華為會為海思晶片供應擔憂嗎？
這家中國巨人手上還有另一個燙手山芋⋯⋯
簡而言之：華為以其行動產品和電信設備而聞名，但其子公司海思的生產的晶片，最終可用於許多物聯網產品，包括監控系統。一位俄羅斯研究人員發現，大多數使用 HiSilicon 晶片的公司都使用 Firmware，因此完全可以控制，全球目前使用的數百萬種設備。
早在去年 12 月，華為表示其收入已達到創紀錄的 1220 億美元，儘管美國大大限制了與美國公司開展業務的能力。在其報告的樂觀觀點之間，這家中國巨人警告說，2020 年將是充滿挑戰的一年，道路上會有很多坎苛。
但是，該公司可能並不希望看到，在解決冠狀病毒問題時，會再披露另一個影響其產品的安全漏洞。
最近，俄羅斯安全研究員 Vladislav Yarmak 對杭州雄邁科技固件中，發現的後門機制，進行了令人擔憂的分析，這使得使用 HiSilicon 晶片控制數百萬個安全攝影機、DVR、NVR，和其他 IoT 設備變得微不足道。
對於不認識的人來說，HiSilicon 是華為的子公司，生產在其所有產品中都可以使用的晶片，包括售價為 2,400 美元的花俏的可折疊 Mate X 智慧手機，據報導它的銷售要好於三星的Galaxy Fold。順便說一句，海思是中國最大的半導體業巨頭，許多公司都依靠其整合電路生產各種產品。
Yarmak說，後門機制實際上是在利用多種利用漏洞的漏洞，這些漏洞利用了幾年前，2017 年，甚至早在 2013 年 3 月發現的漏洞。而且由於報告了這些先前的漏洞，HiSilicon 並未佈署任何實際的修復程式，研究人員建議使用 HiSilicon 晶片的設備的所有者，盡快切換到替代解決方案。
您可以在此處找到受影響的知名品牌的列表。 Yarmak 指出，如果您負擔不起硬體交換的費用，則應透過限制對設備端口 9530 / TCP、9527 / TCP 和 23 / TCP 的訪問來增強安全性 - 可以使用他發布的概念，證明代碼來利用所有這些端口 GitHub。
它的工作方式是，基於 HiSilicon SoC 的產品中使用的某些較舊版本的固件，依賴於對遠端連接的 telnet 訪問。默認情況下，在這些設備上啟用 Telnet，因此攻擊者可以透過使用「可以用相對較少的計算工作，即可從固件映像中恢復的靜態根密碼」來完全訪問這些設備。
較新版本的固件默認情況下禁用 telnet 訪問，但還打開了 TCP 端口 9530，以供特殊命令使用，Yarmak 說，HiSilicon 故意引入了此功能，HiSilicon 並沒有費心去修復為其發布的新漏洞。 2017 年。此外，保留簡短的靜態密碼列表是可疑的做法，這些靜態密碼是全球使用的數以百萬計的 IoT 和監視產品的後門，您將面臨安全噩夢。
公平地說，HiSilicon 對此不承擔直接責任，因為該漏洞僅影響使用 Xiongmai Technology 和 XMtech 開發的固件的產品。 華為子公司發布了安全公告，解釋其 SDK 不具有 Yarmak 在其報告中提出的漏洞。 該公司指出：「華為（及其全球分支機構，包括海思半導體）長期以來一直承諾不會，也永遠不會放置後門，也不允許任何其他人這樣做。」
就華為而言，在直接分發給最終用戶的所有設備上刪除了 Telnet 服務。 而且，整體敘述並沒有改變-去年，這家中國巨頭堅持認為，沃達豐在關鍵網路設備中，發現的後門是「弱點」。 直到今天，該公司仍在爭取向美國農村承運人供應設備的權利，儘管其機會仍然很低。
0 comments:
張貼留言