Lehallgatási vád: nincs olyan forgatókönyv, amelyben ne hibázott volna nagyot az ellenzék

Márki-Zay Péter, az ellenzéki pártok korábbi közös miniszterelnök-jelöltje azt állította az ATV-n az Egyenes beszéd keddi adásában, hogy a választási kampány alatt lehallgatták az ellenzék irodáját. Részleteket ugyan nem árult el, de a Telexnek nyilatkozó kiberbiztonsági szakértő szerint egy ilyen megfigyelés megvalósulásához a legtöbb technikailag lehetséges forgatókönyvben szükség lenne arra, hogy az ellenzék, illetve a biztonsági kamerák telepítésének, üzemeltetésének felelőse szakmai hibát vétsen.

Márki-Zayt arról kérdezték a műsorban, hogy mit szól ahhoz az évek óta fel-felmerülő, legutóbb a hétfőn, Hadházy Ákos ellenzéki képviselő által megfogalmazott vádakra, hogy a Fidesz beépült az ellenzéki pártokba.

„Ezt tudjuk, sőt most, amikor a volt irodánk informatikai hálózatát lebontó, szerelő kollegákkal beszéltünk a héten, akkor kiderült az is, hogy valószínűleg valaki rácsatlakozott a kamerákra, amik biztonsági kameraként szerepeltek az ellenzék főhadiszállásán, és ha jól értettem az ő szavukból, még hangot is rögzített, ami egy biztonsági kameránál nem szokás. Tehát én azt látom, hogy igen, természetesen beépített ügynökökkel, lehallgatásokkal és mindennel a Fidesz ott van az ellenzéken belül is”

– válaszolta.

Arról nem beszélt, hogy sikeres lehetett-e a lehallgatás, és ha technikailag valóban történt ilyen, pontosan hol találhatók az érintett kamerák, azaz hallhatott-e az illetéktelen hozzáférő bármilyen érzékeny információt. Azt sem tudta, hogy ki férhetett hozzá a kamerákhoz, csak annyira utalt, hogy egyértelműen a kormánypártoknak állhatott az érdekükben ilyesmi.

Többféle forgatókönyv, de egyikből se jön ki jól az ellenzék

Kezdjük azzal, hogy mivel független vizsgálat tudtunkkal még nem folyt az ügyben – de ha folyt is, nyilvánosságra biztosan nem került az eredménye –, nem tudhatjuk biztosan, hogy valóban hozzáférhettek-e illetéktelenek az ellenzéki központ kameráihoz, és ha igen, valóban történt-e ezeken keresztül lehallgatás. Ha viszont az állítás igaz, ilyen jellegű hozzáférés technikailag többféle módon is megvalósulhatott.

Kocsis Tamás, az Alverad Technology Focus Kft. kiberbiztonsági szakértője a Telexnek azt mondta, egyelőre még nem hangzott el olyan információ, amely alapján a feltételezéseken és találgatásokon túlmutató elemzést lehetne adni az eseménnyel kapcsolatban.

„Bizonyos kamerák rendelkeznek beépített mikrofonnal, akár még hangszóróval is. Korábban is fordultak már elő olyan események, amelyek során a jogosulatlan hozzáférést szerző személy képes volt hangot rögzíteni a kompromittált kamera mikrofonján keresztül, sőt arra is volt példa, hogy az illető a kamera hangszóróján keresztül beszélt a kamera túlfelén tartózkodókhoz. Technikailag tehát egyáltalán nem lehetetlen, hogy egy kamera mikrofonját felhasználva a támadó lehallgassa a környezetet” – mondta a szakértő, aki szerint jogosulatlan hozzáférés szempontjából három fő csapásirány lehetséges:

1. a belső hálózaton keresztül,
2. kívülről, jogosulatlanul, illetve
3. kiszivárgott hozzáférési adatokkal

férhettek hozzá a kamerákhoz.

Beépített ügynök

„Alapvető probléma a kamerák és más biztonságtechnikai eszközök telepítésekor, ha az eszközök nincsenek elválasztva és elkülönítve az egyéb informatikai berendezésektől. A biztonsági eszközök védelme kiemelt fontosságú, ezért egy jól szervezett infrastruktúrában a kamerák, riasztóberendezések, tűzérzékelők, beléptető eszközök és egyéb biztonságtechnikai rendszerek a felhasználóktól és azok eszközeitől szeparáltan, egy saját és biztonságos hálózatban működnek” – mondta Kocsis Tamás.

Ennek az elvnek megsértése, azaz a kamerarendszerek irodai hálózathoz csatlakoztatása lehetővé teheti egy belsős személynek – akár egy hipotetikus Fidesz-ügynöknek – hogy elérhesse a kamerákat, és azokhoz jogosulatlanul hozzáférhessen. Ide tartozik az is, ha nem magukhoz a kamerákhoz fért hozzá valaki, hanem ahhoz a rögzítőrendszerhez, amely felé a biztonsági kamerák továbbítják a felvételeket.

Márki-Zay beépített ügynökökről beszélt, ez alapján elképzelhető, hogy technikailag is ilyen belső fenyegetés vezetett az állítólagos lehallgatáshoz. Ha így történt volna, az természetesen a kiberbiztonságon túlmutató problémát is jelez az ellenzékben, de Kocsis Tamás szerint a szegregáció, azaz a biztonsági eszközök elkülönítésének esetleges hiánya akár szakmai hiányosságot is felvethet.

Kifelé nyitott

A második lehetőség, hogy kívülről, az internet felől hozzáférhetőek voltak az érintett kamerák. Ez egyáltalán nem lenne ritka jelenség: ahogy a tavaly januári cikkünkben bemutattuk, világszerte több tízezer, de csak Magyarországon is több mint ezer olyan netre kötött kamera található, amelyeknek a képét egy kis keresgéléssel bárki szabadon láthatja, azaz épp a biztonság érdekében hadrendbe állított eszközök jelentenek biztonsági kockázatot.

Ilyen helyzet többféleképpen előállhat:

• az egyébként rendben lévő kamerát maga a felhasználó, illetve a telepítést végző szakember állítja be rosszul, például nem változtatja meg a gyári jelszót, így az könnyen kitalálható;
• a beállítás rendben van, de a kamera szoftvere tartalmaz valamilyen sérülékenységet, amelyhez nem telepítették a javítást, esetleg nem is adtak még ki hozzá ilyet;
• a kamera esetleg már eleve, gyárilag tartalmaz a felhasználó tudta nélkül távoli hozzáférést lehetővé tevő hátsó ajtót.

Ez utóbbi egyébként nem egyszer előfordult már, a második legnagyobb kínai biztonságikamera-gyártó cég, a Dahua termékeire például a Nemzeti Kibervédelmi Intézet is kiadott egy figyelmeztetést ilyen okból még 2017-ben; egy másik, szintén kínai gyártó, a Hankvision termékeiről is derült már ki ilyesmi; néhány éve egy magyar biztonsági szakember a saját webkamerájában talált egy hátsó ajtót.

Kocsis Tamás szerint mindhárom esetben szakmai hiba, ha ilyen hozzáférés nyílik a biztonsági kamerákhoz az internet felől: „Nem javasolt különféle eszközöket megfelelő védelem nélkül elérhetővé tenni az internet felől, biztonsági eszközöket pedig egyáltalán nem szabad elérhetővé tenni, de ha erre mégis szükség van, akkor legalább azt be kell állítani, hogy csak és kizárólag arról a külső címről legyenek elérhetők, amelyre feltétlenül szükség van, például csak a távfelügyeletet biztosító rendszer vagy személy IP-címéről lehessen hozzájuk férni. Az is előfordulhat, hogy a tulajdonos nem is tud arról, hogy a kamerája elérhetővé vált, mert ha a kamerában és a routerben vagy tűzfalban nincsen letiltva az úgynevezett UPnP-szolgáltatás, a kamera automatikusan elérhetővé teheti magát a felhasználó tudta nélkül is.”

„Sajnos sok kamera szoftvere tartalmaz olyan sérülékenységet, akár hátsó ajtót is, amelyen keresztül meg lehet kerülni a kamera hitelesítési funkcióját, azaz ha elérhető a kamera az internet felől, a támadó a sérülékenységen keresztül hozzáférhet a kameraképekhez, streamekhez vagy akár a mikrofonhoz vagy a hangszóróhoz is. Sok esetben a kamerák gyári jelszavát sem változtatják meg, így igazából még hekkelni sem kell, mert a legtöbb kamera esetében közismertek a gyári jelszavak” – mondta a szakértő.

Valaki hozzáférést kaphatott

A harmadik lehetőség, hogy a távfelügyelethez létrehoztak egy távoli hozzáférési lehetőséget, amelyhez azonban valaki megszerezte a hozzáféréshez szükséges adatokat – adott esetben itt megint képbe jöhet egy beépített ügynök, aki ezeket kiadhatta.

„Elképzelhető, hogy a távfelügyelet egy biztonságos távoli hozzáférésen keresztül férhetett hozzá a kamerákhoz, például egy virtuális magánhálózaton, azaz VPN-kapcsolaton keresztül. Sok esetben a távoli felügyeletet ilyen titkosított és védett csatornán keresztül valósítják meg, azaz az eszközök a belső és védett hálózatban működnek, amelyet a távfelügyelet a VPN-kapcsolaton keresztül ér el. Ez megfelelő titkosítás, hozzáférésvédelem és forgalomkontroll mellett biztonságosnak tekinthető, de persze itt is lehetnek buktatók, például ha a VPN-hozzáférés felhasználóneve és jelszava valamilyen módon illetéktelen kézbe jut, és nem használtak kétfaktoros hitelesítést, megvalósulhat a jogosulatlan hozzáférés. Persze ilyen esetekben nem feltétlenül a kamerákhoz való hozzáférés lesz az érintett szervezet legnagyobb problémája, mert ha nem megfelelően szeparáltak a hálózati zónák, a behatoló gyakorlatilag bármelyik szerverhez, adattárolóhoz vagy más eszközhöz is hozzáférhet” – mondta Kocsis Tamás.

A szakértő szerint ez a harmadik eshetőség a legkevésbé valószínű, míg arra valamivel nagyobb esélyt lát, hogy ha történt illetéktelen hozzáférés, az belső munka lehetett. A legegyszerűbb és egyben legvalószínűbb lehetőség azonban szerinte a második forgatókönyv:

„Soha nem lehet kizárni a belső fenyegetést, kiberbiztonsági és információbiztonsági szempontból ez az egyik legnehezebben kezelhető terület, azonban ha az Occam borotvája-elv mentén nézzük, akkor több, azonos kimenetelű lehetőség közül általában a legegyszerűbb a legvalószínűbb, azaz jelen esetben én arra tippelek, ha valóban történt jogosulatlan hozzáférés, akkor az az internet felől szándékosan vagy véletlenül elérhetővé tett eszközök miatt következhetett be” – véli Kocsis Tamás.

Szinte semmit nem tudni

A fenti forgatókönyvek azonban csak technikai lehetőségek, ahhoz túl kevés információnk van az ügyről, hogy ennél biztosabbat mondhassunk. Ezért az alábbi kérdésekkel fordultunk Márki-Zay Péter szervezetéhez, a Mindenki Magyarországa Mozgalomhoz (MMM):

• Milyen technikai információkból következtettek arra, hogy az érintett kamerákhoz illetéktelenek hozzáférhettek, illetve hogy azokkal hangot rögzíthettek?
• Mi az érintett kamerák pontos típusa?
• Hány kamera érintett, és ezek milyen használatú helyiségekben (tárgyalóban, folyosón, stb) működtek?
• Milyen publikus IP-címen működött a kampányközpont?
• Tettek-e az ügyben feljelentést?

A hangrögzítés azért különösen érdekes aspektusa a történetnek, mert Márki-Zay úgy fogalmazott, hogy az érintett kamera „még hangot is rögzített, ami egy biztonsági kameránál nem szokás”, jelentsen ez bármit. Mindenesetre a kamera típusa alapján már tudható lenne, hogy az egyáltalán alkalmas-e a hangrögzítésre.

Nem tudjuk azt sem, hány kamera lehetett érintett, és ezeket hová telepítették. Ez azért fontos, mert Márki-Zay szűkszavú nyilatkozatából nem derült ki, hogy ha történt is technikailag illetéktelen hozzáférés, egyáltalán eredményes lehetett-e a lehallgatás vagy vizuális megfigyelés az érintett kamerákkal.

A feljelentés kérdése azért is lényeges, mert a kamerarendszerek adatvédelmi szempontjaira az EU adatvédelmi rendeletének (GDPR) hatályba lépése óta a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) is meglehetősen nagy hangsúlyt fektet, azaz például a kamerák jogosulatlan hozzáférése nem csak IT-biztonsági, de adatvédelmi incidensnek is számíthat.

Mindenesetre a kormánypártot lehallgatással vádolni kellően súlyos állítás ahhoz, hogy remélhetőleg fognak még további részletek kiderülni az ügyről, akár egy független vizsgálat formájában, amire épp az ellenzéki előválasztási rendszer elleni támadás esetében láthattunk dicséretes példát.

Az MMM cikkünk megjelenéséig nem reagált a megkeresésünkre, ha érkezik érdemi válasz, beszámolunk róla.