Verkehrsblitzer mit Backdoor: Eine SMS öffnet den Fernzugriff

Ein Verkehrsblitzer sollte Temposünder erfassen, ließ sich offenbar aber selbst aus der Ferne übernehmen. In einem slowakischen Pilotgerät entdeckten Sicherheitsprüfer einen SMS-Zugang über zwölf russische Telefonnummern, weitere undokumentierte Schnittstellen und einen ungeschützten Videostream.

Zwölf russische Nummern im System

Die slowakische Nationale Sicherheitsbehörde NBÚ stuft mehrere Blitzer der Baureihen NERO R-ONE und Cordon als „erhebliche Cyberbedrohung“ ein. Für ihre Analyse zerlegte die Behörde ein zur Verfügung gestelltes Exemplar des NERO R-ONE. Dabei stieß sie laut ihrem Sicherheitshinweis auf Unstimmigkeiten bei Herkunft, Hardware, Software und den vorhandenen Kommunikationsschnittstellen.

Besonders brisant ist ein nicht dokumentierter Mobilfunkmechanismus. Im System waren zwölf Telefonnummern mit russischer Landesvorwahl fest hinterlegt. Eine von diesen Nummern versandte SMS konnte einen Fernzugriff aktivieren, zusammen mit einem Passwort waren anschließend Shell- und Netzwerkzugriffe auf den Blitzer möglich. Wer über diesen Zugang verfügte, hätte das Gerät damit weitgehend kontrollieren können.

Daneben entdeckten die Prüfer einen zusätzlichen 3G-/4G-Baustein und ein aktives WLAN, die in der Dokumentation nicht ausreichend ausgewiesen waren. Secure Boot war wirkungslos beziehungsweise deaktiviert, sodass das Gerät die Herkunft gestarteter Firmware nicht zuverlässig prüfte. Das Webinterface wies mehrere Schwachstellen auf. Ein vorkonfigurierter RTSP-Stream übertrug das Kamerabild zudem ohne Passwort an jeden, der die IP-Adresse kannte.

Hinweise darauf, dass die Zugänge tatsächlich von Russland oder anderen Akteuren missbraucht wurden, liegen bislang nicht vor. Schon ihre Existenz genügte dem NBÚ jedoch für eine offizielle Warnung.

Zyprisches Etikett auf russischer Technik

Als Hersteller des NERO R-ONE wurde die zyprische Firma Sodasus angegeben. Die Untersuchung von Leiterplatten, Firmware und Steuereinheit führte die Behörde hingegen zum russischen CORDON PRO.M des in Sankt Petersburg ansässigen Herstellers Simicon. „NERO R-ONE“ tauchte demnach im Wesentlichen in der slowakischen Oberfläche auf, während tiefer liegende Hard- und Software auf die russische Plattform verwiesen.

Der Fall ist inzwischen auch politisch brisant. Das slowakische Innenministerium hatte zunächst bestritten, russische Geräte einzusetzen, und auf ein geschlossenes Behördennetz verwiesen. Nach der Analyse ließ es die beiden Blitzer aus dem Pilotbetrieb entfernen. Generalstaatsanwalt Maroš Žilinka hat die Staatsanwaltschaft in Bratislava außerdem mit einer strafrechtlichen Prüfung der Beschaffung beauftragt.

279 Blitzer (nicht) betroffen

Mehrere internationale Berichte sprechen von 279 bereits gekauften oder sogar installierten Blitzern. Das ist nach Angaben des Innenministeriums falsch. Die Zahl entstammt einer früheren Ausschreibung für 213 stationäre Blitzer, 48 Analysekameras und 18 Abschnittskontrollen. Diese Beschaffung wurde ausgesetzt. Für den aktuellen Pilotversuch wurden laut der slowakischen Nachrichtenagentur TASR lediglich zwei Geräte geliefert und aufgestellt.

Das Sicherheitsproblem wurde damit vor einer landesweiten Einführung entdeckt. Der NBÚ warnt dennoch nicht nur slowakische Behörden: Betreiber wichtiger Dienste und andere Organisationen sollen prüfen, ob Geräte der Reihen NERO R-ONE oder Cordon in ihrer Infrastruktur eingesetzt werden und Funde melden.