Lacné kamery a klonovateľné karty sú slabým miestom bezpečnosti
Fyzická a objektová bezpečnosť ustupuje do úzadia, hoci bezpečnostní profesionáli v praxi narážajú na výnimky v systémoch, lacný čínsky hardvér či prístupové karty, ktoré sa dajú naklonovať za sekundu. Upozornili na to na konferencii SecuriLab 2026.
„Keď sa kopia výnimky, aj ten najlepší bezpečnostný systém sa mení na ementál,“ hovorí Štefan Lastovka, riaditeľ spoločnosti SecuriLas. Dlhodobým problémom sú podľa neho výnimky a odchýlky v bezpečnostných systémoch, ktoré treba pravidelne vyhodnocovať a minimalizovať. Kým kyberbezpečnosť zažíva boom, fyzická ochrana sa prepadáva v rebríčku priorít. Pritom podľa Lastovku nemusí ísť o sofistikovaný hackerský útok – stačí prejsť dverami a odniesť servery alebo vniknúť oknom, keď sa vetrá serverovňa.
Andrej Veľas z Fakulty bezpečnostného inžinierstva Žilinskej univerzity dopĺňa skúsenosti z testovania. Senzory majú podľa neho niekedy neúplné pokrytie priestoru či nedostatočnú detekciu pohybu. Špičkové kyberbezpečnostné riešenia tak nezabránia tomu, aby sa v čase incidentu nerozsvietilo svetlo na schodoch.
Lacná kamera je ilúzia, dáta putujú k výrobcovi
Používanie lacnej kamery na botnetový útok by malo trápiť predovšetkým jej vlastníka, pretože sa de facto podieľa na kybernetickom zločine. „Čínska kamera môže stáť len 25 eur, takže vás nemrzí, ak ju vyhodíte,“ uznáva Lastovka. „Ďalšiu cenu však platíte tým, že vaše dáta sa odosielajú k výrobcovi na analýzu. Objektová bezpečnosť totiž nie vždy rieši komplexné požiadavky GDPR, klienti tlačia na cenu a pritom výstup z kamery je video a audio.“
Lepšia kamera v bezpečnostnom systéme pre rezidentov stojí aspoň 250 eur, pre firemných klientov nad tisícku. Vysoká cena zahŕňa bezpečnostné aktualizácie a garanciu dátovej rezidencie. Kvalitná kamera vie spracovať a komprimovať dáta a ušetrí na ďalšom hardvéri a prevádzke. Vymieňajú sa tak raz za desať rokov. Lastovka po tridsiatich rokoch skúseností odhaduje, že podiel čínskych kamier na Slovensku v dohľadových systémoch je minimálne 80 percent. Slovenská legislatíva totiž nezakazuje čínsky hardvér v bezpečnostných riešeniach a obstarávania sú často postavené na cene.
Karta ako najzraniteľnejšie miesto
Filip Šelemberk zo spoločnosti Genetec považuje za exemplárnu ukážku objektovej bezpečnosti hotel. Spája vysoké nároky na dohľad s prívetivosťou ku klientom, je v ňom veľa dodávateľov, zamestnancov a pohybu hostí. Riešením sú napríklad prístupové karty s moderným šifrovaním. „Predstavte si, že prístupová karta má bezpečnostné parametre ako platobná karta,“ vysvetľuje Pavel Doležal zo spoločnosti STid. Banky menia karty raz za tri roky, vo firmách sa bežne používajú až desať rokov. „A desať kalendárnych rokov je v bezpečnosti jedno storočie,“ hovorí Doležal. Poprední výrobcovia kariet sa preto pripravujú na postkvantovú bezpečnosť.
Najzraniteľnejšia je komunikácia medzi kartou a čítačkou. Útočník dokáže signál odpočúvať a nasimulovať falošnou kartou. Staršia nízka frekvencia je takmer istotou, že čítačka nie je zabezpečená. Vysoký predpoklad bezpečnosti je frekvencia 13,56 MHz so šifrovaním. Klonovanie bežnej karty na slovenskom trhu trvá asi sekundu.
Pri relay útoku sa karta nefalšuje ani nedešifruje, komunikácia sa prenáša cez iné zariadenie online. Piotr Karpinski predviedol relay útok na konferencii SecuriLab s bežne dostupnými zariadeniami v cene okolo sto eur. Patrí medzi stovku najlepších ľudí v oblasti prístupových systémov.
Bezpečnosť ako strategický pilier aj riziko umelej inteligencie
„Po viac ako dvadsiatich rokoch praxe som presvedčený, že budúcnosť bezpečnosti je v unifikácii,“ hovorí Šelemberk. Dohľadový systém integruje IP kamery, kontrolu prístupu a rozpoznávanie evidenčných čísiel do jedného rozhrania. Otvorená architektúra podporuje zariadenia od stoviek výrobcov. Automatizácia je však podľa neho kvalifikovaným spoluhráčom, systém za človeka nerozhoduje.
„Keď prídem ako audítor kybernetickej bezpečnosti, rád sa vŕtam v tom, ako používate umelú inteligenciu, a pýtam sa aj na nariadenie o kybernetickej odolnosti CRA,“ varuje Peter Pištek z Komory manažérov kybernetickej bezpečnosti. Organizácia potrebuje stratégiu aj pravidlá. V prvom kroku má rozdeliť dotazník pre zamestnancov, aby vedela, kto, čo a prečo používa. Potom vedenie vyhodnotí, či to firma potrebuje, vyberie model a nastaví licenčné zmluvy.
Bezpečnosť je vysoký finančný náklad, ak sa pridáva dodatočne. „Mali sme prípad, keď si klient zadal prestavbu budovy. Vzniklo elegantné dizajnové dielo. Potom si niekto spomenul, že treba na vstup turnikety. No ale ako dostať kabeláž do hotovej krásnej mramorovej podlahy?“ hovorí Lastovka.
Pri revízii SecuriLas zistil, že tretina požiarnych senzorov bola vypnutá. Fabrika mala veľa falošných poplachov a predchádzajúca lacnejšia servisná firma to vzdala. Pohodlie opäť vyhralo nad bezpečnosťou.
