aeroporto
Se você se pergunta qual o lugar mais seguro no mundo, provavelmente o primeiro que vem à mente é o bunker militar ou a caixa forte do presidente dos Estados Unidos. Mas, para as pessoas comuns como nós, o lugar onde está concentrado os mais diferente sistemas de segurança sem dúvida é o aeroporto. As equipes de segurança armada, junto com várias câmeras e vários pontos de controle de passaportes e de passageiros formam um perímetro de segurança de 360 graus. Todas estas medidas impedem que os criminosos e terroristas embarquem em aviões Boeing e Airbus. Por esta razão, foi muito chocante saber que as agências que são responsáveis pela segurança física nos aeroportos não entendam a importância da segurança cibernética para proteger os seus passageiros.
Este assunto foi apresentado na conferência da SAS 2014 pelos pesquisadores Billy Ríos e Terry McCorkle do Qualys, que fizeram uma complexa pesquisa sobre um importante sistema de proteção do perímetro dos aeroportos: um interscope de raios X. Isto é, um interscope é a máquina onda você coloca as malas e objetos pessoais nos aeroportos durante o controle de segurança. A equipe gestiona este dispositivo através de um painel especial que não se parece em nada com um computador. Na realidade, se trata de um scanner altamente especializado que está conectado a um PC normal, que executa um software específico. Os pesquisadores compraram em um leilão online o modelo do introscope de raios X 522B para analisar os componentes do software.
Os resultados surpreenderam os pesquisadores. Em primeiro lugar, o computador é executado com o Windows 98, ou seja, tem mais de 15 anos – há anos que a Microsoft parou de fornecer suporte para este sistema operacional. Imagine quantas vulnerabilidades existem nessas máquinas rodando Win98 e o que os hackers poderiam encontrar em qualquer momento. Nessa época, era possível infectar um computador simplesmente conectando-o à rede e falando com o sistema operacional, sem tocar na configuração do software. Em segundo lugar, o software de segurança desenhado para estas máquinas é quase que exclusivamente sobre a segurança física, isto é, se concentra em analisar o que contém nas malas, sendo que a segurança informática não era uma prioridade. As senhas dos operadores são armazenadas em texto simples e há muitas maneiras de acessar ao sistema sem saber o nome do usuário ou outros detalhes específicos. “O programa disse que não há erro, mas depois é permitido o acesso”, afirmou Rios. No entanto, há outro detalhe, a descoberta mais importante de todas.
Armas virtuais
A imagem que aparece na tela do operador não é essencialmente uma simulação feita pelo computador, já que o scanner de raios X não tem cores. O computador elabora uma imagem personalizada para que o operador possa identificar facilmente (e com cores) o que mais interessa a ele, por exemplo, objetos metálicos, frascos com líquidos, etc. Dado que a detecção de ameaças pelo introscope é muito baixa (hoje em dia ninguém pensa em levar uma arma ao aeroporto), os supervisores mantêm aos operadores alertas, inserindo esporadicamente imagens de armas no conteúdo das malas. Quando o operador vê uma arma ou uma faca (o sistema tem dezenas de imagens também) deve pressionar o botão de alarme. Neste cenário de treinamento, o alarme não soa, mas o sistema de avaliação interna registra a atenção do operador. Este truque é bastante inteligente, mas levanta preocupações. Que tipo de “Photoshop” pode ser aplicado às imagens de bolsas e malas? É possível adicionar alguma imagem neutra no scanner de dados para esconder as malas que, de fato, tem armas dentro? Esse tipo de pirataria é teoricamente possível, dada à vulnerabilidade do software do scanner testado por Rios e McCorkle.
Sem preocupações?
Não cancele o seu próximo voo, a situação não é tão grave. Em primeiro lugar, os computadores nas áreas de segurança do aeroporto não tem internet. Os hackers poderiam atuar no mesmo aeroporto, mas significaria um desafio muito grande para os cibercriminosos. Em segundo lugar, muitos pesquisadores do Wualys que analisaram um só modelo de scanner de raios X, existem diferentes marcas e modelos e alguns deles são muito mais novos – o que esperamos que sejam modelos mais seguros. Em terceiro lugar, a segurança do aeroporto tem vários níveis e muitos especialistas acreditam que os detectores de metal e os raios X são os menos importantes. Portanto, mesmo se em um caso improvável de um scanner não funcionar bem, há muitas outras medidas de segurança no local. No entanto, esta pesquisa prova que as medidas tradicionais de segurança como os controles de acesso e administrativos do tipo “airgapping ” (isolamento de rede) não são suficientes à nível de segurança cibernética.
As agências aeroportuárias têm padrões muito detalhados que descrevem a configuração dos pontos de monitoramento pelos operadores, incluindo detalhes de quais são as dimensões exatas das bandejas de plástico. Essas normas devem incluir também uma lista de medidas de segurança de TI que devem ser adotadas, já que os aeroportos sem dúvida entrar na categoria de infraestrutura crítica. Só assim podemos garantir aos passageiros a máxima segurança a bordo.
OBS: Este artigo foi escrito inteiramente a bordo de um Airbus A330 voando de Tenerife a Moscou. Apesar das vulnerabilidades do sistema, não tenho medo de voar.
Tradução: Berenice Taboada Díaz
Dicas