В МВД Узбекистана опровергли утечку данных с дорожных камер

В СБДД МВД Узбекистана опровергли информацию об уязвимости системы, хранящей записи дорожных камер, и то, что она позволяет следить за водителями. Опубликованные кадры хранятся на тестовом сервере, используемом для отладки системы, а места установки камер не являются секретными, отметили в службе.

Обнаруженные зарубежными специалистами фото- и видеокадры с камер фиксации нарушений правил дорожного движения в Узбекистане — это кадры, размещённые на тестовом сервере, где проводятся испытания системы, и это не система слежки за водителями. Об этом журналистам «Газеты» и других интернет-изданий в среду сообщили представители Службы безопасности дорожного движения Департамента общественной безопасности МВД, комментируя опубликованную накануне статью американского IT-издания TechCrunch.

Там опровергли утверждения, что в системе имеется уязвимость, а также то, что она раскрывает персональные данные и позволяет отслеживать передвижение автомобилей.

Начальник отдела центральной системы компьютеризированного управления СБДД подполковник Сухроб Турсунов подчеркнул, что авторы публикации обнаружили сервер-«песочницу», где в тестовой среде при помощи «симуляционных материалов» проверяется работа новых подключаемых устройств и систем, а также правильность фиксации новых вводимых нарушений ПДД (например, за непристегнутый ремень, за непропуск водителем пешехода и так далее). Обычно тестовый период длится 10 дней.

По доступным на тестовом сервере материалам не формируются протоколы о нарушениях. Они также не содержат персональные данные — только фотографии транспортных средств, отметил представитель службы. Государственный регистрационный номер автомобиля не является личной информацией, добавили в СБДД.

Сухроб Турсунов напомнил, что данные о нарушениях ПДД — протокол, фото момента нарушения и видео длительностью, как правило, 6−10 секунд — также находятся в доступе без пароля, но только по QR-коду или прямой ссылке, либо через мобильные приложения. Это нужно, чтобы их могли проверить как сам водитель, так и другие заинтересованные лица — например, владелец автомобиля или адвокат. Ссылка генерируется автоматически, и обнаружить ссылки других нарушений методом подбора нереально.

Система фотовидеофиксации регистрирует только момент нарушения ПДД, она не отслеживает перемещение автомобилей, подчеркнул Сухроб Турсунов. Сервера, где записывается движение автомобилей, где хранятся протоколы и кадры нарушений, и тестовый сервер — разделены. Первый находится в «закрытой сетке» внутри Узбекистана, доступа к нему из-за рубежа нет. Кадры же с нарушениями копируются на облачный сервер (cloud.yhxx.uz), где их можно увидеть по ссылке при получении постановления о нарушении.

В СБДД сообщили, что по стране установлено более 5000 камер фиксации нарушений, в том числе установленных предпринимателями, данные с которых аккумулирует Единая автоматизированная информационная система ведомства. Упоминание «около 100 камер» в материале зарубежного издания подтверждает, что доступа ко всей системе у авторов не было, отметили в службе.

Что касается мест установки камер, то координаты и адрес указываются на фотографиях, что предусмотрено требованиями, утверждёнными правительством (постановление от 21 апреля 2021 года №232), как и модель камеры. Эти данные являются публичными, они регулярно обновляются в открытых источниках, в том числе онлайн-картах и антирадарных устройствах.

В Узбекистане используются не только китайская система, упоминаемая TechCrunch, но и российские, белорусские и другие — всего 14 систем. Все системы и устройства перед запуском проходят трехэтапную экспертизу Центра кибербезопасности. В частности, проверяется соответствие техническому заданию, после чего выдаётся заключение о степени защищённости системы. Дополнительно требуется сертификат соответствия Агентства стандартизации.

После получения обращения о возможной уязвимости системы Центр кибербезопасности провёл проверку приведённых фактов и не нашёл им подтверждения, сказал Сухроб Турсунов. Проведена защищённость не только тестового сервера, но и связанных систем.

Центр пытался связаться с автором статьи Заком Уитакером по указанным им в письме (от 17 декабря) контактным данным, но ответа не получил. Об этом также говорится в сообщении, опубликованном на сайте МВД. В СБДД отметили, что готовы обсудить с автором все детали, если с ним удастся установить связь.