Kas Hiina pani Apple'i ja Amazoni võrkudesse riistvara tagauksed?

Kas Hiina pani Apple'i ja Amazoni võrkudesse riistvara tagauksed?

Ajatempel: 8. oktoober 2018 4:02

Hiina tagauks Lugemisaeg: 5 protokoll

Hiina tagauks

Bloomberg Businessweek avaldas a šokeeriv ja vastuoluline raport 4. oktoobril. Supermicro asub Californias San Joses. Kuigi nende lõpptoote serverid on disainitud Ameerika Ühendriikides, toodavad nad oma süsteemi emaplaate Hiinas.

Hiina on tõepoolest maailma tootmisvõimsus. Umbes 75% mobiiltelefonidest, 90% arvutitest ja 100% minu gooti platvormi kingade kollektsioonist on valmistatud seal. On tõenäoline, et paljud asjad, mis teile praegu kuuluvad, on valmistatud selles riigis, olenemata sellest, kes te olete või kus te elate.

Ameerika ametnikud on aastaid väitnud, et rahvusvaheliselt tarnitud mobiilseadmeid ja võrguriistvara on valmistanud Huawei ja ZTE, kaks ettevõtet, millel on kontrollitavad sidemed Hiina valitsusega, mida kasutatakse Hiina küberspionaažiks. Hiina eitab seda ning 2015. aasta septembris teatasid Hiina president Xi Jinping ja Ameerika president Barack Obama pressikonverentsil, et Hiina nõustus mitte toetama. küberrünnakud omandada Ameerika intellektuaalomandit Hiina ettevõtete hüvanguks.

Bloombergi Jordan Robertson ja Michael Riley väidavad, et on rääkinud nii Apple'i kui ka Amazoni anonüümsete allikatega, kes väidavad, et Supermicro serveri emaplaadi tootmise kaudu on Hiina Rahvavabastusarmee tunginud nende tehnoloogiahiiglaste ja tõenäoliselt ka teiste tarneahelatesse. Apple ja Amazon on mõlemad need väited ametlikult eitanud. Niisiis, mis on tõde?

Siin on süüdistuste üksikasjad. Väga pisikesed mikrokiibid, umbes teritatud pliiatsiotsa või Abraham Lincolni nina suurused Ameerika sendil, on osa serveri emaplaatidest, mida Supermicro Hiinas toodab või hiljem kuhugi ülemaailmsesse tarneahelasse lisatakse. Hiina sõjaväeüksus valmistas kiibid, mis saadeti Supermicro tehasesse ning Supermicro on tõenäoliselt operatsiooniga kursis ja koostöövalmis.

Supermicro valmistab serverimasinaid nende ilmselt rikutud emaplaatidega ja saadab need kümnetele Ameerika ettevõtetele, millest tähelepanuväärsemad on Apple ja Amazon. Väikestel mikrokiipidel on ruumi vaid natukene koodi jaoks, kuid sellest pisikesest püsivarast piisab, et avada Hiina küberspionaaži riistvaraline tagauks. Kui serverid on oma andmekeskustes ja sisse lülitatud, saab püsivara operatsioonisüsteemi tuumas konkreetsete muudatuste tegemiseks muudatusi teha. Tagauksed võimaldavad serveritel suhelda ka küberründaja käsu- ja juhtimisserveritega, et luurata Ameerika võrkudes ja saada täiendavat potentsiaalselt pahatahtlikku koodi. Vastavalt Bloombergi raport:

"See süsteem võib lasta ründajatel muuta seadme toimimist rida-realt, kuidas nad soovisid, jätmata kedagi targemaks. Et mõista, millist jõudu neile annab, võtke see hüpoteetiline näide: kusagil Linuxi operatsioonisüsteemis, mis töötab paljudes serverites, on kood, mis volitab kasutajat, kontrollides sisestatud parooli võrreldes salvestatud krüpteeritud parooliga. Siirdatud kiip võib osa sellest koodist muuta, nii et server ei kontrolli parooli – ja enne! Turvaline masin on avatud kõigile kasutajatele. Kiip võib varastada ka turvalise side krüpteerimisvõtmeid, blokeerida turvavärskendusi, mis rünnaku neutraliseerivad, ja avada uusi teid Internetti. Kui mõnda anomaaliat märgataks, oleks see tõenäoliselt seletamatu veidrus.

Nii Apple kui ka Amazon hostivad voogesituse videoteenuseid – funktsiooni, mille täitmiseks olid loodud paljud Supermicro serverid.

Robertson ja Riley väidavad, et pärast püsivaraprobleemide ja ebanormaalse võrgukäitumise tuvastamist avastas Apple'i enda uurimine 2015. aasta mai paiku tagaukse kiibid. Anonüümsed allikad, keda nimetatakse Apple'i kõrgemateks insaideriteks, väidavad, et Cupertinos asuv ettevõte teatas oma avastusest FBI, kuid jagas agentuuriga vaid piiratud teavet. Ilmselt keelas Apple FBI-l juurdepääsu nende riistvarale.

Samal ajal kui FBI püüdis Apple'i avastust piiratud teabega uurida, leidis Amazon nende Supermicro serverites samad pahatahtlikud komponendid ja tegevused. Amazon mitte ainult ei jaganud oma leide FBI-ga, vaid andis neile juurdepääsu ka nende ilmselt saboteeritud serveritele.

4. oktoobril Apple ametlikult eitas Robertsoni ja Riley väited oma uudistetoimetuse pressiteates:

"Viimase aasta jooksul on Bloomberg meiega korduvalt ühendust võtnud väidetega, mis on mõnikord ebamäärased ja mõnikord üksikasjalikud, väidetava Apple'i turvaintsidendi kohta. Iga kord oleme nende järelepärimiste põhjal läbi viinud range sisejuurdluse ja iga kord pole leidnud ühtegi tõendit, mis neid toetaks. Oleme korduvalt ja järjekindlalt pakkunud faktilisi vastuseid, mis on salvestatud, lükates ümber peaaegu kõik Bloombergi Apple'iga seotud loo aspektid.

Sellega seoses võime olla väga selged: Apple pole kunagi leidnud pahatahtlikke kiipe, riistvaramanipulatsioone ega turvaauke, mis on sihilikult üheski serveris istutatud. Apple ei puutunud kunagi FBI ega ühegi teise agentuuriga sellise juhtumiga seoses. Me ei ole teadlikud ühestki FBI uurimisest ega ka meie kontaktid õiguskaitses.

Ka 4. oktoobril Amazon tegi ametliku keeldumise Stephen Schmidti postitusega AWS Security ajaveebi:

„Täna avaldas Bloomberg BusinessWeek loo, milles väideti, et AWS oli teadlik muudetud riistvarast või pahatahtlikest kiipidest Elemental Media riistvaras SuperMicro emaplaatides (endine vahendaja Supermicro ja Amazoni vahel, mille Amazon on sellest ajast alates omandanud) ajal, mil Amazon 2015. aastal Elementali omandas. ja et Amazon oli teadlik muudetud riistvarast või kiipidest AWS-i Hiina piirkonnas.

Nagu oleme Bloomberg BusinessWeekiga viimase paari kuu jooksul mitu korda jaganud, ei vasta see tõele. Mitte kunagi, ei minevikus ega olevikus, pole me kunagi leidnud mingeid probleeme, mis on seotud muudetud riistvara või pahatahtlike kiipidega SuperMicro emaplaatidel üheski Elementali või Amazoni süsteemis. Samuti ei ole me valitsusega juurdlust alustanud.

Selles artiklis on Amazoniga seoses nii palju ebatäpsusi, et neid on raske üles lugeda. Nimetame siin vaid mõned neist. Esiteks, kui Amazon kaalus Elementali omandamist, tegime oma turvameeskonnaga palju hoolsusmeetmeid ja tellisime ka ühe välise turvaettevõtte, kes teeks ka meie jaoks turvahinnangu. See aruanne ei tuvastanud muudetud kiipide või riistvaraga seotud probleeme. Nagu enamikule nendest audititest on tüüpiline, pakkus see välja mõned soovitatavad valdkonnad, mida parandada, ja lahendasime kõik kriitilised probleemid enne omandamise lõpetamist. See oli ainus väline turvaaruanne tellitud. Tõsi, Bloomberg pole kunagi näinud meie tellitud turvaaruannet ega ühtegi teist (ja keeldus jagamast meiega ühegi väidetava muu aruande üksikasju).

Bloomberg Businessweek jääb oma aruande juurde pärast Apple'i ja Amazoni ametlikke keeldumisi:

„Bloomberg Businessweeki uurimine on enam kui aasta pikkuse aruandluse tulemus, mille jooksul viisime läbi üle 100 intervjuu. Seitseteist üksikut allikat, sealhulgas valitsusametnikud ja ettevõtete siseringid, kinnitasid riistvara ja muude rünnakute elementidega manipuleerimist. Samuti avaldasime kolme ettevõtte täieliku avalduse ning Hiina välisministeeriumi avalduse. Jääme oma loo juurde ja oleme oma aruandluses ja allikates kindlad.

Kui Bloomberg Businessweekis kirjutatu vastab tõele, siis on see šokeeriv uudis ja väga tõsine küberspionaaži vandenõu. Robertsoni ja Riley teos on Silicon Valleyt šokeerinud ja võimalikud tagajärjed rahvusvahelistele suhetele on tõsised.

ALUSTA TASUTA KATSET HANKIGE TASUTA OMA INSTANT TURVAKARTI

Ajatempel:

Veel alates Küberturvalisuse Comodo