Supermicro: extern onderzoek vindt geen aangepaste chips
Bij een extern onderzoek naar oudere en nieuwe moederborden van Supermicro zijn geen aangepaste malafide chips aangetroffen, zo heeft de hardwarefabrikant in een brief aan klanten laten weten. Mediabedrijf Bloomberg zorgde in oktober voor grote ophef door te beweren dat het Chinese leger erin was geslaagd om aangepaste chips op moederborden van Supermicro te plaatsen die als backdoor fungeren.
De moederborden werden vervolgens gebruikt voor servers die onder andere bij Apple en Amazon zouden zijn aangetroffen. Apple, Amazon en Supermicro ontkenden het verhaal. De hardwarefabrikant voerde meteen een eigen onderzoek uit waarbij geen aangepaste chips werden aangetroffen. Daarnaast liet het bedrijf een onderzoek door een extern onderzoeksbureau uitvoeren. Ook dat onderzoek heeft geen bewijs voor aangepaste hardware opgeleverd.
Supermicro heeft klanten nu over de onderzoeksbevindingen ingelicht, zo meldt persbureau Reuters. Bij het onderzoek werden moederborden getest die op dit moment worden verkocht en die in het verleden aan Apple en Amazon zijn geleverd, aldus bronnen. Ook de software en ontwerpbestanden werden gecontroleerd. Supermicro heeft het verhaal van Bloomberg altijd ontkend en stelt dat de uitkomsten van het externe onderzoek geen verrassing zijn.
Amazon, Apple en Supermicro riepen Bloomberg in oktober op om het verhaal in te trekken, aangezien er geen bewijs voor de aangepaste chips is getoond. Volgens een bron zou Supermicro ook nog naar juridische opties kijken.
Ik heb al eerder geluiden gehoord als zouden (sommige) borden uit China voorzien zijn van "alternatieve" firmware voor bijvoorbeeld de iME. Aanpassingen die zich verder uitstekend wisten te verbergen. Alleen ging dat toen over intel server boards, niet over supermicro. Tsja.
Hoe dan ook, alle borden met iME, PSP, IPMI, en zo verder, het minste wat je kan doen is de achterdeur-ethernetaansluiting (die met de management interface erop, dat is dus een eigen CPUtje met eigen firmware) nooit en te nimmer aan publieke netwerken hangen. Maar of dat genoeg is, wie zal het zeggen?
Een chip aanbrengen op een Moederbord is wel wat anders dan het installeren van Firmware op bestaande hardware.
Het kan natuurlijk altijd nog zijn dat er wel backdoors zijn aangetroffen maar dat die door de NSA zijn geplaatst op de supermicro hardware (PRISM?).
Dan gaat geen enkel bedrijf hier het bewijs voor leveren als ze nog willen blijven bestaan.....
Ik kan 't even niet vinden maar er was iemand die een hogeschoolopdracht "bouw een teller met een PIC en een 7 segment display" te doen had gekregen. In plaats daarvan nam'ie de chip, holde hem uit, stopte er iets krachtigers in, en deed de opdracht daarmee... plus een easter egg. Geen idee of je zoiets met een supermicro mainboard kan doen, maar "gewoon naar het mainboard kijken" kon best wel eens niet genoeg zijn om rare fratsen te detecteren.
Je kunt ook niet bewijzen dat een mens niet jan voegen als hij maar hard genoeg met zijn armen wappert.
Vervelender wordt het als de iME/PSP (met eigen flash) allerlei checks gaat uitvoeren. Daar is dan de "iME/PSP security checks uitzetten voor de NSA"-methode voor, bijvoorbeeld. Maar als je handig genoeg bent (en dat zijn de Chinezen) kun je die flash vervangen door je eigen, en het BIOS is niet bekend met de iME/PSP (andersom wel) dus dat is ook geen probleem.
Ik vraag me uberhaupt af, of auditors zomaar een Amazon / Apple datacenter mochten in wandelen en servers uit het rack trekken.
Als ze geen rechtzaak starten tegen bloomberg, lijkt het me dat er toch iets mis is daar bij supermicro
"Everybody Does It: The Messy Truth About Infiltrating Computer Supply Chains"
Micah Lee & Henrik Moltke
https://theintercept.com/2019/01/24/computer-supply-chain-attacks/
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
