Τι γίνεται με την ασφάλεια της κάμερας μετά την εγκατάσταση;

Ο Rob Janssens, Director of Cybersecurity Europe, Middle-East & Africa (EMEA) της Hikvision, έδωσε συνέντευξη στο Help Net Security για την κυβερνοασφάλεια των συστημάτων βιντεοεπιτήρησης, τη διαχείριση του κύκλου ζωής των καμερών, το secure-by-default, την ευθύνη των integrators, αλλά και τις απαιτήσεις των ευρωπαϊκών οργανισμών για διαφάνεια και τεχνικές αποδείξεις ασφάλειας.

Η ασφάλεια ενός συστήματος βιντεοεπιτήρησης δεν κρίνεται μόνο τη στιγμή που οι κάμερες εγκαθίστανται και παραδίδονται σε λειτουργία. Το πραγματικό «τεστ» ξεκινά από την επόμενη ημέρα: ποιος έχει την ευθύνη για τη διαχείριση και την ασφάλειά τους, ποιος ελέγχει τις ρυθμίσεις και τα δικαιώματα πρόσβασης, ποιος φροντίζει για τις ενημερώσεις firmware, πώς καταγράφονται οι αλλαγές και, κυρίως, τι συμβαίνει όταν αλλάζουν οι άνθρωποι, οι συνεργάτες ή οι ίδιες οι επιχειρησιακές ανάγκες.

Ένα σύστημα καμερών μπορεί να παραμείνει σε λειτουργία για πολλά χρόνια. Στο διάστημα αυτό, ο αρχικός integrator μπορεί να αλλάξει, οι υπεύθυνοι IT ή security να αντικατασταθούν, η τεκμηρίωση να χαθεί ή οι απαιτήσεις για απομακρυσμένη πρόσβαση και διασύνδεση με άλλα συστήματα να μεταβληθούν. Χωρίς σαφή διαδικασία διαχείρισης και ανάκτησης του ελέγχου, μια υποδομή που σχεδιάστηκε για να προστατεύει έναν χώρο μπορεί σταδιακά να εξελιχθεί σε έναν νέο παράγοντα κυβερνοκινδύνου.

Το ζήτημα δεν αφορά επομένως μόνο την ποιότητα ή τα security features μιας κάμερας, αλλά ολόκληρο τον κύκλο ζωής του συστήματος. Η ασφαλής εγκατάσταση είναι μόνο η αφετηρία. Η διατήρηση της ασφάλειας απαιτεί σωστή διακυβέρνηση, ασφαλείς προεπιλεγμένες ρυθμίσεις, συνεχή συντήρηση, έλεγχο πρόσβασης και δυνατότητα του ίδιου του οργανισμού να διατηρεί τον έλεγχο της υποδομής του.

Σε αυτό το πλαίσιο, ο Rob Janssens, EMEA Cybersecurity Director της Hikvision, μίλησε στο Help Net Security για τις προκλήσεις που προκύπτουν μετά την εγκατάσταση των συστημάτων βιντεοεπιτήρησης, τη σχέση κατασκευαστή–integrator–πελάτη, την ανάγκη για secure-by-design και secure-by-default προϊόντα, αλλά και για το τι μπορεί πραγματικά να αποδείξει ένας κατασκευαστής σχετικά με την ασφάλεια του firmware και των προϊόντων του.

Ο Janssens υποστηρίζει ότι η κυβερνοασφάλεια των σύγχρονων συστημάτων καμερών δεν μπορεί να βασίζεται ούτε στην καλή πρόθεση του εγκαταστάτη ούτε στην υπόθεση ότι το σύστημα θα παραμείνει για πάντα υπό τον έλεγχο του αρχικού integrator. Αντίθετα, χρειάζεται ιδιοκτησία, διακυβέρνηση, ασφαλής σχεδιασμός και σαφής διαδικασία ανάκτησης του ελέγχου.

Μετά την εγκατάσταση

Στην ερώτηση τι συμβαίνει όταν, κάποια χρόνια μετά την εγκατάσταση, αν η εταιρεία που ανέλαβε το έργο έχει κλείσει, η τεκμηρίωση έχει χαθεί και κανείς δεν διαθέτει τα administrator credentials, ο Janssens παραδέχθηκε ότι πρόκειται για μια κατάσταση «πιο συνηθισμένη από όσο θα ήθελε ο κλάδος».

Όπως ανέφερε, μια κάμερα μπορεί να έχει δεκαετή επιχειρησιακή διάρκεια ζωής, ενώ η εταιρεία εγκατάστασης μπορεί να μην υπάρχει πλέον με την ίδια μορφή ακόμη και πέντε χρόνια αργότερα. Παράλληλα, οι εργαζόμενοι αλλάζουν θέσεις, οι contractors αντικαθίστανται και η τεκμηρίωση μπορεί να χαθεί.

Η βασική θέση του είναι ότι ο πελάτης πρέπει να παραμένει ο πραγματικός ιδιοκτήτης και διαχειριστής του συστήματος και να μην εξαρτάται από έναν συγκεκριμένο εγκαταστάτη για να διατηρήσει τον έλεγχο.

Γι’ αυτό, σύμφωνα με τον Janssens, οι βασικές δυνατότητες ενός σύγχρονου συστήματος πρέπει να περιλαμβάνουν:

• ασφαλή διαδικασία ενεργοποίησης,
• ισχυρούς μηχανισμούς διαχείρισης λογαριασμών,
• ελεγχόμενη δυνατότητα ανάκτησης ή επαναφοράς πρόσβασης,
• συντήρηση firmware,
• επαρκή audit information,
• παρακολούθηση αποτυχημένων προσπαθειών σύνδεσης,
• IP filtering και
• ελεγχόμενη πρόσβαση SSH.

Ωστόσο, επισήμανε ότι ακόμη και αυτά τα μέτρα έχουν αξία μόνο εφόσον το σύστημα παραμένει υπό τον έλεγχο του πελάτη και συντηρείται σωστά.

Η AI δεν λύνει ένα πρόβλημα governance

Σε αυτό το σημείο ο Janssens έκανε μια ιδιαίτερα χαρακτηριστική επισήμανση. Η καλύτερη διαχείριση των assets και η χρήση AI μπορούν να βοηθήσουν τις ομάδες ασφάλειας να εντοπίζουν συσκευές, να ελέγχουν configurations και να βρίσκουν συστήματα που έχουν βγει εκτός της κανονικής διαδικασίας διαχείρισης.

Όμως, όπως υπογράμμισε, η AI δεν μπορεί να αποτελέσει λύση σε ένα βασικό πρόβλημα διακυβέρνησης.

Προηγούνται η ιδιοκτησία του συστήματος, η διακυβέρνηση και μια τεκμηριωμένη διαδικασία ανάκτησης ελέγχου.

Εάν ένας εγκαταστάτης εξαφανιστεί και ο πελάτης δεν μπορεί πλέον να διαχειριστεί τις κάμερές του, τότε, σύμφωνα με τον Janssens, δεν πρόκειται απλώς για τεχνικό πρόβλημα αλλά για πρόβλημα του κύκλου ζωής του συστήματος. Οι κατασκευαστές, επομένως, θα πρέπει να σχεδιάζουν τα προϊόντα τους έτσι ώστε ο πελάτης να μπορεί να ανακτήσει τον έλεγχο χωρίς να χρειάζεται να επιστρέψει στον αρχικό εγκαταστάτη.

Secure-by-design και secure-by-default

Μια δεύτερη σημαντική παράμετρος αφορά τον τρόπο με τον οποίο εγκαθίστανται τα συστήματα φυσικής ασφάλειας.

Ο Janssens σημείωσε ότι σημαντικό μέρος του εξοπλισμού αγοράζεται από procurement departments με βασικό κριτήριο την τιμή, εγκαθίσταται από ηλεκτρολόγους ή άλλους τεχνικούς και στη συνέχεια μπορεί να μην ξαναεξεταστεί για χρόνια.

Υπό αυτές τις συνθήκες, δεν είναι ρεαλιστικό να βασίζεται η ασφάλεια στην υπόθεση ότι κάθε εγκαταστάτης θα διαβάσει ένα εκτενές security manual και θα θυμάται τις οδηγίες του πέντε χρόνια αργότερα.

«Το προϊόν επομένως πρέπει να κάνει μεγαλύτερο μέρος της δουλειάς», είναι η λογική που περιγράφει ο Janssens.

Ένα χαρακτηριστικό παράδειγμα είναι η υποχρεωτική δημιουργία νέου password κατά την ενεργοποίηση της συσκευής, αντί της χρήσης ενός καθολικού default password.

Παράλληλα, υπηρεσίες που δεν χρειάζονται δεν θα πρέπει να είναι εκτεθειμένες απλώς και μόνο επειδή υπάρχουν στη συσκευή, ενώ η απομακρυσμένη διαχείριση θα πρέπει να είναι ελεγχόμενη.

Εδώ ο Janssens ξεχωρίζει δύο έννοιες:

Secure-by-design: η ασφάλεια ενσωματώνεται σε ολόκληρο τον κύκλο ανάπτυξης, από τις απαιτήσεις και τον σχεδιασμό έως το testing, το release και τη συντήρηση.

Secure-by-default: ο πελάτης δεν χρειάζεται να είναι ειδικός στην κυβερνοασφάλεια προκειμένου να αποκτήσει μια σχετικά ασφαλή αρχική διαμόρφωση.

Όπως ανέφερε, το Security Development Lifecycle της Hikvision καλύπτει το προϊόν από τις απαιτήσεις και τον σχεδιασμό μέχρι την ανάπτυξη, την επαλήθευση, την κυκλοφορία και τη συντήρηση.

Παράλληλα, αναγνώρισε ότι κανένας κατασκευαστής δεν μπορεί να αντισταθμίσει ένα κακό network design. Μια κάμερα που τοποθετείται απευθείας στο Internet, με απενεργοποιημένους ελέγχους ασφαλείας και χωρίς patches, εξακολουθεί να αποτελεί κίνδυνο.

Ο στόχος, επομένως, είναι το προϊόν να είναι περισσότερο ανθεκτικό στα προβλέψιμα ανθρώπινα λάθη.

Όταν το remote access γίνεται δικαιολογία για απενεργοποίηση security controls

Ένα ακόμη κρίσιμο ζήτημα που τέθηκε στη συνέντευξη ήταν τι πρέπει να συμβαίνει όταν ένας integrator απενεργοποιεί σκόπιμα λειτουργίες ασφαλείας επειδή ο πελάτης θέλει να αποκτήσει remote access «σε πέντε λεπτά» αντί για πέντε ώρες.

Ο Janssens υποστηρίζει ότι το πρώτο βήμα είναι να γίνει κατανοητό τι ακριβώς απενεργοποιήθηκε και για ποιο λόγο.

Υπάρχουν, όπως αναγνωρίζει, νόμιμες επιχειρησιακές ανάγκες για απομακρυσμένη πρόσβαση. Όμως το γεγονός ότι κάτι «λειτουργεί» δεν σημαίνει ότι είναι και ασφαλές.

Εάν ένας integrator απενεργοποιήσει έναν security control, ο πελάτης θα πρέπει να γνωρίζει τι σημαίνει αυτή η επιλογή. Δεν θα πρέπει να αποτελεί μια αλλαγή που κρύβεται μέσα σε ένα installation script ή γίνεται απλώς επειδή είναι πιο γρήγορη.

Ο Janssens θεωρεί επίσης ότι οι υψηλού κινδύνου ρυθμίσεις δεν θα πρέπει να μπορούν να αλλάξουν κατά λάθος. Ο χρήστης πρέπει να βλέπει ότι ένας security control έχει αποδυναμωθεί, ενώ οι σημαντικές αλλαγές πρέπει να καταγράφονται σε audit trail.

Η καλύτερη λύση για το remote access, σύμφωνα με τον ίδιο, είναι κυρίως θέμα αρχιτεκτονικής και όχι απενεργοποίησης της ασφάλειας.

Αυτό σημαίνει περιορισμό της πρόσβασης, χρήση ασφαλών πρωτοκόλλων, segmentation του video network και έκθεση μόνο των απολύτως απαραίτητων υπηρεσιών. Στο ίδιο πλαίσιο, αναφέρεται στη χρήση VPN αντί για άμεση έκθεση των συστημάτων στο Internet.

Η ανάγκη αυτή γίνεται ακόμη πιο έντονη καθώς τα automated scanning εργαλεία μπορούν πλέον να εντοπίσουν πολύ γρήγορα μια κακή configuration που στο παρελθόν μπορεί να παρέμενε απαρατήρητη για μήνες.

Source-code escrow, binary analysis και country-of-origin

Η συνέντευξη πέρασε στη συνέχεια σε ένα ιδιαίτερα επίκαιρο θέμα για την ευρωπαϊκή αγορά: τις απαιτήσεις ορισμένων αγοραστών για source-code escrow, third-party binary analysis και country-of-origin restrictions.

Ο Janssens απέφυγε να χαρακτηρίσει κάποια από αυτά τα μέτρα συλλήβδην ως «security theatre», σημειώνοντας ότι κάθε ένα αντιμετωπίζει διαφορετικούς κινδύνους.

Η ανεξάρτητη αξιολόγηση και η vulnerability research, σύμφωνα με τον ίδιο, μπορούν να προσφέρουν σημαντική αξία, καθώς ένας εξωτερικός ερευνητής μπορεί να εντοπίσει προβλήματα που δεν εντόπισαν οι εσωτερικές ομάδες.

Το binary analysis μπορεί επίσης να βοηθήσει έναν πελάτη να κατανοήσει τι πραγματικά εκτελείται σε μια συσκευή και όχι να βασίζεται αποκλειστικά στην τεκμηρίωση του κατασκευαστή.

Το source code από μόνο του δεν αποδεικνύει ασφάλεια

Σε ό,τι αφορά το source-code escrow, ο Janssens αναγνωρίζει ότι μπορεί να είναι σημαντικό από πλευράς business continuity και supplier risk.

Ωστόσο, επισημαίνει ότι η πρόσβαση στον πηγαίο κώδικα από μόνη της δεν αποτελεί απόδειξη ότι ένα προϊόν είναι ασφαλές.

Απαιτούνται επίσης:

• secure development processes,
• code review,
• testing,
• vulnerability management,
• έλεγχος dependencies και
• αξιόπιστη διαδικασία build και software updates.

Ακόμη πιο σύνθετο θεωρεί το ζήτημα των country-of-origin requirements.

Από τη μία πλευρά, οι οργανισμοί που διαχειρίζονται critical infrastructure έχουν πραγματικές νομικές, γεωπολιτικές και supply-chain concerns. Από την άλλη, η εθνικότητα ενός προμηθευτή, όπως υποστηρίζει, δεν θα πρέπει από μόνη της να αντικαθιστά την αντικειμενική τεχνική αξιολόγηση.

Το κρίσιμο ερώτημα, σύμφωνα με τον Janssens, είναι ποια τεχνικά στοιχεία και ποιοι security controls υπάρχουν και ποιους κινδύνους αντιμετωπίζουν.

Τι μπορεί να αποδείξει ένας κατασκευαστής για το firmware;

Το πιο ευαίσθητο σημείο της συνέντευξης αφορά τη Hikvision και το ζήτημα της εμπιστοσύνης.

Με δεδομένο ότι η εταιρεία βρίσκεται υπό αμερικανικές κυρώσεις και υπό συνεχή scrutiny σε αρκετές ευρωπαϊκές χώρες, ο Janssens ρωτήθηκε τι στοιχεία μπορεί να παρουσιάσει σε έναν operator critical infrastructure που ζητά να γνωρίζει γιατί θα πρέπει να εμπιστευτεί το firmware της εταιρείας.

Η απάντησή του ξεκινά από μια σημαντική παραδοχή:

Ο πελάτης δεν θα πρέπει να εμπιστεύεται έναν vendor απλώς επειδή ο ίδιος ο vendor δηλώνει ότι το firmware του είναι ασφαλές.

Αντίθετα, θα πρέπει να ζητά αποδείξεις και ο κατασκευαστής να είναι σε θέση να παρέχει τα κατάλληλα στοιχεία ανάλογα με το προϊόν και τις ανάγκες του πελάτη.

Ο Janssens αναφέρθηκε στο Security Development Lifecycle της Hikvision, στις διαδικασίες σχεδιασμού, ανάπτυξης, verification και maintenance, καθώς και στις πληροφορίες product security που δημοσιεύει η εταιρεία.

Ανέφερε επίσης ότι η Hikvision λειτουργεί, σύμφωνα με τον ίδιο, πιστοποιημένη διαδικασία αναφοράς vulnerabilities βάσει των ISO/IEC 29147 και ISO/IEC 30011.

AI στην κάμερα και ISO/IEC 42001

Στο ίδιο πλαίσιο, ο Janssens ανέφερε ότι η AI της Hikvision λειτουργεί στο edge, δηλαδή απευθείας στην κάμερα, χωρίς να απαιτεί εξωτερική συνδεσιμότητα για τη λειτουργία της AI.

Παράλληλα, αναφέρθηκε στην πιστοποίηση ISO/IEC 42001, το διεθνές πρότυπο για συστήματα διαχείρισης AI (Artificial Intelligence Management Systems – AIMS), το οποίο παρέχει ένα οργανωμένο πλαίσιο για τη διακυβέρνηση της τεχνητής νοημοσύνης.

Σύμφωνα με τον Janssens, το πλαίσιο αυτό χρησιμοποιείται ώστε τα συστήματα AI να είναι ηθικά, διαφανή και ασφαλή και να ευθυγραμμίζονται με τις προσδοκίες των stakeholders.

Ανεξάρτητος έλεγχος αντί για «τυφλή» εμπιστοσύνη

Ο Janssens αναφέρθηκε επίσης σε συγκεκριμένα τεχνικά στοιχεία που μπορούν να εξετάσουν οι πελάτες, όπως authentication, password controls, secure management protocols, firmware protection και update mechanisms.

Σύμφωνα με την περιγραφή του, η τεκμηρίωση product security της Hikvision περιλαμβάνει απαιτήσεις για passwords και διαδικασία activation που απαιτεί τη δημιουργία νέου password, ενώ αναφέρεται επίσης σε anti-downgrade protection και σε SSH που είναι απενεργοποιημένο από προεπιλογή, εκτός εάν το ενεργοποιήσει administrator.

Πέρα όμως από τα στοιχεία που παρέχει ο ίδιος ο κατασκευαστής, ο Janssens θεωρεί φυσιολογικό οι πελάτες critical infrastructure να προχωρούν σε δικούς τους ελέγχους, third-party assessments, binary analysis ή network analysis.

Μάλιστα, χαρακτηρίζει την ανεξάρτητη αξιολόγηση φυσιολογικό μέρος της συνεργασίας με critical infrastructure operators και σημειώνει ότι ένας σοβαρός πελάτης θα πρέπει να «challenge its suppliers».

Τι δεν μπορεί να αποδείξει κανένας vendor

Ίσως η πιο σημαντική παραδοχή της συνέντευξης έρχεται στο τέλος.

Ο Janssens δηλώνει ότι κανένας υπεύθυνος κατασκευαστής ή software vendor δεν μπορεί να αποδείξει ότι ένα συγκεκριμένο software δεν περιέχει vulnerabilities.

Το ίδιο, σύμφωνα με τον ίδιο, ισχύει και για την έννοια της εμπιστοσύνης.

Μια πιστοποίηση ή ένα white paper δεν μπορεί από μόνο του να δημιουργήσει εμπιστοσύνη.

Η πιο αξιόπιστη προσέγγιση είναι, όπως υποστηρίζει, ο vendor να παρέχει στους πελάτες επαρκή στοιχεία ώστε να αξιολογούν την τεχνολογία, να συνεχίζει να βελτιώνει τα προϊόντα του, να ανταποκρίνεται όταν εντοπίζονται vulnerabilities και να αποδέχεται τον ανεξάρτητο έλεγχο.

Από την «κάμερα» στο lifecycle security

Η συνέντευξη του Rob Janssens αναδεικνύει τελικά ένα ζήτημα που ξεπερνά τις ίδιες τις κάμερες.

Η ασφάλεια ενός συστήματος video surveillance δεν κρίνεται μόνο από το πόσο προηγμένη είναι η κάμερα, εάν διαθέτει AI analytics ή πόσα security features περιλαμβάνει το datasheet. Κρίνεται από το πώς θα διαχειριστεί το σύστημα σε ολόκληρο τον κύκλο ζωής του.

Ποιος έχει την ιδιοκτησία; Ποιος διαθέτει τα credentials; Πώς ανακτάται ο έλεγχος όταν αλλάζει ο integrator; Πώς καταγράφονται οι αλλαγές; Ποιος αναλαμβάνει το patching; Πώς αντιμετωπίζεται το remote access; Πώς ελέγχεται το firmware; Και, τελικά, ποια ανεξάρτητα στοιχεία μπορεί να παρουσιάσει ο κατασκευαστής όταν ο πελάτης ζητά αποδείξεις και όχι απλές διαβεβαιώσεις;

Το βασικό μήνυμα της συνέντευξης είναι επομένως σαφές: η AI μπορεί να ενισχύσει τη διαχείριση και την ασφάλεια ενός camera estate, αλλά δεν μπορεί να υποκαταστήσει τη διακυβέρνηση, την ιδιοκτησία και τις σωστές διαδικασίες.

Και όσο τα συστήματα βιντεοεπιτήρησης μετατρέπονται σε όλο και πιο σύνθετες δικτυακές και AI-enabled υποδομές, το ζήτημα αυτό γίνεται ολοένα πιο κρίσιμο.

*Το άρθρο βασίζεται στη συνέντευξη του Help Net Security