Sledování Londýňanů odstartovalo. Je to bezpečnostní průšvih

Asi nikdo nečekal, že něco takového je skutečně možné. Nikdo nevěřil tomu, že tenhle nápad myslí Tony Morgan vážně. Někteří se zdráhali uvěřit tomu, že vůbec Tony Morgan existuje. No a kdyby to náhodou myslel doopravdy, tak ho snad zastaví britský regulátor. Jenže nic z toho se nestalo…

Všechno začalo v říjnu 2009. Jakýsi Tony Morgan založil v South Devonu firmu Internet Eyes Limited. Její podnikání mělo stát na následujícím nápadu: v internetové aplikaci se budou scházet záběry z CCTV kamer umístěných na britských ulicích, v obchodech, nádražích, v bankách a podobně. Tyto záběry budou sledovat najatí brigádníci nebo dobrovolníci z řad uživatelů Internetu.

O tomto projektu okamžitě začala psát řada britských médií a rozpoutala se veřejná diskuze. To ovšem není dost přesné. Pokud se domníváte, že britský národ povstal, aby zabránil katastrofě, jste vedle. Ve skutečnosti média, která o plánu informovala, to udělala jen okrajově a diskuze byla v podstatě velmi mírná. Pro běžné občany Spojeného království – a to dokonce i pro ty, kteří se živí zpracováním informací – byla informace i diskuze takřka neviditelná. Nevím o tom nic, v britském tisku o tom nic nevyšlo, kromě jedněch místních novin, snažil se na projekt Internet Eyes rozpomenout Jan Čulík, šéfredaktor Britských listů. Jeden ze článků z oné doby je na stránkách BBC.

V té době se zdálo, že projekt sledování lidí přes Internet nakonec zastaví místní regulátor – Information Commissioner's Of­fice (ICO), úřad podobný našemu Úřadu pro ochranu osobních údajů. Ten ihned vznesl námitky proti Morganovu plánu a požadoval spolupráci. Morgan tedy projekt pozastavil a ze stránky zmizelo registrační políčko. Skoro po roce Morgan ohlásil, že ICO je spokojené a že projekt může pokračovat. Internet Eyes spustil 4. října.

Děravé jako cedník

První otázkou je, jestli jsou v projektu bezpečnostní díry, nakolik je zneužitelný a jestli je profesionálně naprogramovaný a spravovaný. Když to shrneme, Internet Eyes je plný neuvěřitelných bezpečnostních děr a jeho zpracování prozrazuje bezbřehý amatérismus. Riziko zneužití je vysoké. Pojďme si poukázat na několik bodů:

• Možnost napadení webové aplikace - Tvůrce aplikace Internet Eyes na zabezpečení zcela jasně nedbá. Přihlašovací pole je náchylné na útok typu XSS a oproti stavu z října 2009 přibyla také možnost útoku Blind SQL Injection, uvádí bezpečnostní analytik Martin Klubal (na Internetu známý pod přezdívkou Emkei). Je tedy poměrně pravděpodobné, že by šlo napadnout databázi aplikace a ovládnout tak její veškerá data, případně ovlivňovat její chod. Existuje i možnost naprostého ovládnutí celého webu.
• Hosting – už od svého startu běží stránky na VPS, nikoliv na vlastním serveru.
• Domény – pokud jste spekulanti s doménami, tak příjemnou zábavu.
• Kdo se do systému dostane – teoreticky by měl být systém omezený pouze na občany EU. Pokud útočník dokáže zamaskovat, odkud je jeho počítač a pohrát si s PayPalem, může to být kdokoliv a může pocházet odkudkoliv.
• Stabilita, provedení – systém už od spuštění padá mnohokrát denně, streamy z kamer nenabíhají a aplikace vykazuje různé chyby. Pravda, zatím se jedná o beta verzi.

Jak by bylo možné systém zneužít, pokud by ho někdo napadl a ovládl? Útočník by se zřejmě mohl například dozvědět, odkud přesně záběry pocházejí a mohl by určovat, kteří uživatelé uvidí které záběry a na jak dlouho (současná funkce je náhodný záběr na max. 300 sekund). Mohl by také celý systém snadno zneškodnit, vyřadit z provozu nebo ho ovlivnit tak, aby fungoval jen zdánlivě.

Terorista by tak mohl naplánovat útok na sledované místo a měl by možnost ho dlouhodobě sledovat jen přes síť, aniž by musel nasednout do letadla, procházet pasovými kontrolami a podstupovat podobné nepříjemnosti. Dalo by se také naplánovat vykradení obchodu, banky nebo muzea. Ale i kdyby uživatel systému nevěděl o počítačové bezpečnosti vůbec nic, mohl by někoho nachytat na záběru „intimního rázu“ a buď dotyčného vydírat, nebo záběry zveřejnit, třeba jen pro zábavu. Zkrátka a dobře, každému, kdo o počítačové bezpečnosti ví alespoň něco, musí zamrazit při představě, že tohle všechno je skutečně možné (a tudíž jen otázkou času).

Dvě kamery v přímém přenosu

Jak se lze do systému dostat? V současné době se jedná o beta testování a je možné se buď přímo přihlásit nebo se připojit na základě pozvánky (ten, kdo vás pozval, dostane odměnu 2 libry, alespoň to Internet Eyes slibuje). Zatímco původně měli kamery sledovat dobrovolníci nebo zaplacení „sledovači“, nakonec se za sledování naopak platí (zřejmě na základě obrovského zájmu). Ceník je následující:

• ročně ￡12.99 nebo
• čtvrtročně ￡4.99 nebo
• měsíčně ￡1.99

Pokud někoho nachytáte například při krádeži v obchodě, zařadíte se do žebříčku a sledovač na první místě tohoto žebříčku každý měsíc má dostat 1000 liber. Dále společnost slibuje odměňování za „odsledovaný“ čas:

• přes 30 hodin měsíčně – ￡0.50
• přes 45 hodin měsíčně – ￡1.00
• přes 60 hodin měsíčně – ￡1.50

Po zaplacení (alespoň) dvou liber PayPalem nebo platební kartou se dostanete do systému. Ten vypadá následovně:

Na této úvodní stránce už od spuštění systému straší jedna hláška za druhou o nedostupnosti a opravách. Pod ní je krátký článek o smyslu projektu a vedle na dvou YouTube videích ukázka, jak to vypadá, když je na CCTV kameře vidět krádež.

Další stránka (Monitor) je zde:

Vedle dopisu a fotky „otce zakladatele“ je možné spustit samotné sledování. Na výběr je jedna kamera, dvě kamery vedle sebe nebo dvě kamery pod sebou. Jedná se o přímý přenos, nikde není napsáno, z jakého místa je stream, přenos trvá vždy 300 sekund a pak se přepne na jiný. Přenosy by měly být vybírány náhodně (streamy jsem kvůli pravidlům systému rozostřil).

Tlačítko „Alert“ slouží k upozornění majitele kamery na podezřelé chování osob na záběru. Tlačítko „Feedback“ umožňuje upozornit na např. nefunkční kameru. Ostatní záložky po přihlášení v systému logují „alerty“, čas strávený sledováním a pozvané kamarády.

Je to celé dobrý nápad?

Zajímavý postřeh má k systému a k ovzduší v Británii obecně Jan Čulík: S východoevrop­skými kolegy na univerzitě zaznamenáváme skutečnost, že nebozí Britové, kteří nemají osobní zkušenost s komunismem, spontánně zavádějí různé komunistické praktiky. Možná ten komunismus nebyl jen „východoevropským“ jevem, ale v lidské psychice je něco, co k němu nezadržitelně směřuje.

Proti systému se staví řada evropských aktivistů, kteří se zabývají shromažďováním dat, sledováním občanů EU nebo kamerovými systémy. Jako „privatizaci sledování“ odsuzuje projekt také Filip Pospíšil, expert projektu Lidská práva a technologie organizace Iuridicum remedium.

Jak jsme si ukázali, systém je potenciálně zneužitelný a navíc se ukazuje, že britský regulátor ICO se k problému staví velmi volně, přičemž technika má před jeho znalostmi obrovský náskok. Nejde přitom jen o Británii a o jeden osamocený projekt. Sledovat lze dnes také mexickou hranici a v podobném systému (ještě daleko volnějším) si můžete vyzkoušet chytání nelegálních přeběhlíků. Jak někdo v licenci černého humoru poznamenal, chybí už jen k té kameře přimontovat samopal a pod stream přidat tlačítko „Střílet“.

Nezbývá tedy než doufat, že veřejnost k této problematice nebude hluchá a věci nezůstanou tak jak jsou. Jinak se máme ještě na co „těšit“.