/nginx/o/2015/07/13/4276165t1hdc37.jpg)
:format(webp)/nginx/o/2018/04/08/7763957t1h404e.jpg)
Eesti riigiasutused, sealhulgas julgeolekuasutused, kasutavad tuhandeid soodsaid valvekaameraid, mille kasutamise USA valitsus keelas turvavigade, avastatud tagauste ning seotuse tõttu Hiina valitsusega, leiab turvaekspert Vallo Põldma.
Turvaekspert: Eesti julgeolekuasutused kasutavad Hiina tagauksega kaameraid (3)
Juhime tähelepanu, et artikkel on rohkem kui viis aastat vana ning kuulub meie arhiivi. Ajakirjandusväljaanne ei uuenda arhiivide sisu, seega võib olla vajalik tutvuda ka uuemate allikatega.
«Hiina tootjad Hikvision ja Dahua pakuvad soodsat masstoodangut, mille turvalisus on alati olnud nõrk koht, nüüd on avastatud ka tagauksed ja leidnud kinnitust Hikvisioni seos Hiina valitsusega,» valvetehnikat müüva Rapid Security juhataja Vallo Põldma.
Eestis teeb odav hind tema sõnul sellised tooted aga riigihangetel edukaks ja Hiina tagauksega kaameraid kasutavad nii meie julgeolekuasutused kui suured ettevõtted.
Mullu augustis keelas USA Hikvisioni ja Dahua toodete kasutamise riigiasutustes ning julgeoleku ja taristu seisukohalt olulistes kohtades. Dahua valvesüsteemides leiti ränk turvaviga juba 2017. aastal. Samal aastal avastati ka maailma suurima valveseadmete tootja Hikvisioni kaameratesse jäetud «tagauks». Hikvisioni omanike hulka kuulub Hiina riik ning ettevõte on tunnistanud Hiina valitsuse tugevat mõju nende ärile.
Põldma kinnitusel tähendab see tõsist sõnumit ka erakasutajale, kel riigisaladusi või tundlikku infot pole.
«Kui mõne aasta eest näitas «Pealtnägija», kuidas häkkerid saavad vabalt jälgida inimeste kodusid, oli seal tegemist just Dahua ja Hikvisioni süsteemidega,» rõhutas Põldma. «Hikvision toodab kaameraid ka teistele hankijatele enam kui 80 erineva kaubamärgi all.»
Eestis on turvaliste seiresüsteemide kasutamine isegi tundlikes riigiasutustes väga keeruline, kuna riigihangetes antakse suurim kaal üldjuhul hinnale.
«Ka odavaim kaamera võib näidata täitsa viisakat pilti, aga turvaline kaamera pole kunagi odavaim. Vähegi tundlikke objekte tuleks valvata seadmetega, mis kasutavad krüpteeringut, kaitsevad end püsivara muutmise eest ja lubavad iga kaamerat alati identifitseerida,» ütles ekspert.
Kolm aastat tagasi USAs valminud valvekaamerate küberturvalisuse uuringus andsid eksperdid Hikvisionile tootjaist kõige madalama hinde. Dahua kaameratest avastati 2017. aastal ränk turvaviga, mis andis andis häkkeritele vähese vaevaga ligipääsu valvesüsteemi kasutajaandmetele ja paroolidele.
Konkurent: turvaauk parandati juba kaks aastat tagasi
Rapid Security konkurendi Kaameravalve OÜ juht Lasse Hurt märkis, et Hikvisioni ja Hiina valitsuse seos ei ole mitte midagi uut.
«See pole kunagi saladus olnud, et Hiina valitsus omab osalust Hikvisioni ettevõttes. Eesti riik omab samuti paljudes ettevõtetes osalust,» rääkis Hurt. «Hikvisioni «turvariskid» tekkisid samaaegselt USA ja Hiina valitsuse vahelise kaubandussõjaga ja pigem võib põhjuseid otsida sealt.»
Hurt lisas, et Hikvision kasutab HTTPS protokolle, mis on kasutusel ka näiteks pankades. Lisaks on kaamerate ja salvesti vahel krüpteeritud ühendused, mis tagavad turvalisuse. «Turvaauk, millest räägitakse, on avastatud ja parandatud juba kaks aastat tagasi,» kinnitas ta.
Küll aga märkis Hurt, et kuna kaamerad on ühendatud võrku, siis on eelkõige tähtis võrgu üldine turvalisus. Ka ruuteri ja teiste võrguseadmete paroolid ei tohiks olla standardsed või kergesti aimatavad.
«Hikvision nagu paljud teised tehnoloogiaga tegelevad ettevõtted Hiinast on jõudnud kvaliteedilt samale tasemele ja kohati isegi paremale kui Euroopa ja USA tootjad ning see tekitab konkurentides pahameelt. Seejuures on hinnad tunduvalt soodsamad, kohati isegi mitu korda,» ütles Hurt.
Politsei- ja piirivalveamet (PPA) on Hiinast pärit Hikvisioni ja Dahua kaameratega katnud olulised kohad Tallinna tänavaruumis, samuti jälgivad kaamerad näiteks Tallinna olulisemaid liiklussõlmi. Teede juures kasutatakse ka numbrituvastusega kaameraid, mis lubab süsteemil automaatselt logida teel sõitvate autode numbrid, kirjutab portaal Geenius.
G4S teatel on Eestis on kasutusel üle 1000 sellise salvestusseadme ja nad on teatanud kahest olukorrast, kus videosalvestisse oli sisse häkitud. Samas tarnivad nii G4S kui Hansavalve ja BK Eesti neid kaameraid Eesti politseile.
PPA infovarade vanemstaabiametnik Hannes Hansalu on Postimehele öelnud, et politsei- ja piirivalveametil on ettevõtetega sõlmitud raamlepingud mitmesuguste kaamerate soetamiseks.
«Iga kaamera soetamisel teeme me esmalt arvestuse, kuidas ja millisel otstarbel kaamerat kasutatakse, lähtuvalt sellest valime välja ka sobivaima seadme. Üks osa sellest protsessist on ka turvaanalüüsi tegemine. Karm tõsiasi on, et turvaaukude ja küberohtudega peame arvestama kõigi kaamerate puhul, mitte ainult Hiinas toodetud seadmete puhul,» ütles ta ja märkis, et iga kaamera puhul hinnatakse selle turvanõrkusi ja rakendatakse lisameetmeid, mis vähendavad küberohte.
G4Si kommentaar: turvaauke võib olla kõigil kaameratel
G4S tarnib Boschi, Sony, Axise ja Dahua kaameraid. Hikvisioni kaameraid oleme müünud vähe. Hoiame oma tootevaliku laiana, et klientide soovidele maksimaalselt vastu tulla.
Eesti turvahangetel ei ole tavaks seada tingimusi, mis välistaks osad tootjad või kus turvakaalutlustel eelistatakse konkreetseid tootjaid. Pigem kirjutatakse hangetesse tootespetsifikatsioone, mis peaksid välistama odavamad kaamerad ja tagama vajaliku kvaliteedi.
Olenemata turvakaamera tootjast varitsevad teatavad kübermaailma ohud paraku igat võrgus olevat turvakaamerat. Kõige tähtsam on hoida oma turvaseadmete tarkvara uuendatuna.
Hiljuti saatsime näiteks Boschi kaamerate kasutajatele info tarkvarauuenduse vajalikkusest, kuna tootja avastas turvaaugu. Oma videovalve teenuse klientidele teeme sellised tarkvarauuendused automaatselt ise.
Julgeolekukaalutlustel kasutavad teatud asutused ja teadlikumad kasutajad turvakaameraid võrkudes, millest välismaailma ei pääse ja ka sisevõrk on ehitatud seadmetega, kus on võimalik igasugune mittevajalik liiklus avastada ja keelata.
Ei saa öelda, et kõige odavamate kaamerate tellijad võimalikest turvariskidest teadlikud pole. Ollakse ikka ja tuntakse selle teema vastu huvi. Otsuse, millist turvalahendust kasutada, teeb tellija lähtudes oma riskihinnangust ja rahakotist.