Hakeri rastavili Flock Safety kameru

Skupina hakera fizički je uklonila i reverzno inženjerirala cestovnu kameru tvrtke Flock Safety, kompanije koja stoji iza jedne od najvećih mreža automatiziranih čitača registarskih pločica (ALPR) koje djeluju na američkim cestama. Prema izvješćima, hakeri su iz uređaja izvukli šifrirni ključ zajedno s internim podacima koji pokazuju točno kako te kamere snimaju vozila, otkrivaju ljude i obrađuju snimke koje prikupljaju. Otkriće je značajno jer je Flock Safety javno izjavio da njegove kamere nikada nisu hakirane. Ovaj incident, bez obzira na svoj razmjer, izravno osporava tu tvrdnju i otvara rijedak uvid u nadzorni sustav s kojim se većina vozača susreće svakodnevno, a da pritom nikada ne vidi kako zapravo funkcionira.

Flock kamere postavljene su duž ulica i autocesta u tisućama zajednica, tiho fotografirajući registarske pločice i, kako navodno pokazuju izvučeni podaci, također otkrivajući ljude u kadru, a ne samo vozila. Taj je detalj važan. Flock je dugo reklamirao svoju tehnologiju kao alat za čitanje registarskih pločica za potrebe policije, no podaci izvučeni iz hakiranog uređaja upućuju na to da se mogućnosti sustava protežu dalje, prema identificiranju i evidentiranju pojedinaca, a ne samo automobila.

Kako Flock mreža kamera zapravo funkcionira

Razumijevanje zašto je ovo važno zahtijeva razumijevanje čemu su Flock kamere namijenjene. Svaka jedinica snima slike vozila u prolazu, čita registarske pločice i šalje te informacije u pretraživu bazu podataka koju policijske agencije mogu pretraživati. Budući da su kamere umrežene, jedna pretraga teoretski može pratiti kretanje vozila kroz više jurisdikcija tijekom vremena, učinkovito gradeći povijest putovanja bez naloga vezanog uz bilo koju konkretnu istragu.

Napor hakera na reverznom inženjeriranju važan je jer razotkriva tehničku srž tog procesa. Izvlačenje šifrirnog ključa koji štiti podatke na uređaju upućuje na to da sigurnost koja štiti te snimke nije bila tako čvrsta kako je tvrtka tvrdila. Kada šifriranje namijenjeno zaštiti osjetljivih nadzornih podataka može biti probijeno od strane vanjskih istraživača koji su skinuli jednu jedinicu s stupa, to postavlja legitimna pitanja o tome koliko je široka mreža, i milijuni zapisa koje generira, zapravo zaštićeni od neovlaštenog pristupa.

To također otvara veće pitanje koje prati tehnologiju čitača registarskih pločica godinama: tko još može pristupiti tim podacima i pod čijim nadzorom? Infrastruktura masovnog nadzora izgrađena za potrebe policije ne postoji u vakuumu. Jednom kada je mreža izgrađena i dokazano ranjiva na neovlašteno mijenjanje, razgovor se pomiče s teoretskih zabrinutosti o privatnosti na konkretne sigurnosne propuste koje građani nemaju načina otkriti niti se iz njih izuzeti.

Što to znači za vas

Većina ljudi ne odlučuje stupiti u interakciju s Flock kamerom. Jednostavno prođu pokraj nje, često ne znajući da je snimila njihovu pločicu, njihovu lokaciju, a sada očito i slike njih kao osobe. Ta pasivna, neizbježna priroda ALPR nadzora upravo je ono što ovo otkriće čini značajnim. Za razliku od prijave za aplikaciju ili prihvaćanja trake s kolačićima, ovdje ne postoji mehanizam pristanka. Infrastruktura postoji na javnim cestama i snima svakoga ko prođe.

Otkriće da se jedna kamera može fizički ukloniti i da se njezino šifriranje može pobijediti trebalo bi potaknuti širi pogled na to kako dobavljači nadzorne opreme osiguravaju podatke koje prikupljaju, a ne samo kako reklamiraju svoje prednosti u borbi protiv kriminala. To je obrazac koji odjekuje drugim pričama o tome kako se nadzorni alati povezani s državom ili bliski državi mogu okrenuti protiv običnih ljudi kada se sigurnost tretira kao sekundarna u odnosu na funkcionalnost. Izvještavanje o iranskim Telegram kampanjama špijunskog softvera usmjerenima na novinare i disidente pokazuje sličnu dinamiku: alati izgrađeni za nadzor mogu postati instrumenti šireg upada kada njihove zaštite zakažu ili budu namjerno oslabljene.

Za svakodnevne vozače ne postoji jednostavan način da potpuno izbjegnu ALPR kamere jer su one ugrađene u javnu infrastrukturu u mnogim zajednicama. No svijest je ipak korisna. Znajući da ova vrsta nadzora postoji, kako bi trebala funkcionirati i kako može zakazati, stanovnici dobivaju osnovu za postavljanje težih pitanja lokalnim dužnosnicima i policijskim agencijama o politikama zadržavanja podataka, kontrolama pristupa i tome provode li se šifriranje i sigurnosne revizije doista, a ne samo reklamiraju.

Ključni zaključci

Ovaj incident podsjetnik je da su sustavi masovnog nadzora samo onoliko pouzdani koliko je dobro sigurnosno inženjerstvo iza njih. Javno uvjeravanje tvrtke da njezini uređaji nikada nisu kompromitirani malo znači kada neovisni istraživači dokažu suprotno. Čitatelji zabrinuti zbog ALPR mreža u svom području mogu provjeriti ima li njihova lokalna policijska uprava javnu politiku o zadržavanju i dijeljenju podataka s Flock Safety kamera, budući da mnoge jurisdikcije objavljuju te informacije na zahtjev. Također je vrijedno ostati informiran o tekućim istragama o privatnosti i građanskim slobodama u vezi s automatiziranim čitačima registarskih pločica, jer se nadzor i pravni izazovi nastavljaju razvijati. U konačnici, priče poput ove naglašavaju zašto je neovisno sigurnosno istraživanje važno: ono je često jedini način da javnost sazna kako se nadzorna tehnologija zapravo ponaša nakon što je raspoređena u velikim razmjerima.