Huawei, Ağ Üretici Yazılımında Güvenlik Şirketi İddiasında Potansiyel Olarak Yararlanılabilir Arka Kapı Bıraktı

Haberler
Güvenlik / Huawei, Ağ Üretici Yazılımında Güvenlik Şirketi İddiasında Potansiyel Olarak Yararlanılabilir Arka Kapı Bıraktı 3 dakika okundu

Huawei (Souce - Huawei Basın Etkinliği)



ABD uzun zamandır Huawei'nin dijital güvenliğini tehdit ettiğini iddia ediyor. Şimdi bir güvenlik şirketi, Çinli şirketin yerleştirdiği yazılımların epeyce bir kısmında potansiyel olarak yararlanılabilecek birkaç arka kapı ortaya çıkardığını iddia ediyor. 5G ağını devreye alma yarışı hız kazandıkça, bu tür iddialar telekom ve ağ devinin dünya çapındaki iş beklentilerini daha da tehlikeye atabilir.

IoT güvenlik firması Finite State'den araştırmacılar, görünüşe göre Çin'in telekom devi Huawei'nin ekipmanlarının yarısından fazlasının 'en az bir potansiyel arka kapıya' sahip olduğunu ortaya çıkardı. Firmanın iddia ettiği gibi, Huawei’nin ağ aygıt yazılımlarının, onları savunmasız hale getirmek için kasıtlı olarak uygulanabilecek kusurları olduğuna dair önemli kanıtlar var. Şirket, Huawei'nin ağ ekipmanında yüklü yazılımıyla ilgili araştırmalarını ortaya koyarken, “Bellek bozulmalarına dayalı sıfırıncı gün güvenlik açıklarının Huawei aygıt yazılımında bol olduğuna dair önemli kanıtlar var. Özetle, olası arka kapıların yanı sıra bilinen, uzaktan erişim güvenlik açıklarını da dahil ederseniz, Huawei cihazları yüksek potansiyel risk altında görünüyor. '



Finite State'teki güvenlik araştırmacıları tarafından çıkarılan sonuçlar, bir casus ajansı GCHQ birimi olan Birleşik Krallık Ulusal Siber Güvenlik Merkezi'nin (NCSC) teknik direktörü Ian Levy'nin bu ayın başlarında çıkardığı sonuçlara oldukça benziyor. O zamanlar Levy, Huawei ekipmanını, Çinli şirketin 5G ağ ekipmanının devlet destekli yaygın casusluk kampanyaları yürütmek için Çin tarafından kullanılabileceğine dair ısrarcı iddialar üzerine değerlendirmeyi henüz bitirmişti. Levy, Huawei'nin ekipmanına uyguladığı güvenlik önleminin kablolu ve kablosuz ağ işindeki tüm rakiplerine kıyasla 'nesnel olarak daha kötü ve kalitesiz' olduğunu açıkça iddia etmişti. Levy, 'Teknik tedarik zinciri güvenliği açısından Huawei cihazları şimdiye kadar analiz ettiğimiz en kötü cihazlardan bazıları' dedi.



malwarebytes hizmeti bağlayamıyor

araştırmacılar raporlarında belirtti Huawei’nin güvenliği iyileştirme konusundaki kamu taahhütlerine rağmen, analiz Huawei’nin 'güvenlik duruşunun' aslında 'zamanla azaldığını' ortaya koydu. Araştırmacılar, 558 Huawei kurumsal ağ ürününü incelediklerini iddia ettiler. Bildirildiğine göre, yaklaşık 10.000 ürün yazılımı görüntüsündeki 1.5 milyon dosyayı taradılar.



Huawei Yüzden Fazla Güvenlik Açığı ve Açıklığı Bıraktı mı?

Analiz, bellenim görüntülerinin yüzde 55'inden fazlasının en az bir potansiyel arka kapıya sahip olduğunu ortaya çıkardı. Bellenim dosyalarının içinde bırakılan kayda değer güvenlik boşluklarından ve görünüşte kasıtlı güvenlik açıklarından bazıları, şifreleme anahtarlarının güvenli olmayan bir arka kapı olarak kullanılabilecek sabit kodlu kimlik bilgilerini içerir. Şirket ayrıca 'kötü yazılım geliştirme uygulamalarının göstergelerini' gözlemlediğini iddia etti. Genel olarak, Finite State, her bir Huawei üretici yazılımı görüntüsünde ortalama olarak yaklaşık 102 bilinen güvenlik açığı keşfettiğini iddia ediyor. Bildirildiğine göre çok sayıda sıfır gün güvenlik açığı da vardı.

Analiz sırasında ortaya çıkan ilginç bir husus, Huawei’nin açık kaynaklı yazılım bileşenlerini kullanmasıydı. Huawei düzenli olarak OpenSSL'ye güveniyordu. Açık kaynak platformu, dijital iletişimleri korumak ve şifrelemek için yaygın olarak kullanılan bir şifreleme kitaplığıdır. Basit bir deyişle, OpenSSL genellikle web siteleri tarafından HTTPS'yi etkinleştirmek için kullanılır. Güvenlik araştırmacıları, Huawei'nin bu tür açık kaynaklı yazılımı güncelleyemediğini iddia etti. 'Huawei üretici yazılımındaki üçüncü taraf açık kaynaklı yazılım bileşenlerinin ortalama yaşı 5,36 yıldır.' Dahası, '10 yıldan eski binlerce bileşen örneği' vardır. Görünüşe göre, modası geçmiş ve eskimiş yazılımlardan bazıları, Huawei'nin ekipmanını 2011'de oldukça kötü şöhretli ve yaygın bir virüs olan rezil Heartbleed'a karşı savunmasız bıraktı.

Açık Kaynak Yazılımı Kullanan Tek Şirket Huawei mi?

Huawei'ye benzer şirketlerin, donanımda yazılım geliştirme ve dağıtımını hızlandırmak için genellikle açık kaynaklı yazılıma güvendiklerini belirtmek önemlidir. Dahası, bu şirketler genellikle arka kapıları ve güvenlik açıklarını keşfeder ve bunları düzeltmek için acele eder. Özünde çok yaygın bir uygulamadır. Ancak önemli olan, şirketlerin yazılımı sık sık güncellemesi ve birkaç hata düzeltmesi içeren en yeni veya en kararlı sürümü kullanmaya çalışmasıdır.

Şu anda Huawei’nin ana rakipleri Ericsson, Nokia ve Cisco’dur. Bu arada, tüm bu şirketler kendi yüksek hızlı, ultra düşük gecikmeli 5G ağ ekipmanı yinelemelerini tasarlıyor. Bu kuruluşlar, Nesnelerin İnterneti (IoT) cihazlarına, bağlı arabalara ve diğer elektronik cihazlara güvenilir bağlantı dahil olmak üzere 5G'nin birçok gereksinimini karşılamak için hala en optimum donanım kombinasyonunu değerlendiriyor. 5G yerleşik teknolojilere ve iletişim protokollerine dayanmasına rağmen, platformun çok sayıda en son teknolojiyi kullanması gerekir. Dahası, yeni mobil iletişim standardı, önceki tüm standartlara kıyasla çok daha fazla erişime sahiptir. Bu nedenle, güçlü bir güvenlik oluşturmak ve bir veri ihlalini veya bilgi sızıntısını önlemek çok önemlidir.

Etiketler Huawei