Bezbednosne Ranjivosti Optičkih Mreža do Kuće (FTTH): Tehnički, Pravni i Bezbednosni Aspekti GPON Tehnologije

Članak objavljen na portalu Hackaday pod nazivom “Hacking Fiber To The Home” (autorke Zoe Skyforest, objavljen 13. avgusta 2026. godine) osvetlio je ključno, a često zanemareno pitanje moderne telekomunikacione infrastrukture: kako pasivne optičke mreže (PON) prenose podatke do krajnjih korisnika i gde nastaju bezbednosni propusti.

Eksperiment i prezentacija istraživača (Rithwik Jayasimha i Rithvik Vibhu) sa prestižne bezbednosne konferencije DEF CON pokazuju da optička veza između operatera i korisničkog doma nije automatski bezbedna samo zato što koristi svetlost umesto bakarnih provodnika.

1. Mrežna Arhitektura: Kako Funkcioniše FTTH / GPON?

Da bi se razumeo bezbednosni rizik, neophodno je analizirati fizičku i logičku strukturu pasivnih optičkih mreža.

Većina provajdera (ISP) primenjuje GPON (Gigabit Passive Optical Network) standard (definisan prema ITU-T G.984) ili novije XGS-PON standarde za isporuku interneta visokih brzina.

[ OLT (Centrala Provajdera) ]

             |

   (Glavni Optički Kabl)

             |

    [ Pasivni Spliter ]  <– Fizičko račvanje svetlosti

      /      |      \

    /        |        \

[ONU 1]  [ONU 2]  [ONU 3]  (Uređaji u domovima korisnika)

(Dom A)  (Dom B)  (Dom C)

Ključne komponente sistema:

OLT (Optical Line Terminal): Aktivni mrežni uređaj koji se nalazi u centrali operatera. On agregira saobraćaj i emituje podatke niz optičku mrežu.

Pasivni spliteri (Optical Splitters): Mrežni elementi u razvodnim ormarima na ulicama ili u zgradama. Oni ne zahtevaju električnu energiju, već fizički deliće jedan dolazni optički signal (svetlosni snop) na više izlaznih niti (npr. 1:32 ili 1:64).

ONU/ONT (Optical Network Unit / Terminal): Uređaj (modem/ruter) u domu pretplatnika koji pretvara optički signal u električni Ethernet signal.

2. U čemu se sastoji “Hakovanje FTTH Mreže”?

Brodukast (Broadcast) priroda silaznog saobraćaja (Downstream)

U GPON arhitekturi, dolazni saobraćaj (downstream) funkcioniše po principu emitovanja: svaki svetlosni impuls koji napusti OLT prolazi kroz pasivni spliter i stiže do svih priključenih ONU uređaja u komšiluku.

U normalnim okolnostima, filtriranje saobraćaja vrši se na nivou samog ONU uređaja u korisničkom domu. Standardni ONU proverava identifikator mrežnog prolaza (GEM Port ID) i prihvata samo pakete koji su namenjeni tom konkretnom serijskom broju uređaja, dok sve ostale pakete namenjene komšijama jednostavno odbacuje.

Kako nastaje ranjivost?

Istraživači su pokazali da manipulacijom nad korisničkim uređajem (ONU) ili njegovom zamenom specijalizovanim SFP modulima (SFP GPON ONU stick) sa modifikovanim operativnim sistemom (kako je detaljno dokumentovano na stručnim platformama poput Hack GPON i GitHub RTL960x zajednice), uređaj može da se prebaci u takozvani “promiscuous mode”.

U tom režimu, modifikovani ONU više ne odbacuje pakete namenjene komšijama, već sve frejmove koji pristignu preko optičke niti prosleđuje dalje u lokalnu mrežu napadača.

       [ Podaci za Domaćinstvo A, B i C stižu do svih ]

                                |

     +————————–+————————–+

     |                                                     |

[ Standardni ONU (Dom A) ]                      [ Kompromitovani ONU (Dom B) ]

Filtira i prima samo pakete za A.                Ignoriše filtere (Promiscuous mode).

Odbacuje pakete za B i C.                        Čita sirove pakete od A, B i C!

3. Tehnička Analiza i Odbrana od Napada

Ako je dolazni saobraćaj emitovan svima, kako se podaci šite?

1. Kriptografija na nivou veze (AES-128)

Sam GPON standard (ITU-T G.984.3) predviđa upotrebu AES-128 enkripcije za silazni saobraćaj. Kada je enkripcija uključena, OLT šifruje pakete za svakog korisnika pojedinačno, koristeći ključeve koji se dinamički menjaju.

Problem u praksi: Mnogi operateri širom sveta iz nemara ili radi smanjenja opterećenja opreme ostavljaju AES enkripciju isključenu na PON nivou. U tim slučajevima, sirovi Ethernet paketi komšija putuju u potpunosti nezaštićeni.

2. Aplikativna enkripcija (HTTPS / TLS)

Rast upotrebe TLS/SSL protokola (HTTPS, WSS) štiti sadržaj komunikacije (npr. lozinke, sadržaj poruka). Međutim, presretanjem na nivou komšijskog FTTH linka i dalje se izlažu kritični metapodaci:

DNS upiti (ukoliko se ne koristi DoH/DoT),

IP adrese i domeni koje komšije posećuju,

Nezaštićeni IoT saobraćaj unutar pametnih domova,

Nešifrovani medijski strimovi ili industrijski protokoli.

3. Druge potencijalne vektore napada:

Uzbunjivanje mrežnog segmenta (DoS): S obzirom na to da uzlazni saobraćaj (upstream) koristi vremensko multiplexiranje (TDMA), zlonamerno emitovanje neprekidnog svetlosnog signala određene talasne dužine sa modifikovanog ONU uređaja može u potpunosti “zaslepiti” OLT i prekinuti internet konekciju svim korisnicima na tom spliteru.

Ubrizgavanje paketa (Packet Injection): Potencijalno lažiranje MAC ili IP adresa komšija radi generisanja saobraćaja u njihovo ime.

4. Legalni, Zakonski i Regulatorni Okvir (EU i Republika Srbija)

Neovlašćeno pristupanje mreži, presretanje komšijskog saobraćaja i izmena provajderske opreme podležu strogoj krivičnoj i prekršajnoj odgovornosti.

                             [ Regulatorni Okvir ]

                                       |

           +—————————+—————————+

           |                                                       |

   [ Evropska Unija (EU) ]                                 [ Republika Srbija ]

– NIS2 Direktiva (2022/2555)                            – Zakon o informacionoj bezbednosti

– GDPR (Uredba 2016/679)                                – Zakon o zaštiti podataka o ličnosti

– Cyber Resilience Act (CRA)                            – Krivični zakonik (Čl. 302, 303)

– RED Direktiva (2014/53/EU)                            – Zakon o elektronskim komunikacijama

A. Pravni okvir u Evropskoj Uniji (EU)

NIS2 Direktiva (Direktiva EU 2022/2555): Operator elektronskih komunikacija spada u kritičnu infrastrukturu.

Obaveza: Provajderi moraju primeniti tehničke mere bezbednosti (uključujući enkripciju mrežnog sloja poput AES na GPON-u). Propust u konfiguraciji koji omogući komšijsko prisluškivanje predstavlja direktno kršenje obaveze upravljanja rizikom.

Opšta uredba o zaštiti podataka (GDPR – Uredba EU 2016/679): Mrežni metapodaci (IP adrese, MAC adrese, istorija posećenih lokacija) smatraju se podacima o ličnosti. Curenje ovih podataka usled neenkriptovanog prevoza predstavlja povredu bezbednosti podataka (data breach), što povlači kazne i do 20 miliona evra ili 4% godišnjeg obrtnog prihoda kompanije.

RED Direktiva (2014/53/EU) i Akt o sajber otpornosti (Cyber Resilience Act – CRA): Zahtevaju od proizvođača mrežne opreme i operatera da uređaji povezani na internet budu bezbedni od neovlašćene izmene firmvera (tampering) i kompromitovanja saobraćaja.

B. Pravni okvir u Republici Srbiji

Krivični zakonik Republike Srbije (“Sl. glasnik RS”, br. 85/2005… i 35/2019):

Član 302 (Neovlašćeni pristup zaštićenom računaru, računarskoj mreži ili netu): Neovlašćeno ulazanje u tuđu računarsku mrežu ili presretanje podataka kažnjivo je novčanom kaznom ili zatvorom do 3 godine (odnosno do 5 godina ako je prouzrokovana šteta).

Član 303 (Neovlašćeno korišćenje računara ili računarske mreže): Odnosi se na neovlašćeno menjanje parametara opreme i korišćenje mrežnih resursa.

Član 143 (Neovlašćeno prisluškivanje i snimanje): Neovlašćeno presretanje poruka i podataka u prenosu.

Zakon o informacionoj bezbednosti (“Sl. glasnik RS”, br. 6/2016, 94/2017 i 77/2019): Operator elektronskih komunikacija je rukovalac IKT sistema od posebnog značaja. Dužan je da sprovodi mere zaštite mrežnog saobraćaja od neovlašćenog pristupa i uvida u sadržaj saobraćaja.

Zakon o zaštiti podataka o ličnosti (“Sl. glasnik RS”, br. 87/2018): Usklađen sa GDPR-om. Obavezuje provajdere da tehničkim merama onemoguće da treća lica (uključujući i druge pretplatnike u istom fizičkom segmentu) dođu do podataka o ličnosti korisnika.

Zakon o elektronskim komunikacijama (“Sl. glasnik RS”, br. 35/2023): Propisuje obavezu operatora da obezbede tajnost elektronskih komunikacija i integritet svoje mreže, pod pretnjom visokih prekršajnih kazni koje izriče RATEL (Regulatorna agencija za elektronske komunikacije i poštanske usluge).

5. Zaključak i Preporuke

Slučaj koji je osvetlio Hackaday predstavlja važan podsetnik za telekomunikacioni sektor: pasivna optička mreža pruža fizičku brzinu, ali ne garantuje sama po sebi privatnost.

Preporuke za operatore (ISP):

Obavezna aktivacija AES-128 enkripcije na silaznom GPON/XGS-PON saobraćaju za sve korisničke profile.

Stroga OMCI autentifikacija: Onemogućavanje priključivanja neautorizovanih ONT/SFP modula u mrežu primenom naprednih mehanizama provere serijskih brojeva, LOID i softverskih verzija.

Redovna kontrola mrežne opreme: Pravovremeno ažuriranje firmvera na OLT i ONU uređajima radi sprečavanja lokalnog dobijanja root pristupa.

Preporuke za krajnje korisnike:

Pristupajte osetljivim servisima isključivo putem enkriptovanih protokola (HTTPS, SSH, SFTP).

Koristite Encrypted DNS (DNS over HTTPS ili DoT) kako biste zaštitili metapodatke o domenu.

Po potrebi primenite privatne VPN servise za dodatni sloj enkripcije celokupnog saobraćaja od vašeg rutera do sigurne mrežne tačke.

Validni Izvori i Referentna Literatura

Hackaday: Hacking Fiber To The Home (Autor: Zoe Skyforest, 13. avgust 2026)

Hack GPON Projekat & Dokumentacija: Worldwide wiki on how to access, change and edit ONTs

https://hack-gpon.org

ITU-T Standardizacija: ITU-T G.984.3 : Gigabit-capable Passive Optical Networks (G-PON): Transmission convergence layer specification (AES Encryption)

https://www.itu.int/rec/T-REC-G.984.3/en

EUR-Lex (Evropsko pravo): Direktiva (EU) 2022/2555 (NIS2 Direktiva o merama za visok zajednički nivo sajber bezbednosti)

https://eur-lex.europa.eu/eli/dir/2022/2555/oj

Pravni portal RS: Krivični zakonik Republike Srbije (Čl. 302 – Neovlašćeni pristup računarskoj mreži)

https://www.pravno-informacioni-sistem.rs/SlGlasnikPortal/reg/view_act/852005

RATEL (Republika Srbija): Zakon o elektronskim komunikacijama (“Sl. glasnik RS”, br. 35/2023)

https://www.ratel.rs

Za više detalja o fizičkom i mrežnom modifikovanju SFP modula, pogledajte vodič za hakovanje SFP modula na YouTube-u koji objašnjava fizičke i mrežne principe rada SFP optičkih primopredajnika na opremi. Ovi resursi pomažu u razumevanju kako se optički signali mogu analizirati i modifikovati na nivou hardvera.