Si alza ancora il livello della discussione sulla sicurezza – o meno – dei dispositivi Huawei da adottarsi per la realizzazione delle nuove infrastrutture di telecomunicazione 5G.
Gli Stati Uniti affermano che nei devices di Huawei sono presenti backdoors che consentirebbero – al produttore – di avere accesso da remoto, Huawei dice che assolutamente non lo può fare.
Gli USA affermano che hanno le prove, ma sono secretate; Huawei dice che non ci sono riscontri oggettivi.
Sappiamo che, in molti Paesi, i vendor di tecnologia ITC sono obbligati a rendere disponibili, alle agenzie di intellicences nazionali, specifiche funzionalità per operare intercettazioni telematiche; abbiamo anche avuto riscontri di backdoors presenti su dispositivi commerciali – quali router – anche di produttori americani, rimaste nel firmware secondo alcuni per errore, mentre secondo altri di proposito.
Nel 2011-2012 Vodafone Italia aveva riscontrato la presenza di una backdoor su dispositivi “Vodafone Station” prodotti da Huawei; a seguito delle richieste di Vodafone la backdoor era stata rimossa, salvo che successivamente era stata reintrodotta.
Nel recente post Vulnerabilità HiSilicon DVRs abbiamo visto come sia consuetudine generale predisporre backdoors nei devices, spesso neanche ben nascoste.
Nel frattempo, la Francia e la Germania, noncuranti delle raccomandazioni del Governo americano. hanno scelto Huawei trai i partner tecnologici per la realizzazione delle rispettive infrastrutture 5G; in Italia, pur avendo il Copasir relazionato a sfavore di Huawei, il Governo sembra incline a non escludere il fornitore cinese dalla corsa al 5G.
Indubbiamente la questione è rilevante; sulla infrastruttura 5G, realizzata da soggetti privati, transiteranno anche informazioni inerenti applicazioni e servizi critici e, quindi soggette anche a valutazioni di sicurezza nazionale.
Riterrei, per dirimere una tantum la questione, che occorra sottoporre i dispositivi dei vari vendor – non solo di Huawei – ad una validazione dei migliori teams indipendenti di sicurezza; Huawei, invece di limitarsi ad affermare che “sono accuse da dimostrare” potrebbe rendere disponibile il codice sorgente del firmware dei loro dispositivi, ovviamente dietro sottoscrizione di apposita NDA. Anche il Governo USA potrebbe mettere a disposizione, delle agenzie di intelligence delle altre nazioni, la documentazione tecnica in base alla quale sono state riscontrate le backdoors.
Tra le altre cose, la certificazione di sicurezza dei prodotti ICT è un obbligo derivante dal Cybersecurity ACT; anche nel recente ToolBox pubblicato dalla Commissione Europea insieme ad ENISA, viene indicato, tra le misure di mitigazione dei rischi:
- TM09: Using EU certification for 5G network components, customer equipment and/or suppliers’ processes;
- TM10: Using EU certification for other non 5G-specific ICT products and services (connected devices, cloud services).
Nel frattempo, giunge notizia che Vodafone ha deciso di rimuovere le apparecchiature prodotte da Huawei dalla sua core network in tutta Europa.
P.S. fino ad oggi ritenevo di conoscere bene il funzionamento di TOR (The Onion Router), avendo anche partecipato, nei primi anni 2000, alla relativa sperimentazione; avendo letto quanto riportato nella relazione Copasir (pag. 16) non ne sono più sicuro.
Altro strumento fondamentale è rappresentato dalla rete TOR (The Onion Router), che consente di effettuare attività illecite o intrusioni mantenendo l’anonimato, grazie al meccanismo per cui il software offensivo viene scomposto in pacchetti, che per raggiungere l’obiettivo finale seguono percorsi diversi, attraverso una serie di piattaforme, rendendo di fatto quasi impossibile l’individuazione della fonte.