Bumping: ...a bude hůř?

Obsah říjnového dTestu

Aktuální číslo časopisu dTest 10/2020 Obsah říjnového dTestu

Publikováno v časopise 7/2008

Pod mechanickými zámky se před nezvanými skrývá úplně všechno. Majetek jednotlivců, majetek firem a institucí, citlivá a utajovaná data, včetně těch, která se týkají bezpečnosti států. Mezi nejlépe zabezpečené objekty světa patří kanceláře Bílého domu a Pentagonu, jejichž dveře mimo jiné „hlídají“ superzámky značky Medeco s důmyslným systémem stavítek a rotačních ploch. Specialistovi v oboru bezpečnosti zámkové techniky Marcu Tobiasovi stačilo přibližně 6 vteřin (tři údery na aplikátor) a bumping Medeco pokořil – račte vstoupit.

Stalo se na konferenci Defcon v srpnu 2007. Rychle a beze stop dokázal otevřít i další bezpečnostní zámky slavných značek, např. Kwikset, Targus, Master Lock. A jen na okraj – na téže konferenci hackeři ukázali, jak lze otevřít elektronické zámky, které taktéž chrání bezpečnostně citlivá místa (např. i Bílý dům a Pentagon).
Bumping začíná terorizovat svět, velké problémy už hlásí Anglie, Francie i Německo.

Na podzim loňského roku jsme poprvé vyzkoušeli bumping. Snadno jsme otevřeli dvě cylindrické vložky s vysokou úrovní ochrany majetku, které měly být odolné proti překonání. U jedné nám to trvalo 62 vteřin, u druhé 272 vteřin. Svědectví o pokusu, který vyšel a který po sobě nezanechal jedinou stopu, jsme publikovali v listopadovém vydání (TEST 11/2007).
A také jsme se spojili s redakcí Televizních novin TV NOVA, aby se co nejvíce lidí dozvědělo, že jejich domovy nejsou před bumpingem v bezpečí. Byť jejich vložky jsou značeny jako bezpečnostní, byť se honosí certifikáty, některé dokonce i certifikátem Národního bezpečnostního úřadu.
Bumpingu, nedestruktivní dynamické metodě, podlehla cylindrická vložka FAB, typ 2018D/29+35. A protože na ni byl certifikačním orgánem č. 3025 TREZOR TEST společnost s r.o. vydán Certifikát shody o tom, že splňuje požadavky bezpečnostní třídy 3 (včetně odolnosti proti nedestruktivní dynamické metodě) a protože Národní bezpečnostní úřad potvrdil Certifikátem technického prostředku ověření způsobilosti technického prostředku typu 2 a splnění požadavků NBÚ v kategorii SS4=2, informovali jsme obě místa – a samozřejmě výrobce a Českou asociaci pojišťoven – o našem zjištění.
Národní bezpečnostní úřad odpověděl, že na základě naší informace začal shromažďovat podklady pro ověření, zda technický prostředek (tj. zkoušená vložka) i nadále splňuje požadavky pro certifikaci stanovené zákonem o ochraně utajovaných informací a o bezpečnostní způsobilosti. Společnost TREZOR TEST považovala zjištěnou skutečnost za velmi závažnou a vyžádala si protokol o zkoušce, aby mohla učinit u výrobce příslušná opatření. Česká asociace pojišťoven a společnost FAB na naše upozornění nereagovaly.
I když uplynulo téměř devět měsíců a i když nemáme žádné další oficiální informace, přesto se domníváme, že se v „zákulisí“ asi něco děje. A protože bumping opravdu nelze brát na lehkou váhu, vyzkoušeli jsme další dvě cylindrické vložky, jednu s bezpečnostní třídou 3 a druhou s bezpečnostní třídou 4.
Za zamčené dveře jsme se opět dostali. Bez poškození, jak jinak…

Něco málo o bumpingu

Na samém začátku byla myšlenka pomoci lidem, kteří ztratili klíče k mechanickým zámkům. Američan Hiram R. Simpson si v roce 1928 přihlásil v Kalifornii patent, jak bez originálního klíče a bez ztráty funkčnosti otevřít mechanický zámek; nese číslo US Patent 1667223. Jak tomu občas bývá, jeho metoda upadla v zapomnění až do okamžiku, kdy někdo v archivu patent objevil; kdo to byl, není s největší pravděpodobností známo.
Přesně se ale ví, kdy byl princip nenásilného otevření mechanických zámků předveden úzké odborné veřejnosti. Stalo se v Kodani v roce 1988 na Evropské konferenci výrobců uzamykacích systémů. Metoda měla sloužit zámečníkům při otevírání zámků klientů, kteří ztratili svůj originální klíč nebo si zabouchli dveře.

Říct to lidem? Nebo neříct?

Že je bumping velkou hrozbou si výrobci a odborníci nejenom u nás velice dobře uvědomovali – nelze s určitostí zjistit, že vložka zámku byla otevřena nepovolanou osobou ani při následném posouzení v kriminalistických laboratořích. Metodu nedestruktivního dynamického překonávání mechanických zámků drželi v utajení a konstruktéři se snažili hledat řešení, jak zámky udělat odolnějšími. Laická veřejnost neměla o ničem ani ponětí. Až do roku 2002…
Zpravodajství TV NOVA bylo pravděpodobně první na světě, které veřejnosti ukázalo, jak snadno a rychle se otevírají cylindrické vložky – bumping názorně předváděl Petr Salinger. V Německu tento problém naplno otevřel Klaus Noch v roce 2003 a o dva roky později vystoupili v holandské televizi lidé z organizace TOOOL (The Open Organisation Of Lockpickers), kteří otevírali zámky jak na běžícím pásu. V roce 2006 dostali holandští spotřebitelé do rukou výsledky průzkumu, který prováděla právě organizace TOOOL – naprostá většina certifikovaných a holandskou policií doporučovaných mechanických zámků byla bumpingem překonána.
Všude, kde se odvysílaly reportáže o snadné a rychlé metodě, která otevírá zámky bez poškození, vypukly zejména mezi výrobci, odborníky, kriminalisty i politiky diskuse, zda to nejsou návody pro zloděje a zda to nezpůsobí nárůst krádeží. Jenže bumping už byl dávno mezi zloději znám a „pštrosí“ politika jim jenom nahrávala do karet.

Bezpečí s certifikáty

Takřka okamžitě, co u nás bumping vstoupil v obecnou známost, se rozjelo „hledání“ zkušební metodiky, která by ověřovala odolnost cylindrických vložek. Podařilo se. Vložky, deklarované jako bezpečnostní, pokud pro ně jejich výrobci chtěli získat Certifikát shody včetně odolnosti proti nedestruktivní dynamické metodě (vydává certifikační orgán) a Certifikát technického prostředku (vydává NBÚ), musely vyhovět nejenom normě ČSN P ENV 1627, ale i požadavkům Národního bezpečnostního úřadu (Certifikační postup č. 1 NBÚ – doplněk:2002).
Výrobci, pojišťovny, kriminalisté a jistě i politici si oddychli, vždyť se opět na scénu navrátilo bezpečí. Lidé si s důvěrou kupovali a kupují cylindrické vložky, na jejichž obalech se skví „bezpečnostní“, výrobci se chlubí bezpečnostními třídami (čím vyšší, tím vložka bezpečnější) a certifikáty, jak jsou dobří. Jen od počátku pár pesimistů, mezi kterými je i soudní znalec ing. Oldřich Matušek se specializací na zámkovou a zabezpečovací techniku, zdvihalo varovný prst.

Nicotná ochrana

Možná by u nás byl ještě nějaký čas klid, výrobci mechanických zámků by si tiše „kutali“ na jejich vylepšování a bumping by v laické veřejnosti upadl do opětovného zapomnění, kdybychom na podzim 2007 nepřišli s naším úspěšným pokusem. Prokázali jsme, že cylindrická vložka s vysokou úrovní ochrany majetku (bezpečnostní třída 3), která měla příslušné certifikáty, nebyla ve skutečnosti odolná proti nedestruktivní dynamické metodě – dva z deseti testovaných kusů jsme otevřeli. Dodejme, že jsme postupovali podle certifikačního postupu Národního bezpečnostního úřadu. Kdybychom se však nemuseli držet daného postupu a kdybychom si mohli počínat jako zloději, otevřeli bychom mnohem víc kusů vložky, kdo ví – třeba všechny.
O certifikovaných „bezpečných“ cylindrických vložkách, které nezajistí bezpečí domovů, jsme širokou veřejnost varovali v Televizních novinách TV Nova, tématu se chopil i denní tisk, který přinášel i rady, jaké značky a typy mechanických zámků se nedají překonat a jakými dalšími prostředky zabezpečovat vstupní dveře.
Začali jsme cíleně shromažďovat informace o bumpingu, který se vylepšil takřka k naprosté dokonalosti. Kdo však zůstává o mnoho kroků zpátky, jsou výrobci a bohužel i certifikační postup Národního bezpečnostního úřadu. Opět jsme se na dvou typech cylindrických vložek – jedna bezpečnostní třídy 3 a druhá třídy 4 s ověřenou odolností proti nedestruktivní dynamické metodě – přesvědčili, že jejich certifikáty jsou na nic. Z dvaceti testovaných kusů jsme devět překonali, nejhůře dopadla cylindrická vložka bezpečnostní třídy 4, tedy s velmi vysokou ochranou majetku. A pro jistotu uvádíme: ačkoliv jsme testovali cylindrické vložky značky FAB (jedná se u nás o nejrozšířenější značku), nejsou před bumpingem v bezpečí žádné mechanické zámky; stačí, když si na internetu vyhledáte žebříčky úspěšnosti, jak dlouho lockerům trvalo otevřít tu kterou značku.

… a bude hůř?

Ač nejsme odborníci, troufneme si říci, že certifikáty, kterými se honosí mechanické zámky, nikomu neslouží - leda tak výrobcům a pojišťovnám, a že se jimi mystifikují lidi, kteří se domnívají, v jakém jsou bezpečí. A troufneme si také říci, že certifikační postup NBÚ, tedy metodika zkoušky, neodpovídá současné realitě bumpingu.
Stávající zkouška odolnosti mechanických zámků je dle našeho mínění účelová a nikoliv účelná. Otázkou je, zda lze vůbec zvýšit odbornost zkoušky natolik, aby alespoň dostihla bumping či se dokonce před něj dostala o jeden krůček. A také možná bylo chybou vydat se cestou vydávání certifikátů stvrzujících odolnost mechanických zámků proti nedestruktivní dynamické metodě, ač to jistě bylo míněno v dobrém.
Bumping je zákeřný. Zloději si snadno a rychle otevřou, odnesou si majetek lidí a firem a zase za sebou zamknou. A protože zámky nevykazují žádné poškození a protože v policejních protokolech černé na bílém stojí, že nebylo použito nástrojů k překonání vložek, pojišťovny neplní a naopak mohou klienty podezírat z pojistného podvodu.
Doposud se o bumpingu veřejně hovořilo pouze v souvislosti s movitým majetkem. Čtvrtletník Zabezpečení a kriminalita +Safe však uvádí: „V mnoha případech vznikne větší škoda únikem informací z kanceláří, počítačů, podnikatelům nebo dokonce státním složkám. Nepozorovaný vstup umožňuje instalaci různých odposlechových zařízení či skrytých kamerových jednotek. … Na bumping již nelze pohlížet skrze prsty a předstírat, že neexistuje. Odemykání dveří nezvanými osobami může zasahovat daleko do bezpečnosti státu a občanů.“
Mechanické zámky, pokud se nestane nějaký zázrak, který by je učinil odolnými proti bumpingu, nejsou – jak se ukazuje – bezpečné. A jak výše uvedená citace napovídá, odborníci předvídají, že bude asi hůř…

Přihlásit