O verificare cibernetică de rutină a scos la iveală o problemă majoră de securitate în cadrul forțelor speciale britanice. Dronele navale K3 Scout, utilizate de unitățile de elită ale Marii Britanii, transmiteau automat date către servere din China prin intermediul camerelor de supraveghere instalate la bord.
Incidentul readuce în atenție vulnerabilitățile ascunse în lanțurile de aprovizionare ale industriei de apărare. Chiar și componente aparent banale, precum camerele video, pot deveni o problemă de securitate atunci când sunt integrate în echipamente militare occidentale.
Camerele continuau să transmită chiar și cu drona oprită
Dronele de suprafață K3 Scout fac parte dintr-un program militar în valoare de 12 milioane de lire sterline și au intrat în dotarea Royal Marines și a Special Boat Service (SBS) în luna martie a acestui an.
Potrivit informațiilor prezentate de The Telegraph, dronele erau echipate cu sisteme de supraveghere care conțineau componente fabricate în China. Investigația derulată de Ministerul britanic al Apărării a descoperit că echipamentele optice inițiau în mod autonom așa-numitele „heartbeat communications”, adică pachete automate de date prin care un dispozitiv confirmă că este activ și conectat la rețea.
În cazul de față, comunicațiile erau direcționate către o adresă IP din China.
Mai mult, camerele rămâneau active chiar și atunci când sistemul principal al dronei era complet oprit. Situația a evidențiat riscurile pe care le pot introduce în infrastructura militară componente hardware provenite din lanțuri de aprovizionare externe.
Ministerul britanic al Apărării a precizat că ancheta nu a identificat accesarea, compromiterea sau transmiterea în afara țării a unor informații secrete ori a unor sisteme interne britanice.
Chiar dacă nu au fost descoperite dovezi că date clasificate ar fi ajuns în China, transmiterea constantă a unor metadate poate reprezenta, la rândul ei, o vulnerabilitate.
Informații aparent neimportante, precum momentul în care un dispozitiv este pornit, starea sa de funcționare, locația de bază sau intervalele în care este activ, pot permite unui serviciu de informații să construiască un tipar al activității militare.
Prin corelarea acestor date, pot fi estimate perioadele în care sunt pregătite sau desfășurate anumite misiuni și poate fi determinată poziționarea unor platforme.
O problemă suplimentară este reprezentată de amplasarea dronelor în apropierea cartierului general al Special Boat Service din Poole. În aceste condiții, camerele video ar fi putut reprezenta un risc suplimentar prin posibilitatea de a capta imagini sau sunete din timpul unor activități și briefinguri ale forțelor speciale.
Dronele au fost furnizate de o companie britanică
Cazul este cu atât mai sensibil cu cât dronele K3 Scout nu au fost cumpărate direct din China.
Platformele au fost furnizate de Kraken Technology Group, un contractor britanic important din industria de apărare. Compania a integrat în drone sisteme video cumpărate de la un furnizor terț.
Furnizorul respectiv oferise garanții oficiale privind securitatea echipamentelor și certificase produsele ca fiind conforme cu standardele americane NDAA, National Defense Authorization Act.
Aceste standarde sunt concepute inclusiv pentru a limita utilizarea unor producători considerați cu risc ridicat în lanțurile de aprovizionare pentru echipamentele de apărare.
Problema componentelor ascunse în echipamentele militare
Incidentul arată cât de dificil poate fi controlat în totalitate lanțul de aprovizionare al unui sistem militar modern.
Chiar dacă un echipament este asamblat în Marea Britanie sau în Statele Unite, acesta poate conține microcipuri, senzori, module de comunicații sau alte componente produse în Asia.
În cazul dronelor K3 Scout, problema a apărut tocmai la nivelul unei componente care, privită separat, nu pare să reprezinte un element critic al platformei militare: camera de supraveghere.
Conectarea unui astfel de dispozitiv la o rețea externă poate crea însă o cale prin care informații despre funcționarea echipamentului să ajungă în afara infrastructurii militare.
Dronele urmau să ajungă în Golful Persic
Incidentul are implicații directe și asupra planurilor operaționale ale Marii Britanii. Dronele K3 Scout sunt proiectate să opereze autonom timp de până la 30 de zile și să aibă o semnătură radar redusă.
Platformele urmau să fie utilizate în regiunea Golfului Persic, inclusiv pentru sprijinirea misiunilor destinate asigurării libertății de navigație în Strâmtoarea Ormuz, rută maritimă afectată în prezent de acțiunile Iranului.
După descoperirea vulnerabilității, Ministerul britanic al Apărării a eliminat complet conectivitatea la internet a camerelor.
Măsura blochează însă funcția prin care imaginile și datele tactice ar fi putut fi transmise în timp real către centrele de comandă.
Vulnerabilitatea apare într-un moment în care armatele folosesc tot mai multe drone
Problema devine cu atât mai importantă în contextul în care armatele occidentale folosesc într-un ritm tot mai mare drone și alte sisteme fără pilot, integrate în ceea ce este descris drept o flotă militară hibridă.
Pentru astfel de echipamente sunt folosite frecvent componente electronice disponibile pe piața comercială. În multe dintre aceste domenii, producătorii asiatici dețin o poziție dominantă.
Cazul K3 Scout arată astfel riscul pe care îl poate introduce în infrastructura militară utilizarea unor componente ale căror origini și funcții secundare nu sunt verificate suficient de riguros.
Acceptarea unor certificări și garanții formale fără un audit tehnic aprofundat la nivel hardware poate lăsa neidentificate vulnerabilități care devin vizibile abia după ce echipamentul este introdus în serviciu.
