Huawei a laissé une porte dérobée potentiellement exploitable dans la société de sécurité des réclamations de micrologiciel de réseau

Nouvelles
Sécurité / Huawei a laissé une porte dérobée potentiellement exploitable dans la société de sécurité des réclamations de micrologiciel de réseau 3 minutes de lecture

Huawei (Souce - Événement de presse Huawei)



Les États-Unis affirment depuis longtemps que Huawei a menacé sa sécurité numérique. Aujourd'hui, une entreprise de sécurité prétend avoir déniché plusieurs portes dérobées potentiellement exploitables dans bon nombre des logiciels déployés par l'entreprise chinoise. Alors que la course au déploiement du réseau 5G s'accélère, de telles allégations pourraient compromettre davantage les perspectives commerciales du géant des télécommunications et des réseaux à travers le monde.

Des chercheurs de la société de sécurité IoT Finite State ont apparemment révélé que plus de la moitié des équipements du géant chinois des télécommunications, Huawei, ont «au moins une porte dérobée potentielle». Il existe des preuves substantielles que le micrologiciel des périphériques réseau de Huawei présentait des défauts, qui auraient pu être déployés délibérément pour les rendre vulnérables, affirme la société. Tout en présentant ses recherches sur les logiciels de Huawei installés dans son équipement réseau, la société a déclaré: «Il existe des preuves substantielles que les vulnérabilités zero-day basées sur des corruptions de la mémoire sont abondantes dans le micrologiciel Huawei. En résumé, si vous incluez des vulnérabilités connues d'accès à distance ainsi que d'éventuelles portes dérobées, les appareils Huawei semblent présenter un risque élevé de compromission potentielle. »



Les conclusions tirées par les chercheurs en sécurité de Finite State semblent être assez similaires à ce qu'Ian Levy, directeur technique du National Cyber ​​Security Center (NCSC) du Royaume-Uni, une unité de l'agence d'espionnage GCHQ avait dessiné plus tôt ce mois-ci. À l'époque, Levy venait de terminer l'évaluation de l'équipement Huawei au sujet des affirmations persistantes selon lesquelles l'équipement réseau 5G de la société chinoise pourrait être utilisé par la Chine pour mener des campagnes d'espionnage à grande échelle parrainées par l'État. Levy avait carrément affirmé que les mesures de sécurité déployées par Huawei dans ses équipements étaient «objectivement pires et de mauvaise qualité» par rapport à tous ses concurrents dans le secteur des réseaux filaires et sans fil. «Du point de vue de la sécurité technique de la chaîne d'approvisionnement, les appareils Huawei sont parmi les pires que nous ayons jamais analysés», a déclaré Levy.



malwarebytes incapable de se connecter au service

le les chercheurs notent dans leur rapport que malgré les engagements publics de Huawei d'améliorer la sécurité, l'analyse a révélé que la «posture de sécurité» de Huawei «diminue avec le temps». Les chercheurs ont affirmé avoir examiné près de 558 produits de réseau d'entreprise Huawei. Ils auraient parcouru 1,5 million de fichiers dans environ 10 000 images de micrologiciel.



Huawei a laissé plus de cent failles de sécurité et vulnérabilités?

L'analyse a apparemment révélé que plus de 55% des images de micrologiciels ont au moins une porte dérobée potentielle. Certaines des failles de sécurité notables et des vulnérabilités apparemment intentionnelles laissées à l'intérieur des fichiers du micrologiciel incluent des informations d'identification codées en dur qui pourraient être utilisées comme une porte dérobée et une utilisation non sécurisée des clés cryptographiques. La société a également affirmé avoir observé «des indications de mauvaises pratiques de développement de logiciels». Dans l'ensemble, Finite State affirme avoir découvert environ 102 vulnérabilités connues en moyenne dans chaque image de micrologiciel Huawei. Il y aurait également eu des preuves de nombreuses vulnérabilités zero-day.

Un aspect intéressant qui a fait surface au cours de l'analyse était l'utilisation par Huawei de composants logiciels open source. Huawei s'est régulièrement appuyé sur OpenSSL. La plateforme open source est une bibliothèque cryptographique couramment utilisée pour protéger et crypter les communications numériques. En termes simples, OpenSSL est souvent utilisé par les sites Web pour activer HTTPS. Huawei n'aurait apparemment pas réussi à mettre à jour ces logiciels open source, ont affirmé les chercheurs en sécurité. «L'âge moyen des composants logiciels open source tiers dans le micrologiciel Huawei est de 5,36 ans.» De plus, il existe «des milliers d'instances de composants datant de plus de 10 ans». Apparemment, certains des logiciels obsolètes et obsolètes ont rendu l'équipement de Huawei vulnérable au tristement célèbre Heartbleed, un virus très notoire et largement répandu en 2011.

Huawei est-elle la seule entreprise à utiliser un logiciel Open Source?

Il est important de noter que des entreprises similaires à Huawei s'appuient souvent sur des logiciels open source pour accélérer le développement et le déploiement de logiciels dans le matériel. De plus, ces entreprises découvrent souvent des portes dérobées et des vulnérabilités et se précipitent pour les corriger. En substance, c'est une pratique très courante. Mais ce qui est encore plus important, c'est que les entreprises mettent souvent à jour le logiciel et essaient d'utiliser la version la plus récente ou la plus stable qui comporte plusieurs corrections de bogues.

Actuellement, les principaux concurrents de Huawei sont Ericsson, Nokia et Cisco. Soit dit en passant, toutes ces entreprises conçoivent leurs propres itérations d'équipements réseau 5G à haut débit et à latence ultra-faible. Ces organisations évaluent toujours la combinaison de matériel la plus optimale pour répondre aux nombreuses exigences de la 5G, y compris une connexion fiable aux appareils de l'Internet des objets (IoT), aux voitures connectées et à d'autres appareils électroniques. Bien que la 5G repose sur des technologies et des protocoles de communication établis, la plate-forme doit utiliser de nombreuses technologies de pointe. De plus, la nouvelle norme de communication mobile a une portée beaucoup plus étendue que toutes les normes précédentes. Par conséquent, il est essentiel de mettre en place une sécurité solide et d'éviter une violation de données ou une fuite d'informations.

Mots clés Huawei