neodstrániteľnú vlastnosť firmvéru.
Samostatné zistenie ukázalo, že kamera na Plynárenskej ulici v Bratislave už v marci vysielala obraz cez verejnú IP adresu. Sieťový administrátor, Ján Neuročný, podľa medializovaných informácií našiel v dostupnom certifikáte aj názov Simicon, Petrohrad a firemnú e-mailovú adresu.
Soitron namieta, že zariadenie v tom čase spravovala spoločnosť it-s pre potreby certifikácie a do internej siete Soitronu ho pripojili až 29. mája 2026. Od tohto dátumu podľa firmy externý prístup nefungoval. Rozdelenie zodpovednosti medzi firmy treba vyšetriť.
Výsledok však zostáva obludný. Kamera určená pre štátny systém vysielala živý obraz z Bratislavy cez verejnú IP adresu a jej ruský pôvod prezrádzali údaje, ktoré si všimol nezávislý odborník skôr než zodpovedné inštitúcie.
Cyprus na štítku, Petrohrad pod krytom
Radarová kamera prišla na Slovensko pod obchodným názvom NERO R-ONE a dokumentácia za výrobcu označovala cyperskú spoločnosť SODASUS. Národný bezpečnostný úrad však zariadenie rozobral a identifikoval ho ako ruský CORDON PRO.M od petrohradskej firmy Simicon.
Nešlo o jednu ruskú súčiastku medzi desiatkami komponentov z celého sveta. Označenie NERO R-ONE sa podľa analýzy objavilo iba v slovenskej verzii webového rozhrania. Nízkoúrovňový firmvér sa hlásil ako platforma Simicon, plošné spoje niesli stopy ruského výrobcu a NBÚ našiel riadiacu jednotku RK3588 na základnej doske od Simiconu. Ruský pôvod mal aj celý softvér, ktorý kameru riadil, vyhodnocoval údaje zo senzorov, identifikoval priestupky a zabezpečoval komunikáciu. Zariadenie obsahovalo aj čínsky obrazový snímač a nemecký radarový blok.
NERO R-ONE nepredstavoval cyperský radar s náhodnou ruskou prímesou. NBÚ pod európskym obalom našiel ruskú platformu CORDON PRO.M s ruským softvérom.
Kybernetický deň otvorených dverí
Ruské čísla nepredstavovali jedinú cestu dovnútra. Do účtu „root“, ktorý poskytoval úplnú kontrolu nad operačným systémom, sa dalo prihlásiť cez servisnú konzolu aj po sieti prostredníctvom protokolov Telnet a SSH. Výrobca pritom vložil heslo napevno priamo do firmvéru.
Správca alebo útočník sa mohol ku kamere dostať cez ethernet, Wi-Fi, mobilné moduly a pri príslušnej konfigurácii aj cez VPN. Softvér obsahoval dve prednastavené spojenia OpenVPN so zabudovanými heslami. NBÚ navyše zistil vypnutú ochranu SecureBoot, ktorá má zabrániť spusteniu nedôveryhodného softvéru.
Webové rozhranie pracovalo s nebezpečným spôsobom spúšťania príkazov. Analýza našla potenciálne zneužiteľný vzor v zdrojovom kóde 260-krát. Pri vhodnej chybe mohol útočník spustiť vlastný kód s plnými administrátorskými právami.
Certifikát na súbor, ktorý nič nemeral
Keby sa príbeh skončil pri nezdokumentovanom modeme a pevnom hesle, stále by išlo o vážny škandál. Analýza NBÚ však otvorila aj otázku, čo vlastne certifikoval Slovenský metrologický ústav.
Kamera podľa zistení NBÚ vôbec nepoužívala merací softvér uvedený pri certifikácii. Kontrolný súčet SHA-1 patril malému súboru vo firmvéri, ktorý sa na meraní nepodieľal.
Analýza navyše uvádza, že súbor niekto pred vytvorením odtlačku úmyselne poškodil a pripravil ho pre 32-bitovú architektúru i386. Kamera pritom pracovala so 64-bitovou platformou ARM, takže daný súbor na nej ani nemohol plniť deklarovanú úlohu.
Slovenský metrologický ústav neposudzuje spravodajské riziká ani geopolitický pôvod techniky. Overuje metrologické vlastnosti meradiel. Práve preto však musí veľmi presne vysvetliť, ako certifikácia pracovala s kontrolným súčtom súboru, ktorý kamera nepoužívala na meranie.
Minister, Matúš Šutaj Eštok, vyhlásil, že rezort certifikátu „bezvýhradne dôveroval“. Takáto veta môže znieť dobre pri reklame na banku, nie pri obstarávaní techniky pre bezpečnostný rezort.
Obrázok na titulku nie je reálna fotografia, ale počítačom vytvorená ilustrácia.
