Зламані камери Flock: коли стеження стає вразливістю

Хакери проникли всередину камери Flock — не в хмарний сервіс, не в базу даних, а в саме залізо на стовпі, яке щодня фотографує номери проїжджих машин. Flock Safety — американська компанія, чиї камери розпізнавання номерів стоять у тисячах міст США, і чия головна обіцянка клієнтам звучить як «ми зробимо вашу безпеку». Виявилося, що безпеку вони робили погано власну.

Суть проста і незручна. Камера стеження — це комп'ютер із мережевим підключенням, який стоїть на вулиці без охорони. Той, хто дістанеться до неї фізично або через мережу, отримує не одну картинку, а точку входу в усю систему: потоки даних, конфігурацію, іноді доступ до сусідніх пристроїв. Система, побудована, щоб бачити всіх, сама стає тим, кого видно наскрізь.

Чому це не історія про одну американську компанію

Українські міста зараз масово ставлять відеоспостереження. Муніципальна безпека, розпізнавання облич і номерів, інтеграція з поліцією — усе це вже не проєкт, а тендери й монтаж. Логіка та сама, що у Flock: одна платформа збирає потоки з сотень камер і зберігає, хто де був і коли.

Різниця в тому, що у США найгірший сценарій зламу — витік даних і скандал у пресі. В Україні над тією ж камерою висить противник, який уміє і хоче в неї залізти. Камера на перехресті, яка фіксує рух, — це готова розвідувальна мережа, якщо нею заволодіти. Ворог, який отримав доступ до міської системи розпізнавання номерів, бачить логістику, маршрути, переміщення конкретних людей і машин. Не абстрактний ризик приватності, а конкретний ризик наведення.

Що з цього випливає для протоколів

Історія Flock показує, де саме ламаються такі системи, і кожна точка має відповідь.

• Пристрій на вулиці — вже скомпрометований. Проєктувати треба з припущення, що до камери хтось дістанеться руками. Це означає шифрування даних на самому пристрої, а не тільки в каналі, і неможливість дістати з камери ключі, які відкривають доступ до решти системи.
• Сегментація. Злам однієї камери не повинен давати доступ до сусідніх чи до центрального сервера. Кожен пристрій — окрема кишеня, а не двері до всієї будівлі.
• Зберігання окремо від збору. Архів переміщень — найцінніше, що є в системі. Він не мусить лежати там, куди веде мережевий шлях від вуличної камери.
• Українська або перевірена юрисдикція постачальника. Камера з розпізнаванням — це прошивка, яку хтось оновлює віддалено. Хто має цей доступ, той має вашу систему.

Окрема історія тижня — розтин чипа захисту PlayStation 2, який протримався 26 років і все одно впав. Урок для тих, хто закуповує камери, той самий: захист, який здається надійним сьогодні, розкривають завтра, коли з'являється мотив. Різниця в тому, що чип PS2 ламали заради ігор, а міську систему стеження ламатимуть заради даних про те, хто куди їздить.

Тому питання до кожного українського тендеру на відеоспостереження просте. Не «яка роздільна здатність» і не «як швидко розпізнає номер», а: що станеться, коли одну камеру знімуть зі стовпа й розберуть на столі. Якщо на це питання немає готової відповіді в документації — система захищає не місто, а тільки статистику для звіту.