Volkskrant: Huawei had ongeautoriseerde toegang tot mobiele netwerk KPN
Technologiebedrijf Huawei had vanuit China ongeautoriseerde toegang tot de kern van het mobiele netwerk van KPN waardoor het telefoongesprekken kon afluisteren en in strijd met de wet inzicht in de database met afgetapte telefoonnummers had, zo claimt de Volkskrant op basis van een geheim intern rapport van KPN uit 2010. Huawei neemt in een verklaring afstand van de situatie zoals die door de Volkskrant wordt geschetst en KPN stelt dat de krant "harde uitspraken" doet op basis van het rapport.
KPN maakt gebruik van de apparatuur van Huawei en overweegt in 2009 om het beheer van de apparatuur volledig uit te besteden aan Huawei. In voorbereiding op het plan laat KPN door consultancybedrijf Capgemini een risicoanalyse uitvoeren. Volgens het onderzoeksrapport is Huawei in staat om zowel binnen KPN-gebouwen als vanuit China ongeautoriseerd, ongecontroleerd en ongelimiteerd mobiele nummers van KPN af te luisteren.
Tevens weet Huawei welke nummers worden afgetapt en verschaft het bedrijf zich vanuit China ongeautoriseerd toegang tot de kern van het mobiele netwerk, wat een schending is van de afspraken die het bedrijf met KPN heeft gemaakt. Huawei-medewerkers blijken met een programma te werken waardoor ze elk telefoongesprek dat via KPN gaat kunnen meeluisteren. De Nederlandse ministers bellen op dat moment via KPN. Ook de extra beveiligde telefoons van ministers maken gebruik van het KPN-netwerk.
"De conclusie van het Capgemini-rapport hield feitelijk in dat Huawei de regering of Chinese dissidenten kon afluisteren en dat niemand dat in de gaten zou hebben", aldus een anonieme bron tegenover de Volkskrant. Of en hoe vaak Huawei een gesprek meeluistert kunnen de onderzoekers niet vaststellen, aangezien dat niet wordt geregistreerd en het gebruikte programma in het Chinees is.
De bevindingen van het rapport worden volgens de Volkskrant tot geheim verklaard omdat die vergaande gevolgen voor KPN kunnen hebben. "Indien de door de onderzoekers geconstateerde gebreken publiekelijk bekend worden (...) moet rekening gehouden worden met de mogelijkheid dat overheden en het bedrijfsleven massaal overstappen op een andere provider. De business van KPN Mobiel, met uitstraling naar KPN als geheel, komt dan ernstig in gevaar", zo blijkt uit een reactie op het rapport.
Reactie KPN
KPN heeft op de eigen website een verklaring op het artikel gegeven waarin het stelt dat mede op basis van de risicoanalyse destijds is besloten om het beheer niet aan Huawei uit te besteden "KPN doet - tot op de dag van vandaag - dit onderhoud zelf, met ondersteuning van deskundigen van meerdere partijen. Ten aanzien van de geconstateerde risico’s uit de analyse in de desbetreffende systemen en processen is in 2010 een verbeterplan opgesteld en direct uitgevoerd", aldus het Nederlandse telecombedrijf.
"Geen enkele leverancier van KPN heeft 'ongeautoriseerde, ongecontroleerde en ongelimiteerde’ toegang tot de netwerken en systemen, of is in staat om KPN-klanten af te luisteren of aftapinformatie in te zien. In alle jaren hebben we nooit geconstateerd dat er door Huawei klantgegevens zijn ontvreemd uit onze netwerken, dan wel onze klantsystemen, of dat er is afgeluisterd", zo laat het bedrijf verder weten.
Reactie Huawei
"Wij nemen afstand van de in het artikel geschetste situatie. Huawei-medewerkers hebben geen ongeautoriseerde toegang gehad tot het netwerk en de data van KPN, noch gegevens onttrokken aan dat netwerk. Huawei heeft te allen tijde onder de expliciete autorisatie van KPN gewerkt. Dit was van toepassing op zowel werknemers van Huawei als op de door KPN ingehuurde Huawei-werknemers (‘insourcing’) ter ondersteuning van haar activiteiten. De personen waarnaar dit artikel verwijst, vielen naar ons inzicht in deze laatste categorie. De facto, werkten deze mensen dus voor KPN, wat de constateringen vanuit het rapport in een ander daglicht plaatst", laat Huawei in een reactie op de eigen website weten.
Volgens Huawei, dat het rapport naar eigen zeggen nooit heeft ontvangen, is er vanuit de netwerkbeheerders voortdurend toezicht op de activiteiten van het bedrijf. "Sinds onze start in Nederland 15 jaar geleden, zijn wij door de overheidsinstanties nooit aangesproken op ongeautoriseerd handelen. Dit terwijl het rapport kennelijk al meer dan tien jaar in het bezit is van de inlichtingendiensten zoals in dit artikel wordt onderschreven."
Ik vermoed dat er wel degelijk een vertaling heeft plaatsgevonden, maar dat dat niet aan Huawei is doorgegeven om zodoende de gangen van de (insource)Huawei medewerkers te kunnen monitoren. Dat heet Contra-spionage.
Hoe dan ook, het vertrouwen in KPN loopt nu een forse deuk op. Rommel niet met mijn mobiele gegevens alstublieft.
Tijdens de uitvoering wordt op die controle bezuinigd want was ineens toch wel kostbaar. Gevolg .....
Als je personeel voor een periode volledig van een ander bedrijf inhuurt dan is er inderdaad de vraag wie dan de verantwoordeliikheid over die mensen heeft. Daar kun je hele verhalen aan ophangen.
het is niet bewezen of Huawei mobiele gesprekken heeft afgeluisterd,
en het is ook niet bewezen of Huawei geen mobiele gesprekken heeft afgeluisterd.
Daarmee valt dit onderwerp in de categorie: "argwaan en suggestie".
En daar zouden mensen zich niet teveel en niet te lang mee bezig moeten houden, want je komt er meestal toch niet uit.
In de tijd die men er aan spendeert, zou men nuttiger dingen kunnen doen...
NEXT !
En het kabinet heeft ook geen gevaar gelopen, want die gebruiken end-to-end encryptie op hun telefoons. Daarbij maakt het niet uit dat het tussenliggende netwerk is gecompromitteerd. Als het bericht maar aankomt.
Het is een beetje van: "We willen niet door China worden afgeluisterd, maar wel door onze bondgenoten". Want de VS doet hetzelfde en op veel grotere schaal.
Ze waren bang dat het rapport zou uitlekken. Niet integer bedrijf wat alleen maar bang is voor haar uitstraling. Hoop dat iedereen zijn account opzegt, maar waarschijnlijk halen de meeste mensen hun schouders op.
Leverancier staat niet gelijk aan een overheid. Dus een overheid zou dit dus blijkbaar wel kunnen.
https://www.volkskrant.nl/nieuws-achtergrond/huawei-kon-alle-gesprekken-van-mobiele-kpn-klanten-afluisteren-inclusief-die-van-de-premier~bd1aece1/
(dit zou de eerste link in het artikel moeten zijn maar op het moment dat ik dit schrijft verwijst die naar de reactie van Huawei)
Is er dan nog iets wat niet in China gemaakt wordt?
Elke smartfoon komt daar vandaan, ongeacht het merk.
Kijk maar eens rond in je huis, alles komt daar vandaan.
Het enige wat ik kan bedenken wat daar niet vandaan komt is mijn Zippo en mijn Leatherman mes.
https://berthub.eu/articles/posts/5g-elephant-in-the-room/
"5G: The outsourced elephant in the room"
zaterdag 17 april 2021, 18:16 door Anoniem
https://www.security.nl/posting/699591/%225G%3A+The+outsourced+elephant+in+the+room%22
En ze dwingen ons tot stilzwijgen met een geheimhoudingscontract onder dreiging van 4 jaar gevangenisstraf.
Ik werk al sinds die knakker in zijn garage de eerste pc bouwde .. in deze business en ik heb bij heel veel verschillende grote ICT bedrijven gewerkt in allerlei functies en overheidsonderdelen.
Het stinkt werkelijk overal.'
Het is overal hetzelfde ..jaren lange veronachtzaming van serieuze waarschuwingen en negeren van verandervoorstellen in de jacht naar het snelle geld en vooral niet teveel negatieve ophef. En in feite op de lange termijn juist de grootste kostenposten creëren. Moeilijke situaties ontwijken en het hoofd omdraaien en vluchten naar de vertrouwde bekende kop in het zand.
En nu willen die partijen het vertrouwen terugwinnen. Schamen moeten ze zich. Diep. Niet naar mij of de maatschappij maar naar je eigen kinderen.
Waarom het gaat om geld heel veel geld, en allerlei belangen en er wordt geen middel geschuwd.
En al die trollen die mensen belachelijk maken vanwege deze drijfveer. Je dient je diep te schamen. Je houdt niet jezelf voor de gek of je omgeving maar je draagt actief bij aan verslechterde omgeving voor je kinderen en de mensheid in het algemeen. En dat het hele systeem niet eerlijk is... tja maar dan hoef je er nog geen actieve bijdrage aan te leveren.
Hebzucht ego .. het brengt allemaal niets.
En net als KPN in deze, kan iedereen de Amerikaan toegeschoven krijgen dankzij chipsets bijvoorbeeld. Daarbij vertrouwen, Prijs/kwaliteit-verhouding, concurrentiepositie, etc. Tja...
Maar nu alles er toch hangt vandaag de dag mag er een inhaalslag gemaakt worden met open source soft- alsook hardware. E2ee gestandaardiseerd geïmplementeerd tbv communicatie om in ieder geval evt besmette hardware te mitigeren. Grootschalig.
https://www.trouw.nl/economie/in-een-chinese-bunker-ontdekte-kpn-ernstige-kwesties-bij-huawei-maar-de-samenwerking-bleef~b64226db/
__
_,-'`````--.___..----.,'__`---..__
,'' ,' `.`. `.
,'' / ` ) \
// | / \
// : : <o :
:: \ : |
|| . ;. \ |
|: : : `. :_ :
|: | | `-.___; `.-\ |
| \ | : : \ \ |
| : ;-...________..--'\ | `.`:__
; | : | | ; : / ;----`
;' : | ; ; / \ \ : :
,: :,' / / \ : : :
,-' | | : : : : \_\
\ ,: : | : | (
`-''----` '----` '----`
De apparatuur in het hart van het mobiele netwerk van KPN is van het Chinese bedrijf en ook de nieuwe slimmere 5G-radio-antennes zijn van Huawei. Dat betekent dat het mobiele netwerk van KPN nu vrijwel geheel draait op apparatuur van het Chinese bedrijf. Ook hebben medewerkers van Huawei nog steeds beheerdersrechten op het netwerk van KPN.
https://www.volkskrant.nl/nieuws-achtergrond/huawei-beheert-nog-steeds-de-kern-van-het-mobiele-netwerk-van-kpn~bbe353c2/
Snowden heeft laten zien dat de VS in ALLE telecomboeren en in ALLE telecom lijnen sniffers en taps heeft zitten.
En zij roeptoeteren 'ja, maar die chinesen!'....
Dat is net een beetje alsof Zuid_Africa roept 'jullie moeten wel sinterklaas afschaffen hoor"...
Of dat de VS roept "jullie moeten veel minder vuurwapens hebben in Nederland"...
Of Colombia die zegt dat we teveel stuff roken...
Nee, het is erger.. is het is gewoon FUD.... geen feiten, geen bewijs (en met Trump hadden de Media, ook de volksverlakkerkrant, de mond van 'Trump beweert fraude maar levert geen bewijs", maar hier wordt nul bewijs geleverd... Een leverancier kan bij zijn eigen software.. .nou nou... Microsoft kan zomaar mijn Windows 10 pc updaten ! verschrikkelijk...
Had gehoopt dat de tijd van Novell Netware vs MIcrosoft NT 3.51/4.0 een beetje voorbij was....
KPN beweert dat geen enkele leverancier toegang had tot ...
Kortom; die gedetacheerde medewerkers van Huawei hadden dus wel toegang ?
Als het niet wordt ontkent, maar wel wordt gesuggerreerd dat het ontkent wordt, dan is het vast waar.
De eigenlijke vraag is aldus;
In hoeverre waren de gedetacheerde medewerkers daadwerkelijk onafhankelijk van Huawei.
Die onafhankelijkheid zal vast theoretisch mogelijk zijn, maar in dit specifieke geval lijkt het erg onwaarschijnlijk.
Wat we nu zullen zien is fase 2 overlappend met fase 1. Fase 1 is wegwuiven van bovengenoemd probleem, en bij hoog en bij laag beweren door de lobby tegen end-to-end encryptie dat de wederpartij liegt/niet deskundig is/op andere manieren het bij het verkeerde eind heeft, en dat NOBUS wel bestaat. Fase 2 is dat per geval, per toegang door derden, per methode, per ... afzonderlijk gelapt probeert te worden, tot dat op een gegeven moment oeverloos blijkt te worden.
Dit probleem ontkennen gaat moeilijk worden, want ik zag zojuist een olifant in de gang staan.
We hebben in NL naar 2/3/4/5G ook KPN Wifi (zte routers) LoRa (8xxMhz) en slimme meters (450Mhz) netwerk liggen. worden deze ook door KPN beheerd en/of voorzien met Chinese producten? Is dat toevallig ook van Huawei? Hebben naast Cap nog meer NL security bedrijven onderzoek gedaan naar potentieel misbruik KPN apparatuur in die en overige netwerken? Wat waren daar de uitkomsten?
Ik wil niet doomdenken, maar ik kan mij voorstellen dat als je als "meeluisterende" partij niet op 1 paard gaat wedden. En dat je een veel beter inzicht krijgt in het reilen en zeilen van personen/relaties als je ook de andere en thuis netwerken in kaart kunt brengen.
https://www.theguardian.com/technology/2021/apr/19/huawei-may-have-eavesdropped-on-dutch-mobile-networks-calls
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
