Kamery čínských státních firem sledují jihočeskou kritickou infrastrukturu

Jaké kamerové systémy hlídají vaši budovu? Ptala se redakce Drbny významných institucí a úřadů kritické infrastruktury v Jihočeském kraji. Hikvision, zněla ve většině případů odpověď.

Čína je všude?

Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) vydal v srpnu minulého roku zprávu, ve které varuje před čínskými kamerovými systémy, především značek Hikvision a Dahua. Právě tyto firmy dnes ovládají významnou část světového trhu a podle NÚKIB jsou jejich produkty rizikové.

Úřad upozorňuje, že kamery už dávno neslouží jen k obyčejnému monitorování prostoru. Díky umělé inteligenci, strojovému učení a 5G sítím dokážou zpracovávat obrovské množství dat v reálném čase, a tím se z nich stává bezpečnostní hrozba.

Hlavní problém spočívá v kombinaci technických slabin a čínského právního prostředí. V případě čínských firem existuje podle úřadu riziko, že objevené chyby mohou být zneužity Čínskou lidovou republikou (ČLR).

Rozšíření těchto typů kamer je však v České republice větší, než by se dalo předpokládat. Nakupují je firmy, státní instituce i podniky, v mnoha případech navíc orgány kritické infrastruktury.

Redakce Drbny kamery společnosti Hikvision objevila na více místech. Zařízení pozorují ulici například z budovy Krajského soudu, Krajského úřadu nebo České pošty. Z veřejně dostupných smluv také vyplývá, že Policie České republiky kamery těchto systémů nakoupila například do speciální výslechové místnosti v Jindřichově Hradci či si je umístila na budovu Krajského ředitelství.

Kamery Hikvision na budově České pošty na Senovážném náměstí.

Hrozba je podle kraje velmi pravděpodobná

Oslovené instituce redakci potvrdily, že kamerové systémy značek Hikvision či Dahua se ve veřejné správě skutečně používají. A to poměrně běžně, liší se jen rozsah a účel jejich nasazení. Hrozbu si ovšem uvědomují.

„Tak jako NÚKIB i Krajský úřad Jihočeského kraje posoudil tuto hrozbu na úrovni Vysoká – Hrozba je pravděpodobná až velmi pravděpodobná,“ sdělil mluvčí Krajského úřadu David Hocke.

I přesto podle něj Krajský úřad využívá v rámci svých budov právě systém bezpečnostních kamer s technologií Hikvision. Po obdržení varování NÚKIB prý kraj provedl analýzu rizik a došel k závěru, že nastavená bezpečnostní opatření pro provoz kamerových systémů jsou dostatečná.

Podobný přístup mají i další instituce. Krajský soud uvedl, že používá výhradně kamery Hikvision a že jejich bezpečnost byla v minulosti posouzena.

„Pracovníci soudu na denní bázi sledují veškerá NÚKIBem vydávaná varování, opatření, požadavky a identifikované hrozby, která operativně vyhodnocují a analyzují rizika z nich plynoucí. Na základě této analýzy soud v každém případě a u všech svých systémů operativně přijímá krátkodobá a zavádí dlouhodobá opatření vedoucí ke snížení, nebo eliminaci takto zjištěných rizik,“ doplnila bezpečnostní ředitelka Krajského soudu v Českých Budějovicích Pavla Hulcová.

Čínská videotechnika pronikla do výslechových místností i do vnitřních a vnějších prostor na policejních pobočkách po celém kraji. Z veřejně dostupných smluv vyplývá, že čínské kamerové systémy se nacházejí například ve Strakonicích, Budějcích i v Jindřichově Hradci.

„Analýza NÚKIB se jako argument, že bychom z výběrového řízení někoho, nabízejícího tuto technologii vyřadili, nedá použít. Rizika vyplývající z analýzy známe, technika je proto používaná mimo kritickou infrastrukturu a bez připojení do sítě internetu. Prostě tak, aby se nedala zneužít,“ míní mluvčí policie Jiří Matzner.

Vidí Čína i do Temelína?

Energetici v Temelíně v posledních letech rozšířili systém průmyslové televize. Do provozu uvedli nové kamery, které nově sledují i vnější objekty mimo hlavní výrobní blok, například čerpací stanici Hněvkovice nebo malou vodní elektrárnu Kořensko. Na fotografii, kterou k modernizaci sdíleli, se ovšem blyští nápis Hikvision.

„Kamerové a monitorovací systémy v elektrárně Temelín provozujeme výhradně v rámci uzavřené vnitřní sítě, která je striktně izolovaná od vnějších sítí i internetu. To zcela vylučuje vzdálený přístup třetích stran, stejně jako jakékoli sdílení dat na externí servery výrobců či jiných subjektů mimo Skupinu ČEZ,“ sdělil redakci Drbny mluvčí Marek Sviták.

Tato vnitřní síť, jež mluvčí redakci popsal, je privátní 5G síť, která zajišťuje nezávislost na veřejné síti. Všechna uživatelská data a infrastruktura jsou tak spravována v rámci vlastních systémů elektrárny.

Podobně jako v případě dalších institucí i vedení Temelína odpovědělo redakci jen na některé dotazy, a to s ohledem na zachování neveřejných taktických postupů.

Temelín instaloval otočné barevné kamery s fullHD rozlišením a 25násobným zoomováním.

V čem spočívá bezpečnostní riziko?

Výrobci kamer jsou na základě čínské legislativy povinni spolupracovat se státními orgány. „Je velmi pravděpodobné (75 až 85 procent), že stát toho využívá pro zpravodajskou činnost. Skrze státem vlastněné podniky má Peking vlastnický podíl v mnoha formálně soukromých společnostech (například Hikvision), v nichž navíc existují buňky vládnoucí komunistické strany dále posilující státní dohled,“ uvedl NÚKIB ve své zprávě.

U zařízení hrozí riziko backdoorů, tedy skrytých přístupů do zařízení, které mohou umožnit vzdálené ovládání kamery bez vědomí uživatele, anebo jiné narušení bezpečnosti přístrojů již během výroby či aktualizací firmwaru.

Rizikové je podle expertů zejména připojení kamer přímo do internetu nebo jejich správa třetí stranou. Litevské Národní centrum pro kybernetickou bezpečnost navíc už dříve upozornilo, že některé systémy Hikvision a Dahua umožňovaly vzdálené servisní ovládání, měly infrastrukturu na čínských či ruských serverech a používaly méně bezpečné komunikační protokoly.

Lepší nekupovat

Podobný pohled na věc zaznívá i z praxe kybernetických odborníků v jihočeské metropoli.

„Obecně je doporučováno i ze strany našich manažerů kybernetické bezpečnosti všem organizacím, nepoužívat technologické prostředky původem z ČLR, právě s odkazem na doporučení NÚKIB. Pokud Organizace zvažuje nákup (obměnu) stávajícího kamerové systému, hodnotí manažer jak technologii, tak dodavatele s ohledem na případná bezpečností rizika a vydá doporučení spravované organizaci k dalšímu postupu,“ vysvětlil redakci ředitel Jihočeského centra kybernetické bezpečnosti Marek Blažejovský.

Podle ředitele jsou rizika průběžně vyhodnocována v rámci standardního řízení. To zahrnuje jak identifikaci možných hrozeb, tak i slabin jednotlivých technologií. Na základě těchto analýz pak organizace dostávají doporučení, jak rizika omezit, včetně návrhů technických řešení od architektů kybernetické bezpečnosti.

„V praxi to vypadá tak, že pokud je přece jenom využívána výše zmíněná „problematická“ technologie, je izolována od sítě, to je od ostatních zařízení,“ dodal ředitel Jihočeského centra kybernetické bezpečnosti.

Opravdu stačí odpojení od internetu?

Otázkou ale zůstává, zda samotné odpojení kamer od internetu skutečně stačí k eliminaci bezpečnostních rizik. Na první pohled by se mohlo zdát, že pokud zařízení není připojeno k vnějším sítím, je automaticky chráněné před vzdáleným útokem nebo zneužitím.

Podle odborníků z oblasti kybernetické bezpečnosti je ale realita složitější. V praxi se často ukazuje rozdíl mezi tím, jak měl být systém původně zapojený, a tím, jak tomu ve skutečnosti je.

„Systém může být na začátku nasazený správně, ale v průběhu let dochází ke změnám konfigurace, doplňování vzdálené správy, napojení na dohledové systémy, servisní přístupy nebo propojení s dalšími sítěmi. Výsledkem pak může být, že systém, který měl být izolovaný, ve skutečnosti izolovaný není,“ vysvětlil Dávidu Pásztorovi z Investigace.cz expert na kybernetickou bezpečnost Martin Haller.

Nejdůležitější tedy podle odborníků je, zda je izolace systémů opravdu technicky zajištěna a neexistují jiné cesty, jak se ke kamerám dostat nebo jak z jejich sítě proniknout do dalších částí infrastruktury.

Problém sahá za samotná zařízení

NÚKIB zároveň upozorňuje, že problém není jen v samotných kamerách, ale v celém dodavatelském řetězci. Na vývoji a provozu těchto systémů se podílí i další čínské technologické firmy jako Huawei, Alibaba, Baidu, Megvii nebo SenseTime. Právě propojení kamerových systémů s pokročilou umělou inteligencí podle úřadu zvyšuje riziko sběru biometrických dat nebo vytváření detailních profilů osob.

Mezi nejlepší doporučení proto patří čínské IP kamery vůbec nepřipojovat do internetu, pravidelně kontrolovat jejich síťovou komunikaci, měnit výchozí hesla a důsledně sledovat nové bezpečnostní chyby. A pokud možno, vůbec je nekupovat.