דוחות טוענים כי רחפנים ימיים של הצי המלכותי הבריטי מכילים רכיב ששלח בחשאי נתונים לסין

תארו לעצמכם שאתם רוכשים את כרטיס המסך המתקדם ביותר בשוק, מחברים אותו למחשב הגיימינג המטורף שלכם, ורק בדיעבד מגלים שרכיב קטן בתוך מערכת הקירור שלו שולח "דיווחים" שוטפים לשרתים בסין. זה נשמע כמו תיאוריית קונספירציה של חובבי חומרה, אבל עבור הצי המלכותי הבריטי, הסיוט הזה הפך לאחרונה למציאות מדאיגה במיוחד במצולות הים.

פרשה ביטחונית חדשה חושפת כי רחפני הים המתקדמים של הצי הבריטי הכילו רכיב מצלמה סיני שהעביר מידע בחשאי חזרה למדינת המקור. בעוד שהממשלה הבריטית ממהרת להרגיע את הרוחות, חובבי חומרה ואנשי אבטחת מידע ברחבי העולם כבר מבינים שמדובר בנורת אזהרה בוהקת לגבי האופן שבו שרשרת האספקה העולמית מנוהלת. האירוע הזה מעלה שאלות קשות על גבולות האבטחה של החומרה שאנו מכניסים למערכות הרגישות ביותר שלנו.

הכירו את ה-K3 Scout: מפלצת ימית בשווי מיליונים

הכלי שנמצא במרכז הסערה הוא ה-K3 Scout, רחפן ימי אוטונומי מתקדם שנבנה על ידי ענקית הטכנולוגיה הביטחונית Kraken Technology Group. מדובר במפלצת טכנולוגית אמיתית, המסוגלת לשאת מטען של עד 600 קילוגרמים ולשהות בים הפתוח במשך 30 ימים רצופים ללא כל מגע יד אדם. חיל הנחתים המלכותי הבריטי מפעיל צי של הכלים הללו בשווי מוערך של כ-12 מיליון ליש"ט מאז חודש מרץ האחרון, והם אף הוצעו למשימות אבטחה רגישות במצר הורמוז.

הפלטפורמה הזו כל כך מוערכת, עד שגם פיקוד המבצעים המיוחדים של ארצות הברית (U.S. Special Operations Command) רכש את הכלים הללו, והם לקחו חלק פעיל בניסויים מורכבים של ברית נאט"ו בים הבלטי. אך למרות ההנדסה המתוחכמת והתקציבים המנופחים, נקודת התורפה התגלתה דווקא באחד הרכיבים הבסיסיים ביותר של המערכת: המצלמה הדיגיטלית שלה. מתברר כי מספיק רכיב קטן אחד שלא נבדק כראוי כדי להעמיד בסכנה מערכת שלמה שעלותה מיליוני דולרים.

אות חיים חשוד: מה זה בעצם "Heartbeat"?

במהלך בדיקת עמידות סייבר שגרתית (cyber vulnerability assessment), גילו מומחי האבטחה של הצי כי המצלמות המותקנות ברחפנים מבצעות תקשורת חיצונית לא מאושרת. משרד ההגנה הבריטי (ה-MoD) מיהר לנתק את קישוריות האינטרנט של המצלמות, אך התעקש כי המידע שנשלח לא היה רגיש. לפי הדיווחים הרשמיים, מדובר היה בנתונים המוגדרים כ-"heartbeat communications" - פעימות דופק דיגיטליות שנועדו רק לאשר שהמכשיר מקוון ומתפקד כראוי.

אבל בעולם הגיימינג והחומרה, אנחנו יודעים היטב שטכנולוגיית "טלמטריה" (Telemetry) או שליחת נתונים ברקע היא מדרון חלקלק מאוד. גם אם כרגע מדובר רק בפינג פשוט שמוודא שהמצלמה עובדת, עצם העובדה שרכיב צבאי רגיש מסוגל ליצור קשר עצמאי עם שרתים בסין ללא אישור מהווה כשל אבטחתי חמור. גורמים אנונימיים במערכת הביטחון הבריטית הגדירו את האירוע כ"כישלון קולוסאלי", והביעו חשש שהמצלמות יכלו לשמש להאזנה וריגול גם כאשר הרחפנים היו כביכול כבויים.

מלכודת שרשרת האספקה: סין נמצאת בכל מקום

חברת Kraken Technology Group הבהירה להגנתה כי היא רכשה את המצלמות מספק צד שלישי, אשר סיפק התחייבויות חתומות ואף ערבויות לגבי רמת האבטחה של המוצרים. אלא שבמציאות הטכנולוגית של היום, כמעט בלתי אפשרי לייצר חומרה מתקדמת ללא שימוש ברכיבים סיניים. אפילו יצרניות רחפנים בטייוואן, יריבתה המושבעת של סין, הודו לאחרונה כי קווי הייצור שלהן עדיין תלויים לחלוטין בחלקי חילוף ובשבבים שמקורם בסין.

המאבק הזה אינו חדש: ממשלות במערב מנסות כבר שנים לצמצם את הנוכחות של טכנולוגיה סינית בתשתיות קריטיות. זה התחיל עם סנקציות כבדות על ענקיות תקשורת כמו Huawei ו-ZTE, והמשיך עם הגבלות קשות על יצרנית הרחפנים האזרחיים המובילה בעולם, DJI. המלחמה באוקראינה הוכיחה מעל לכל ספק עד כמה רחפנים הם קריטיים לשדה הקרב המודרני, והחשש הגדול הוא מפני "דלתות אחוריות" (Backdoors) או מתגים לכיבוי מרחוק שיכולים להיות מוטמעים ברמת ה-Firmware של המכשירים.

חומרה, ריגול וגיימינג: קווי הדמיון המטרידים

עבור חובבי החומרה והגיימרים, הסיפור הזה נשמע מוכר להפליא מהדיונים הלוהטים על תוכנות אנטי-צ'יט (Anti-Cheat) הפועלות ברמת הקרנל (Kernel-level) של מערכת ההפעלה. בדיוק כפי שגיימרים חוששים שתוכנות הגנה של משחקים מסוימים שולחות מידע רגיש לשרתים בחו"ל, כך גם בעולם הביטחוני מבינים שחומרה מודרנית היא אף פעם לא רק "ברזלים". כל שבב, מצלמה או בקר קטן מגיעים עם קוד תוכנה מובנה שיכול לשנות את התנהגותו בלחיצת כפתור אחת של היצרן.

בסופו של דבר, הפרשה של ה-K3 Scout מסתיימת ללא נזק מיידי מוכח, שכן ה-MoD הבריטי מיהר להבהיר כי "לא נמצאו ראיות לכך שמידע רגיש דלף או נחשף". עם זאת, הביטחון בפלטפורמה הימית המתקדמת הזו ספג מכה קשה מאוד. בעידן שבו אנו דורשים ביצועים מקסימליים וטכנולוגיות מתקדמות כמו בינה מלאכותית, ניתוח תמונה בזמן אמת וקישוריות תמידית, נראה שהאתגר הגדול ביותר של השנים הקרובות לא יהיה מהירות העיבוד – אלא הידיעה הברורה של מי באמת שולט בחומרה שלנו.