Компания Huawei пытается очистить свою репутацию

Huawei готова дать правительству доступ к своему программному коду

Huawei готова дать правительству доступ к своему программному коду

Ранее в этом месяце китайская компания Huawei была названа одним из двух производителей электроники (второй неудачницей оказалась ZTE), которых обвинили в том, что они могут выступать в качестве шпионов китайского правительства. Комитет палаты представителей по разведке США порекомендовал американским компаниям избежать контактов и тесного сотрудничества с телекоммуникационными корпорациями.



Huawei была поражена подобными обвинениями и сказала, что они не имеют под собой почвы. Чтобы избежать недоразумений и доказать невиновность, компания пошла на беспрецедентный шаг и предложила предоставить полный доступ к своему программному коду всем желающим.

В своем заявлении Huawei говорит, что компания «следует всем законам и ограничениям, действующих на территории тех стран, где она осуществляет свою операционную деятельность». Примерно спустя неделю после того как прозвучали обвинения, источник близко знакомый с вопросом, заявил журналистам информационного агентства Рейтер, что Белый дом не обнаружил никаких подтверждений того, что Huawei принимала участие в шпионаже.

Глава правления Huawei Australia Джон Лорд сделал следующее заявление: «Huawei готова предоставить полный и неограниченный доступ с нашему программному коду и к нашему оборудованию в соответствующем окружении».

Глава правления Huawei Australia Джон Лорд.

Окружение, о котором говорит менеджер, – прозрачная сеть, в которой продавцы могут проходить тестирование защитных систем. В рамках этой системы можно проводить независимый аудит и проверку технологических порталов, построенных в других странах. Отметим, что в Великобритании уже давно используется подобная система, позволяющая полностью исключить претензии, которые высказываются американскими разведчиками в адрес Huawei.

Отметим, что теперь продукции Huawei сторонятся не только в США, но и в Канаде. Ранее руководство страны хотело использовать оборудование Huawei для создания будущей правительственной компьютерной сети. Досталось китайской компании и в Австралии: бизнесменам отказали в участии в проекте австралийской национальной широкополосной сети.

Так что реакция Джона Лорда вполне прогнозируема:

«Мы крайне разочарованы этим запретом, но мы приняли решение правительство и продолжили работать в других направлениях».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Вектор атаки TEE.Fail ломает доверенные среды CPU от Intel, AMD, NVIDIA

Исследователи из Технологического института Джорджии и Университета Пердью рассказали о новой атаке под названием TEE.Fail, с помощью которой им удалось извлечь секретные ключи из доверенной среды выполнения (TEE) — того самого «защищённого уголка» процессора, где хранятся самые конфиденциальные данные.

Речь идёт о таких технологиях, как Intel SGX и TDX, а также AMD SEV-SNP. Они используются для так называемых «доверенных вычислений», где данные и код изолированы от операционной системы, чтобы даже взломанный сервер не смог добраться до них.

Но, как выяснилось, в современных процессорах с памятью DDR5 защита уже не такая надёжная. В погоне за скоростью и масштабируемостью производители убрали часть механизмов контроля целостности памяти и оставили только шифрование AES-XTS. А это оказалось слабым местом.

Учёные придумали (PDF) изящный способ — врезаться в шину памяти с помощью промежуточного адаптера (интерпозера) и снимать зашифрованный трафик между оперативкой и процессором. Всё оборудование для эксперимента обошлось меньше чем в $1000, так что, по словам исследователей, повторить атаку смог бы и «продвинутый энтузиаст».

 

Эксперимент показал, что шифрование в DDR5 детерминированное — то есть одни и те же данные превращаются в один и тот же шифротекст. Это позволило исследователям сопоставить зашифрованные блоки с реальными значениями, а дальше — восстановить закрытые ключи, с помощью которых можно выдавать себя за доверенные среды SGX/TDX или SEV-SNP.

 

С помощью TEE.Fail команда смогла:

  • Подделывать TDX-аттестации в блокчейне Ethereum BuilderNet и получать доступ к конфиденциальным данным.
  • Имитировать Intel и NVIDIA TEE, чтобы запускать код вне защищённой среды, но с видимостью легитимности.
  • Извлекать закрытые ключи ECDH прямо из анклав и полностью компрометировать систему.

Для атаки всё же нужны права администратора и физический доступ к серверу, так что массовой угрозой TEE.Fail назвать нельзя. Однако исследование показывает, что современные TEE уже не так надёжны, как считалось ранее, особенно в серверных системах с DDR5.

Исследователи сообщили о проблеме Intel — в апреле, NVIDIA — в июне, AMD — в августе. Все компании пообещали устранить брешь.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru