Bedrijven wijzigen bezorgadres Cisco-apparatuur wegens NSA
Sommige bedrijven gebruiken andere bezorgadressen als ze apparatuur van Cisco bestellen om zo de NSA te ontlopen, zo heeft Cisco-topman John Stewart tijdens een conferentie laten weten. Aanleiding zijn onthullingen (pdf) van klokkenluider Edward Snowden, waaruit zou blijken dat de NSA bestellingen zoals routers onderschept en vervolgens van een backdoor voorziet. Op één van de foto's die via Snowden openbaar werden is te zien hoe NSA-personeel een doos met Cisco-apparatuur opent.
Stewart, chief security en trust officer bij de netwerkgigant, zegt dat het voorkomt dat bedrijven bezorgadressen opgeven die niets met de klant te maken hebben, zo meldt PC World. Dit zou het in theorie lastiger voor de NSA moeten maken om zich op een bepaald bedrijf te richten. Stewart liet echter weten dat zodra Cisco de apparatuur aan een verzendbedrijf geeft, het hier geen controle meer over heeft. Wel zou Cisco met klanten samenwerken om de integriteit van geleverde systemen beter te controleren.
Toch zullen er vervolgens Stewart altijd risico's zijn die niet kunnen worden vermeden. "Als een echt gemotiveerd team het op je heeft voorzien, en ze doen dit voor een lange periode, dan vergroot dit de kans dat ze een keer zullen slagen." Stewart kreeg tijdens de conferentie de vraag of Cisco ooit vreemde hardware in de eigen producten heeft aangetroffen die daar was geplaatst. "Nee, en dat zouden we ook niet kunnen weten, omdat de enige mensen die dat zeker weten de NSA zijn", antwoordde de topman.
Verzegel de schroeven en bepaalde punten van je Routers/hardware e.d. met speciale lak. Zou de lak door de NSA worden verwijderd en opnieuw geplaatst dan kan de klant bij ontvangst toch checken of de originele lak is verwijderd. De reden is doordat de originele verzegelingslak z.g. MICRODOTS met code bevat die door de klant op echtheid is te controleren met een kijkertje. De code kan op echtheid worden gecontroleerd d.m.v. een beveiligde website (HTTPS) waardoor afluisteren lastig wordt.
Geregeld de MICRODOTS en de code daarin aanpassen voorkomt dat de NSA bij diefstal van MICRODOTS alsnog een buit zou maken. Zo voorkom je makkelijker dat er in uw apparatuur wordt ingebroken. Wie dat dan ook is.
Als Cisco dan een eigen transport dienst heeft en het transport goed volgt, heb je een redelijk garantie dat de NSA er vanaf blijft. Tevens is wat de NSA doet onwettig, dus zou ik voor de zekerheid advocaten meesturen in het geval dat "de politie" het transport ineens onderschept en bewapende bewakers voor het geval de NSA besluit een anoniem busje in te zetten dat voor het Cisco transport ineens "pech" krijgt. De NSA heeft alle financiële middelen en alle kanalen om zowel in het legale als het illegale spectrum te opereren. Alleen verdedigen tegen het legale is daarom waarschijnlijk ontoereikend.
(denk Echelon c.s.)
Dat is toch iets dat je als cisco certified engineer toen ook al kon weten, als je maar een DND formuliertje ondertekende ?
Is dit nieuws ?
(naja, voor mensen die security.nl lezen dan uiteraard)
Ik vraag het me serieus af of dergelijke kennis, die toen ook al redelijk vrij door it land waarde, nu niet meer zo vrij bekend is.
Iemand van boven de 35 die dit beaamd en iemand van onder de 25 die dit ontkent plix ;)
(het bekend zijn van de Cisco router ingebouwde backdoor)
Alleen bij de fabrikant afhalen is ook geen optie omdat veel hardware vaak direct vanuit China komt.
Meten is weten zeggen ze; een security officier kan zeer gedetailleerde specificaties van een fabrikant gebruiken om apparatuur te controleren. Minimale afwijkingen in patronen van het stroomverbruik kunnen geknoei met firmware verraden, net als hardware modificaties. Ook kun je b.v. de firmware en bootloader downloaden en een hash vergelijken met die van de fabrikant. De apparatuur openmaken om op ongeregeldheden te controleren zou ook verdachte zaken aan het licht kunnen brengen. Daarnaast zou je zendingen willekeurig retour kunnen sturen en later weer opnieuw bestellen, dat kost een hoop extra werk om de geïnfecteerde hardware weer normaal te maken en vergroot de kans dat de achterdeur opgemerkt wordt. Als je ruim voor het afschrijven van je hardware al nieuwe koopt, heb je een lange periode om verdacht netwerk gedrag op te merken.
En als er dan iets verdachts gevonden wordt begint de pret door het apparaat b.v. met een dummy netwerk en nep server zijn werk te laten doen en valse informatie te laten lekken zoals foute onderzoektesultaten of afwijkende productspecificaties.
Knoeien met hardware is gewoon not done ; nu zijn het netwerkapparaten, straks pacemakers, boordcomputers en veiligheidssystemen en nog van alles waar de levens van onschuldige burgers afhankelijk van zijn.
Wie zegt dat dat al niet gebeurt?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
