Lietuvas institūcijās plaši izmantotajām Ķīnā ražotajām videonovērošanas kamerām "Hikvision" un "Dahua" ir drošības problēmas, kas ļauj tām diezgan vienkārši piekļūt attālināti un veikt novērošanu, secinājis Lietuvas Aizsardzības ministrijai pakļautais Nacionālais kiberdrošības centrs.
Tā eksperti pārbaudījuši šīs kameras, kas ieņem lielu daļu tirgus Eiropā, reaģējot uz Lietuvas sabiedriskās raidorganizācijas LRT pētnieciskās žurnālistikas nodaļas veiktu pētījumu, un atklājuši tām četrus būtiskus drošības pārkāpumus.
Kā pastāstījis centra direktors Rītis Rainis, pēc noklusējuma šo kameru tālvadība ir ieslēgta, bet nopietnas drošības problēmas ļauj šai iekārtai pieslēgties nepiederošām personām.
"Kamerām ir tālvadības funkcija, paroles tiek pārraidītas pa nešifrētu kanālu, pašas paroles šifrētas ar vājiem, ļoti veciem algoritmiem. Drošības līmenis ir tāds, ka šo kameru paroles var viegli pārņemt no sakaru plūsmas, nolasīt, atkodēt, pieslēgties kamerām un tālāk darīt jebko," viņš skaidrojis, precizējot, ka paroles pārņemšana ļauj kameru gan ieslēgt, gan izslēgt, gan mainīt tās iestatījumus.
Pēc Nacionālā kiberdrošības centra vadītāja teiktā, kopumā šīm kamerām konstatēta 61 no drošības viedokļa jutīga vieta un 23 no tām saistītas ar augsta līmeņa risku, proti, ļauj tās viegli izmantot tā dēvētajiem DDoS jeb izkliedēto pakalpojuma atteikumu uzbrukumiem, ļaunprātīga koda iegulšanai vai citiem ļaunprātīgiem mērķiem.
Atklāts, ka "Hikvision" ražotājs arī vāc konkrētu informāciju par ierīču tehniskajiem parametriem. Speciālisti arī konstatējuši, ka kameru programmatūru var atjaunot tikai manuāli, no tīmekļa vietnes Ķīnā, taču attiecīgā IP adrese novirza uz serveri Krievijā, no kura arī tiek veikts nosūtīšanas process, skaidrojis Rainis.
Saskaņā ar Nacionālā kiberdrošības centra datiem šādas kameras izmanto 57 valsts sektora institūcijas Lietuvā, un 24 no tām ir tieši saistītas ar internetu.
Centrs ieteicis iestādēm tās izolēt atsevišķā tīklā, kam nebūtu pieslēguma pie publiskā interneta, vai arī veikt nepieciešamos drošības iestatījumus, kā arī nodrošināt, lai programmu atjauninājumi tiktu sūtīti no Eiropas Savienības (ES) valstīm.
"Mūsuprāt, labs risinājums būtu atjauninājumu lejuplādēšanai ierīkot serveri Lietuvā," norādījis Rainis, piebilstot, ka lejuplādējamā programmatūra būtu papildus jāpārbauda.
Kiberdrošības eksperti arī iesaka izmantot ugunsmūrus un bloķēt tos pievadus, kurus kamera neizmanto, lai tādējādi samazinātu iespējas izmantot kameras kiberuzbrukumiem.
Iestādēm, kas iegādājas jaunas kameras, ieteikts piegādātājam izvirzīt prasību, lai tās tiek piegādātas ar jaunākajiem programmatūras atjauninājumiem, kuros šie trūkumi jau būtu novērsti, kā arī norādīt jau pieminēto prasību, lai programmatūras atjauninājumu lejuplādēšanas serveri atrastos Lietuvā vai vismaz kādā citā ES valstī. Risku samazināšanas nolūkā arī ieteikts, lai ražotāji izslēdz nevajadzīgās kameru funkcijas.
Kā ziņots, Lietuvas sabiedriskās raidorganizācijas LRT ziņu portāls "Lrt.lt", atsaucoties uz savu žurnālistu pētījumu, šā gada sākumā vēstīja, ka minētās novērošanas kameras, no kurām drošības apsvērumu dēļ atteicies ASV valsts sektors, izmanto vairākas Lietuvas institūcijas, tai skaitā Vadības aizsardzības departaments, Migrācijas departaments un Policijas departaments, kā arī Valsts robežapsardzes dienests, Sabiedriskās drošības dienests un valsts aeronavigācijas uzņēmums "Oro navigacija".
Šo institūciju pārstāvji tobrīd norādīja, ka kameras tiek izmantotas tādās vietās, kur nav darīšanas ar informāciju, kas būtu sensitīva no izlūkošanas viedokļa, vai arī skaidroja, ka kameras ir aizsargātas pret uzlaušanas risku.
Viļņas pašvaldības administrācijas direktora vietnieks Adoms Bužinsks ziņu aģentūrai BNS apliecinājis, ka tās tiek izmantotas arī Lietuvas galvaspilsētā.
Kā, reaģējot uz Nacionālā kiberdrošības centra veikto analīzi, tagad uzsvēris Lietuvas aizsardzības ministrs Raimunds Karoblis, nav tādas informācijas, ka ekspertu uzrādītās kameru drošības problēmas kāds būtu izmantojis.
"Šajos laikos, kad tiek lietoti visiem kopīgi IT instrumenti, līdz ar iespējām parādās arī riski, kas jākontrolē," viņš norādījis.
Ministrs piebildis, ka centra eksperti iestādēm iesaka konkrētus soļus drošības garantēšanai, bet nesniedz ieteikumu nomainīt pašas kameras.
Tikmēr premjerministrs Sauļus Skvernelis izteicies, ka noteikumi attiecībā uz konkrētu ražotāju atbilstību nacionālajai drošībai būtu jāparedz normatīvajos aktos, lai organizācijas varētu attiecīgi koriģēt savus publiskos iepirkumus.
Savukārt Seima Nacionālās drošības un aizsardzības komitejas vadītājs Daiņus Gaižausks norādījis, ka Lietuvas institūcijām, ieskaitot parlamentu, nedrošās kameras būtu jādemontē, ja citādi garantēt drošību nav iespējams.
Ķīnas ražotāja "Hikvision" pārstāvis Lietuvā Andrjus Dapkevičs ziņu aģentūrai BNS sacījis, ka ekspertu pamanītie trūkumi tiks novērsti un pārskats jau nosūtīts ražotājam, kas analizēs, kā risināt problēmas.
Viņš izteicies, ka Nacionālā kiberdrošības centra analīzi vērtē pozitīvi, jo tā ļaus pilnveidot novērošanas sistēmas, bet piebildis, ka līdz ar visu ieteikumu izpildīšanu kameras kļūtu mazāk funkcionālas un tādējādi, iespējams, vairs nebūtu tik pievilcīgas tirgū.
Pēc Dapkeviča teiktā, uzņēmuma noalgotie eksperti nav spējuši uzlauzt sistēmas, bet vēl pirms Covid-19 karantīnas izziņošanas esot bijis paredzēts sarīkot hakatonu programmētājiem, lai viņi praktiski pārbauda iespējamās drošības problēmas, un šī iecere joprojām nav atmesta.
Viņš solījis, ka tiks pievērsta uzmanība arī ekspertu ieteikumam atjauninājumu lejuplādēšanai ierīkot serveri Lietuvā.