Britské královské námořnictvo objevilo, že kamery v jeho průzkumných dronech K3 Scout obsahovaly komponenty odesílající data na čínskou IP adresu. Informaci přinesl deník The Telegraph, případ dobře ukazuje, jak se bezpečnostní riziko dokáže dostat do vojenské techniky přes slabé místo v dodavatelském řetězci.
Co se stalo v dodavatelském řetězci K3 Scout
Drony K3 Scout jsou dálkově řízené průzkumné čluny, které britské námořnictvo nasazovalo i v operacích elitních jednotek. Flotila těchto dronů stála přibližně 12 milionů liber, v přepočtu asi 336 milionů korun.
Rutinní bezpečnostní kontrola odhalila, že kamery na člunech pravidelně odesílaly takzvané „heartbeat“ signály na IP adresu v Číně. Takový signál obvykle jen potvrzuje, že je zařízení online a funguje, přesto šlo o nevyžádaný odchozí provoz mimo kontrolu britské armády. Ministerstvo obrany po zjištění nechalo z kamer odpojit veškeré připojení k internetu. Podle vyjádření ministerstva vyšetřování nenašlo důkazy, že by unikla citlivá data nebo že by byly kompromitovány systémy MoD, k odhalení navíc došlo díky standardním bezpečnostním testům, které ministerstvo u své techniky provádí průběžně.
Kde se v dodavatelském řetězci stala chyba
Drony dodávala společnost Kraken Technology Group, jeden z velkých dodavatelů britské armády. Samotné kamery ale pocházely od jiné firmy, od které Kraken dostal ujištění o jejich bezpečnosti. Problém tedy nevznikl u hlavního dodavatele, ale hlouběji v dodavatelském řetězci, u komponenty, kterou nikdo z koncových uživatelů přímo neaudituje.
Tenhle vzorec se v kybernetické bezpečnosti objevuje opakovaně. Firmware kamer, routerů nebo senzorů často obsahuje telemetrii, kterou výrobce nepopisuje transparentně, a bez důkladné kontroly komunikace zařízení po síti taková slabina v dodavatelském řetězci snadno unikne pozornosti i zkušeným zákazníkům.
Širší kontext čínské špionáže a rizika dodavatelského řetězce
Elitní jednotky (Royal Marines) používaly flotilu dronů K3 Scout od března, celkem jde o 20 plavidel pořízených v rámci programu Operation Beehive, jehož cílem je rozšířit využití bezpilotních systémů v britském námořnictvu. Drony slouží mimo jiné k průzkumu, ochraně sil a dalším operacím na moři, případ tak zvyšuje citlivost tématu, protože jde o techniku určenou přímo pro vojenské operace elitních jednotek.
Britská kontrarozvědka MI5 dlouhodobě upozorňuje na rostoucí aktivitu čínských zpravodajských služeb zaměřenou na Spojené království, včetně parlamentu. Odhalení u dronů K3 Scout tak zapadá do širšího trendu, kdy se pozornost přesouvá i k dodavatelskému řetězci hardwaru jako potenciálnímu vektoru sběru dat.
Poučení pro zabezpečení dodavatelského řetězce
Případ je dobrou připomínkou, že bezpečnostní audit dodavatelského řetězce se nemá zastavit u hlavního dodavatele. I komponenty od „prověřených“ subdodavatelů je potřeba testovat na síťovou komunikaci, ideálně izolovaně od produkční infrastruktury. Ujištění dodavatele o bezpečnosti produktu bez vlastního ověření nestačí, obzvlášť u zařízení nasazovaných ve vojenském nebo kriticky citlivém prostředí.
Zdroje
https://www.denik.cz/svet/drony-britskeho-namornictva-tajne-posilaly-data-do-ciny-pise-the-telegraph
https://www.lbc.co.uk/article/royal-navy-spy-drones-sending-signals-to-china-5Hjdfpm_2
