Berta Sándor

Tudatosan beépített kiskapuk vagy hibák voltak a Huawei routereiben?

Ismét a kínai konszern került a támadások kereszttüzébe. A szakértők azon vitatkoznak, hogy a felfedezett dolgok sebezhetőségek vagy tudatosan, előre elhelyezett kiskapuk lehettek.

A legújabb vitát a Bloomberg gazdasági hírügynökség robbantotta ki, amikor a Vodafone belső dokumentumaiból, illetve a Huawei és a mobilszolgáltató között lezajlott biztonsági megbeszélések résztvevőitől idézett. A Vodafone belső anyagaiban az szerepelt, hogy tudatos kiskapuk voltak a Huawei routereiben és távközlési rendszereiben.

A kínai óriáscég egyik szóvivője erre reagálva azzal érvelt, hogy csak 2011-es és 2012-es technikai hiányosságokról volt szó, amelyeket időközben már azonosítottak és orvosoltak. Amennyiben pedig sebezhetőségeket találnak, akkor szorosan együtt dolgoznak a partnereikkel a probléma megoldásán.

A Vodafone dokumentumai alapján a talált hibák nem csupán az olasz piacon jelen lévő Huawei-routerekben és távközlési rendszerekben voltak megtalálhatók, hanem a mobilszolgáltató nagy-britanniai, németországi, spanyolországi és portugáliai leányvállalatainál is. A Vodafone egyúttal közölte, hogy az olcsó ajánlatai miatt tartotta meg beszállítóként a kínai társaságot.

Stefano Zanera, a Politecnico di Milano professzora kijelentette, hogy nincs specifikus módszer arra, hogy valamit kiskapuként ismerjenek fel és a legtöbb kiskaput minden bizonnyal úgy készítik, hogy úgy néznek ki, mint egy sebezhetőség. A Vodafone 2009-es és 2011-es irataiban szereplő hiányosságok a kiskapuk minden tulajdonságával rendelkeznek.

A Vodafone a BBC-nek azt nyilatkozta, hogy a Bloomberg által "felfedezett" kiskapu a Telnet nevű protokoll volt, amelyet számos szolgáltató használ az ágazatban diagnosztikai célokra és amelyhez az internetről nem lehet hozzáférni. Emellett nincsenek bizonyítékok esetleges visszaélésekre. Egyszerűen arról volt szó, hogy a diagnosztikai funkciót elfelejtették a fejlesztés után eltávolítani.

Dennis Zuo, a Huawei németországi vezetője január végén visszautasította a hálózati felszereléseikkel kapcsolatos biztonsági aggodalmakat. Ugyanakkor kiszivárgott, hogy a kínai kiberbiztonsági törvény előírásai alapján az összes helyi vállalkozás köteles a birtokába kerülő minden nemzetbiztonsági szempontból fontos adatot továbbítani a hivataloknak. A Huawei erre úgy reagált, hogy nem tárol adatokat, hiszen csak hálózati felszereléseket szállít az ügyfeleinek. Az adatokat kizárólag a helyi hálózatüzemeltetők őrzik meg. A berlini Mercator Institute for China Studies (MERICS) szakértői ezután bizalmas munkaanyagot készítettek és leszögezték, hogy pontosan tudják, hogy vannak ilyen kiskapuk, igaz, karbantartási, frissítési célokra.

Hozzászólások

A témához csak regisztrált és bejelentkezett látogatók szólhatnak hozzá!
Bejelentkezéshez klikk ide
(Regisztráció a fórum nyitóoldalán)
  • Arnika19 #7
    Mivel 2019-ben agyalnak 2011-2012 közt észlelt dolgokkal egy kicsit más írányt mutat a dolog.
    Ehhez meg aztán nem igazán van értelmes magyarázat:
    Bloomberg által "felfedezett" kiskapu a Telnet nevű protokoll volt

    Milyen kiskapunak tekinthető ez? Most is használható, szabványos dolog.
  • Macropus Rufus #6
    lehet venni őket még, de nem kimondottan olcsók, legalább is Ericsson-ból nem találtam olcsót. Siemensből viszont van 18000Ft-ért is.



  • mortep #5
    siemens az német az ericsson meg svéd. Egyikük sem volt köteles backdoort beépíteni az eszközeibe. Az amerikai meg a kínai gyártók meg, kötelesek megtenni ezt.
    Utoljára szerkesztette: mortep, 2019.05.07. 15:38:29
  • Zoliz #4
    Mindent ellep a Huawei digitális szemete. Egyék meg amit főztek maguk.
  • Ulrich von #3
    "a simens es az ericsson sajnos mar kivonult a piacrol, pedig ok meg keszitettek tiszta hardvert" És tudsz is ilyen készüléket mondani esetleg? Vagy mi ennek a kritériuma?
    Utoljára szerkesztette: Ulrich von, 2019.05.07. 10:27:45
  • nlght #2
    +1
    köszi az összefoglalót, egy nagyságrenddel hasznosabb volt mint a cikk
  • kvp #1
    A cikkben ket eltero jelensegrol van szo. Az egyik a bug-ok/exploit-ok jelenlete. Ezek szandekossaga tagadhato. (plausible deniability) Szoval ha szandekos, ha nem es csak bena volt egy fejleszto, egyik sem bizonyithato.

    A masik a hatso kapu, ami nem bug, hanem a frissitesek felrakasahoz szukseges gyartoi tanustvany. Mig az USA-ban a gyarto koteles a gyartoi melle egy allami tanusitvanyt (backdoor-t) telepiteni, addig pl. regebben Franciaorszagban es jelenleg Kinaban a gyartoi alairokulcsot kell atadni az allamnak, ami igy a gyarto tudta nelkul tud olyan modositott firmware-t kesziteni ami gyartoinak tunik. Ez azert elonyosebb, mert igy a felhasznalo nem lathatja, hogy a gyarto frissit vagy az allam telepit valamit. Tovabba az adott allam letagadhatja a hatso kapu hasznalatat, a gyartora kenve egy esetleges kemkedest. (az usa-ban tobbek kozott ezert nem voltak hajlandoak a cegek erre, mashol kelloen eros ipari lobbi hianyaban erobol atnyomtak a torvenyeket)

    Szoval igen, vannak bug-ok, talan vannak szandekos exploit-ok es biztosan ott a kinai allamnal a kulcs minden eszkozhoz. Nem veletlen, hogy a raspberry pi-osoknak nem hajlando senki lezarhato chipeket eladni, csak kikapcsolt secure boot-tal kaphatnak barmit, mert sem az amerikai, sem a kinai allam nem szeretne ha az emberek maguk zarnak le az alaplapjaikat mindenki mas elol. (gyakorlatilag nagyon nehez nem elotelepitett amerikai es/vagy kinai kulccsal szerelt armos procit venni, tiszta inteles x86-os meg nincs is)

    Akarhogy is nezzuk az europaiak igy is ugy is megszivtak. (a simens es az ericsson sajnos mar kivonult a piacrol, pedig ok meg keszitettek tiszta hardvert)