Huawei lämnade potentiellt exploaterbar bakdörr i nätverksfirma

USA har länge hävdat att Huawei hotade sin digitala säkerhet. Nu hävdar ett säkerhetsföretag att ha grävt ut flera potentiellt utnyttjbara bakdörrar i en hel del av programvaran som det kinesiska företaget använde. Eftersom loppet att distribuera 5G-nätverk blir snabbare kan sådana påståenden ytterligare äventyra telekom- och nätverksjättens affärsmöjligheter över hela världen.

Forskare från IoT-säkerhetsföretaget Finite State har uppenbarligen avslöjat att över hälften av utrustningen från Kinas telekomjätten Huawei har "åtminstone en potentiell bakdörr". Det finns betydande bevis för att Huaweis firmware för nätverksenheter hade brister, som medvetet kunde ha använts för att göra dem sårbara, hävdar företaget. Samtidigt som de lade fram sin forskning om Huaweis programvara installerad i dess nätverksutrustning, sa företaget: ”Det finns betydande bevis för att nolldagars sårbarheter baserade på minneskorruption finns i överflöd i Huawei-firmware. Sammanfattningsvis, om du inkluderar kända sårbarheter med fjärråtkomst tillsammans med möjliga bakdörrar verkar Huawei-enheter ha hög risk för potentiell kompromiss. ”

Slutsatserna från säkerhetsforskarna i Finite State verkar likna ganska mycket vad Ian Levy, teknisk chef för Storbritanniens National Cyber ​​Security Center (NCSC), en enhet för spionbyrån GCHQ hade dragit tidigare denna månad. Då hade Levy precis avslutat utvärderingen av Huawei-utrustningen utifrån ihållande påståenden om att det kinesiska företagets 5G-nätverksutrustning kunde användas av Kina för att genomföra omfattande statligt sponsrade spionagekampanjer. Levy hade direkt hävdat att säkerhetsåtgärder som Huawei använde i sin utrustning var "objektivt sämre och luddiga" jämfört med alla sina konkurrenter inom den trådbundna och trådlösa nätverksbranschen. "Ur en teknisk säkerhetssynpunkt i leveranskedjan är Huawei-enheter några av de värsta vi någonsin har analyserat", hävdade Levy.

Forskarna noterade i sin rapport att trots Huaweis offentliga åtaganden att förbättra säkerheten avslöjade analysen Huaweis "säkerhetsställning" faktiskt "minskar över tiden". Forskarna hävdade att de granskade cirka 558 Huawei-nätverksprodukter för företag. De har enligt uppgift kammat genom 1,5 miljoner filer inom cirka 10 000 firmwarebilder.

Huawei lämnade mer än hundra säkerhetsfel och sårbarheter?

Analysen visade tydligen att mer än 55 procent av firmwarebilderna har minst en potentiell bakdörr. Några av de anmärkningsvärda säkerhetshålen och till synes avsiktliga sårbarheterna kvar i firmwarefilerna innehåller hårdkodade referenser som kan användas som en bakdörr, osäker användning av kryptografiska nycklar. Företaget påstod också att ha observerat "indikationer på dålig mjukvaruutveckling." Sammantaget hävdar Finite State att de i genomsnitt har upptäckt cirka 102 kända sårbarheter i varje Huawei-firmwarebild. Det var enligt uppgift bevis för många nolldagars sårbarheter också.

En intressant aspekt som dykt upp under analysen var Huaweis användning av programvara med öppen källkod. Huawei förlitade sig regelbundet på OpenSSL. Open source-plattformen är ett ofta använt kryptografiskt bibliotek för att skydda och kryptera digital kommunikation. I enkla ord används OpenSSL ofta av webbplatser för att aktivera HTTPS. Huawei har enligt uppgift misslyckats med att uppdatera sådan programvara med öppen källkod, hävdade säkerhetsforskarna. "Medelåldern för programvarukomponenter från tredje part i Huawei-firmware är 5,36 år." Dessutom finns det "tusentals förekomster av komponenter som är mer än tio år gamla." Tydligen lämnade en del av den föråldrade och föråldrade programvaran Huaweis utrustning utsatt för det ökända Heartbleed, ett mycket ökänt och vidsträckt virus redan 2011.

Är Huawei det enda företaget som använder programvara med öppen källkod?

Det är viktigt att notera att företag som liknar Huawei ofta är beroende av programvara med öppen källkod för att påskynda programutveckling och distribution i hårdvara. Dessutom upptäcker dessa företag ofta bakdörrar och sårbarheter och rusar för att lappa dem. I grund och botten är det en mycket vanlig praxis. Men det som till och med är viktigt är att företag ofta uppdaterar programvaran och försöker använda den senaste eller den mest stabila versionen som har flera buggfixar.

För närvarande är Huaweis huvudkonkurrenter Ericsson, Nokia och Cisco. Förresten, alla dessa företag utformar sina egna iterationer av höghastighets, ultra-låg latens 5G nätverksutrustning. Dessa organisationer utvärderar fortfarande den mest optimala kombinationen av hårdvara för att uppfylla de många kraven i 5G, inklusive tillförlitlig anslutning till IoT-enheter (Internet of Things), anslutna bilar och andra elektroniska enheter. Även om 5G förlitar sig på etablerade tekniker och kommunikationsprotokoll måste plattformen använda mycket avancerad teknik. Dessutom har den nya mobilkommunikationsstandarden en mycket större räckvidd jämfört med alla tidigare standarder. Därför är det viktigt att skapa stark säkerhet och förhindra dataintrång eller informationsläckage.