Один из источников Bloomberg сообщил им, что история о китайских шпионских чипах «не имеет смысла» [U]

Ben Lovejoy | Вторник, 9 октября, 2018, 06:40.

Ben Lovejoy | 9 октября 2018 г. — 2:01 am PT

Bloomberg заявил, что его источники были ключевыми для решения опубликовать историю о китайских шпионских чипах; сайт написал, что «17 человек подтвердили манипуляции с оборудованием Supermicro и другие элементы атак».

Однако один из названных источников – исследователь безопасности, который, казалось, поддержал эти утверждения, – заявил, что его комментарий был вырван из контекста, и на самом деле он сказал сайту, что то, что ему описывали, «не имеет смысла»…

Эксперт по аппаратной безопасности Джо Фитцпатрик был процитирован в статье: «оборудование открывает любую дверь, которую захочет». Но, выступая в подкасте Risky Business, он представил совсем другую картину.

Фитцпатрик говорит, что он потратил много времени, объясняя Bloomberg, как такие атаки в принципе могут быть осуществлены. Когда статья была опубликована, он ожидал прочитать о том, как была совершена эта конкретная хакерская атака. Вместо этого, по его словам, Bloomberg, похоже, повторял именно ту теорию, которую он изложил.

Я потратил много времени, объясняя, как работают аппаратные импланты. И, как любой исследователь, который с удовольствием рассказывает о своей работе, я был рад, что нашелся кто-то, кто, казалось, действительно заинтересован узнать, как всё работает, а не просто искал модное словечко для заголовка, которое хотел бы вставить в историю […]

Но что меня действительно поразило, так это то, что все, даже отдаленно технические, детали, казалось, были взяты из моих разговоров о том, как теоретически работают аппаратные импланты и как работали устройства, которые я создавал, чтобы показать на Black Hat два года назад […].

Меня удивило, что в сценарии, когда я описывал эти вещи, а затем он шел и подтверждал их, 100% того, что я описал, было подтверждено источниками.

Он сказал, что то же самое относится и к изображению предполагаемого шпионского чипа, предоставленному Bloomberg.

В сентябре, когда он спросил меня: «Окей, слушай, мы думаем, что это похоже на усилитель сигнала или ответвитель. Что такое ответвитель? Как он выглядит?» […] Я отправил ему ссылку на Mouser, каталог, где можно купить ответвитель размером 0,006 x 0,003 дюйма. Оказалось, что это именно тот ответвитель, который фигурирует на всех изображениях в статье.

Когда репортер Джордан Робертсон изложил дополнительную часть истории, которую он планировал опубликовать, Фитцпатрик сказал им, что она не имеет смысла.

Итак, в конце августа Джордан впервые раскрыл мне некоторые детали об атакующих в этой истории. Я выслушал историю, и она не имела для меня смысла. И это то, что я сказал. Я сказал: «Вау, у меня нет для вас дополнительной информации, но это не имеет смысла». Я специалист по аппаратному обеспечению. Мой бизнес – учить людей, как защищать аппаратное обеспечение. Распространение страха, неопределенности и сомнений в отношении аппаратного обеспечения полностью соответствует моей финансовой выгоде. Но это не имеет смысла, потому что существует так много более простых способов сделать это. Есть гораздо более простые аппаратные способы, есть программные, есть подходы на уровне прошивки. Подход, который вы описываете, не масштабируем. Он нелогичен. Это не то, как я бы это сделал. Или как это сделал бы кто-либо из моих знакомых.

[Он написал Робертсону] Вы уверены, что там действительно есть дополнительный аппаратный компонент […] Изменить прошивку большинства BMC тривиально, и многие из них легко удаленно эксплуатировать из-за низкого качества устаревшего программного обеспечения, на котором они работают. Описываемая вами атака легко могла бы быть реализована в прошивке BMC. Это было бы столь же скрытно и гораздо менее затратно в разработке и реализации. Если это действительно были импланты, вы уверены, что они были вредоносными?

Фитцпатрик объяснил Робертсону несколько более вероятных теорий того, что, по утверждениям источников сайта, они видели, и все они были совершенно нормальными.

Например, размещение двух кремниевых элементов в одном корпусе имеет смысл, когда один из них — флеш-память, а другой — микроконтроллер. Но опытный наблюдатель легко мог прийти к выводу, что это аппаратный имплант. Аналогично, многие мелкие компоненты на самом деле представляют собой несколько компонентов, объединенных в один корпус для удобства использования.

Он также объяснил контекст однострочной цитаты, использованной Bloomberg.

Вы помещаете аппаратное обеспечение в устройство, чтобы помочь сохранить программное обеспечение, вредоносное ПО. Вы не помещаете аппаратное обеспечение в устройство, чтобы осуществить всю атаку; вы помещаете аппаратное обеспечение в устройство, чтобы разблокировать ключи, повысить привилегии в оболочке, открыть сетевой порт, а затем используете программный или удаленный подход для выполнения остальной работы. И я думаю, что именно таков контекст этой цитаты.

Его общая оценка статьи заключается в том, что технические детали «перепутаны» и «они не являются полностью неверными, но они теоретические […] У меня определенно есть сомнения по этому поводу».

Так что теперь это не пять или девять причин сомневаться в этой истории, а десять…

Обновление: Представитель Bloomberg News сообщил нам: «Как это принято в журналистской практике, мы обратились ко многим экспертам в данной области, чтобы они помогли нам понять и описать технические аспекты атаки. Конкретные способы работы импланта были описаны, подтверждены и детализированы нашими основными источниками, которые имеют непосредственное знание о скомпрометированном оборудовании Supermicro. Джо Фитцпатрик не был одним из этих 17 отдельных первичных источников, в число которых входили инсайдеры компаний и правительственные чиновники, и его прямая цитата в статье описывает гипотетический пример того, как может развиваться аппаратная атака, как это ясно изложено в истории. Наши репортеры и редакторы тщательно проверяют каждую историю перед публикацией, и это не было исключением».»

Ответа не последовало, когда его попросили прокомментировать совпадение заявленных фактов с теоретическим риском, описанным Фитцпатриком, а также использование предоставленной им фотографии из каталога.

Похожие истории:

Фото: Shutterstock

Смотрите 9to5Mac на YouTube, чтобы узнать больше новостей Apple: