Slovenská Národní bezpečnostní autorita (NBU) upozornila na závažné bezpečnostní problémy v rychlostních kamerách NERO R-ONE. Podle jejího technického rozboru zařízení obsahují mechanismus, který umožňuje prostřednictvím SMS zprávy získat přístup k shellu a síťovým funkcím kamery. Mechanismus přitom využívá předem nastavený seznam ruských telefonních čísel.

NBU zároveň zjistil další bezpečnostní nedostatky. Kamerám je například vypnutý Secure Boot, takže zařízení neověřuje původ používaného firmwaru. Webové rozhraní navíc obsahuje několik zranitelností a živý obraz z kamery lze podle zprávy získat bez hesla, pokud útočník zná její IP adresu.

Kamery byly pořízeny v rámci projektu modernizace slovenského systému monitorování dopravy financovaného částkou 30 milionů eur z prostředků EU. Slovenské ministerstvo vnitra nakoupilo celkem 279 zařízení. Podle NBU jde o přeznačenou ruskou kameru CORDON PRO.M od petrohradské společnosti Semicon. K nákupu mělo dojít prostřednictvím společnosti z Kypru, u níž slovenská média upozorňovala také na problematickou certifikaci.

Ministerstvo vnitra původně ruský původ zařízení odmítalo a argumentovalo mimo jiné tím, že kamery budou provozovány v uzavřené síti. Po zjištěních NBU však byly již nainstalované kamery deaktivovány. Slovenské úřady nyní plánují nezávislý audit, který má závěry bezpečnostní služby ověřit. Podobná zařízení se navíc podle dostupných informací mohou nacházet i v dalších zemích střední a východní Evropy.

Zdroj: https://risky.biz/risky-bulletin-slovakia-finds-russian-backdoor-in-traffic-speed-cameras/