Huawei åbner cybercenter i EU’s hjerte: Kom og se vores kildekoder

Mange steder at gemme en bagdør hvis man gerne vil.

Det sidste synes vort overvågningsliderlige justitsministerium nok ikke om.

Selvom jeg ikke kan se hvordan, så bør EU på vegne af EU’s medlemslande udarbejde en sikkerhedsprotokol som kan fjerne eller mindske overvågningsrisikoen.

Det må være muligt at reducerer risikoen for fjendtlige bagdøre via dynamisk fjernovervågning udført af dedikerede sikkerhedsservere og herunder specifikation af godkendt hardware, firmware mv. (til brug i kritisk netværk).

I den sammenhæng er det interessant at mange lande udenfor EU, herunder folkerige lande som Indien, Tyrkiet og Brasilien ofte ”Cut&Paste’r” EU’s love indenfor IT og IT-relaterede sammenhænge.

Diverse regeringskunder må jo kræve reproducible builds så.

Det lyder rigtigt godt. Hvis altså bare det drejede sig om en statisk huawei-5g.bin fil.

Men et 5G netværk er ret komplekst. Der er mange images på mange servere og der er mange konfigurationsfiler, certifikater, routere, firewall regler og customiseringer, you name it. Mange steder at gemme en bagdør hvis man gerne vil.

Og jeg vil æde min gamle hat på at det ikke er teleselskabets egne medarbejdere der opgraderer 5G installationen fra leverandøren. Det er leverandøren eller nogle eksterne valgt af leverandøren der opgraderer som led i en supportaftale.

Lad os bare tage en enkelt Cisco router. Hvordan vil man sikre sig at den faktisk kører med det image der har sha1 summen a38359c82f32dbb3342cb4bedcb78ce116bac69e? Ikke at den siger at den gør det, men at den rent faktisk gør det?

Gang det med 200 servere, routere og switche, som alle har et eller andet custom i sig, og som af sikkerhedsgrunde skal sikkerhedsopdateres om ikke dagligt så ugenligt, og hvor man ikke kan tåle selv det mindste nedetid?

Og så er der for teleselskabet ikke meget reproducible over det længere, heller ikke selvom de 34123 images i teorien hver for sig var reproducible.

</p>
<p>Diverse regeringskunder må jo kræve reproducible builds så.

Ja jeg tænkte det samme: Hvordan sikrer du at kildekoden du ser, også er den du kører.

...kildekoden! Der kan ligge masser af ting i chipene som ingen (for den sags skyld heller ikke Huawei) ved noget om - tænk på Intel’s Management Engine, det samme kan stoppes ned i hvilken som helst chip.

Det er vel lidt ligegyldigt om kildekoden lige nu er ok, hvis de bare kan køre en online update, efter at regeringen har beordret dem til det.

Det er vel det der er problemet her. At der KAN komme problemer. Ikke at der nødvendigvis er det lige nu. Jeg ved ikke om de overhovedet vil kunne løse det på nogen måder. Måske ved at flytte hele virksomheden til USA eller sådan noget. Men det går Kina næppe sådan lige med til.

... er at USA først advarede mod Huawei efter at en årelang NSA-infiltration blev afsløret, hvor det hidtil var lykkedes NSA at indbygge egne bagdøre direkte i Huaweis produkter.

Hørte at der er sendere i alle chips fra USA så de kan lokalisere terrorister i tilfælde af krig og bombe dem, det er i både computere og telefoner.

USA ønsker vel ikke konkurrence på dette punkt.

Det virker lidt som en propagandaøvelse mere end noget andet. "Kom og se vores kildekode som vi har udvalgt du må se".

Diverse regeringskunder må jo kræve reproducible builds så.

Hvis man tager i sølvpapirshatten på et øjeblik. Måske det egentlig er en afledning fra en af USA's 3 bogstavs institutioner for hvad de laver/ stadig laver. For få år siden var USA jo "the bad guy", nu ligger fokus mere på Kina og Rusland i medierne.

Ikke kun at med Huawei udstyr kan kineserne (teoretisk) se med, men lige så meget at med Huawei så kan amerikanerne ikke se med.

Og hvis det er det som er det virkelige problem, så er det jo ligegyldigt om der (i dag) er bagdøre i Huawei udstyr.

Kunne være interessant om vi også skulle forbyde Eriksson udstyr hvis det gik hen og blev meget populært...

Kom og se vores kildekode som vi har udvalgt du må se

Måske, eller også er efterretningstjenestens kode gemt i en anden chip, lige som hos Intel.

Men dette udsagn, er ikke nogen dårlig ide:

Industrien som helhed mangler et samlet sæt af tekniske standarder for sikkerhed og systemer til verificering.

Og EU kunne være det rigtige sted at gøre det.

Det virker lidt som en propagandaøvelse mere end noget andet. "Kom og se vores kildekode som vi har udvalgt du må se".