Huawei Дочернее Распределяет 0-Day Backdoor в видеорегистраторы, сетевые видеорегистраторы, IoT Камеры

Один вопрос, который был все большую озабоченность в США компаний и клиентов является опасение, что китайские компании будут создавать зашитым бреши в различных сетей и продуктов 5G они продают на западных рынках. Такие бэкдоры могли бы быть использованы для корпоративного шпионажа или государственного надзора.

До сих пор доказательства такого рода преднамеренного backdooring являются неоднозначными. Отчет убийственного по Bloomberg в прошлом году - один, что я изначально считал, - растворился в спутать вопросы более точно, была ли компания сообщила о ситуации, а также разногласия по поводу, как ли бэкдор описана даже технологически возможно. Отчет Великобритании по практике безопасности компании Huawei в прошлом год нашел достаточно доказательства неряшливого кодирования и плохого управления версиями, но не явился никаких признаков корпоративных или государственных бэкдоров, направленных на разрешение скоординированной кампании наблюдения.

Теперь, в новом докладе Владислава Ярмак объясняет, как Huawei дочерней компании Hisilicon интегрировала микропрограммную лазейку в SoCs он продает различные компании, которые строят цифровые видеокамеры (DVR), подключенная к сети видеорегистраторов (NVRS), а также другие различным устройства. Бэкдор встроен в SoC прошивку, что означает, что она развертывается в любом месте СОВ есть. По словам Ярмака, этот бэкдор был развернут по крайней мере трех различных версий с 2013 года.

Вот Ярмак:

Самые ранние известные версии его имели телнет доступ разрешен статический корневой пароль, который может быть извлечен из образа микропрограммного обеспечения с (относительно) мало вычисления усилий ... Более поздние версии прошивки были телнет доступа и порт отладки (9527 / TCP) по умолчанию отключена. Вместо этого они должны были открыть порт 9530 / TCP, который был использован, чтобы принять специальную команду для запуска телнета и включить оболочки доступа со статическим паролем, который является одинаковым для всех устройств ...

Самые последние версии прошивок имеют открытый порт 9530 / TCP прослушивания для специальных команд, но требуют аутентификации криптографического вызов-ответ, чтобы они были совершены.

Другими словами, реализация бэкдор стала более сложной в течение долгого времени. Существует известный набор логинов и паролей, что аппаратные средства будут принимать для проверки подлинности. Эта ошибка затрагивает широкий ряд марок и моделей оборудования. До сих пор, все это звучит очень плохо.

Является ли это целенаправленное нападение Покушение?

Есть основания полагать, этот вопрос является более показателен плохой практика безопасности в Huawei, чем преднамеренная попытка бэкдора оборудования. С одной стороны, атака работает только по локальной сети. В обновлении в конце своего поста, Ярмак пишет:

Другие исследователи и пользователи Хабры указали такие уязвимости ограничиваются устройства, основанных на Xiongmai (Hangzhou Xiongmai Technology Co, XMtech) программное обеспечение, в том числе продуктов других производителей, которые поставляются продукты на основе такого программного обеспечения. На данный момент Hisilicon не может нести ответственность за бэкдор в dvrHelper / macGuarder двоичным.

И это подрывает идею, что это что-то Huawei или Hisilicon специально и особенно пытается сделать. Это не позволяет их с крючка - производители должны проводить проверки коды они грузят, и Huawei специально дела с восприятием, что он работает слишком близко с китайским правительством уже.

Это очень трудно отличить плохую практику безопасности и целенаправленных усилия по созданию лазейки. Более серьезные, так как Ярмак обсуждает, что это не первый или даже второй раз этот вопрос был сообщен Huawei. Вся причина, почему он выпустил отчет нулевого дня является то, что Huawei не ранее реагировали на решение данной проблемы.

С точки зрения клиента, представляется целесообразным дать HUAWEI оборудования A обходили, является ли компания шпионит для китайского правительства или нет.

Читать далее

Сторонние ремонтные мастерские могут быть заблокированы для обслуживания камеры iPhone 12

Согласно недавнему отчету iFixit, неприязнь Apple к праву на ремонт достигла новых высот с iPhone 12 и iPhone 12 Pro.

Новый смартфон Sony Xperia Pro - это аксессуар для камеры за 2500 долларов

Это устройство предназначено для профессиональных фотографов и энтузиастов, которым нужен мощный аксессуар для своих фотоаппаратов. Это также первый смартфон Sony 5G в США, но его цена потрясающая - 2500 долларов.

Google будет использовать камеру Pixel для измерения пульса и дыхания

Как и многие другие проекты машинного обучения Google, этот в первую очередь появится на телефонах Pixel, и, вероятно, он будет реализован на других телефонах.

В новом телефоне Xiaomi есть дополнительный дисплей в горке камеры

Китайский мобильный гигант Xiaomi собирается анонсировать новое устройство под названием Mi 11 Ultra, и информация об устройстве просочилась рано. У него есть гигантский модуль камеры, поддерживающий до 120-кратного увеличения, и даже дополнительный экран. Да скрин в горбатой камере. Думаю, почему бы и нет?