Päivitys: Apple ja Amazon antoivat molemmat torstaina pitkiä lausuntoja Kiinan vakoilusirusyytöksistä. Päivitimme tämän viestin sisältämään nämä lausunnot.
Apple kiistää, että kiinalaiset vakoojapiirit olisivat tunkeutuneet sen iCloud -palvelinlaitteistoon emolevyjen väittämisen jälkeen Apple, Amazon ja kymmenet muut teknologiayritykset käyttivät valvontaan käytettäviä mikrosiruja tarkoituksiin.
Cupertino väittää, että tarina on "väärä ja väärin informoitu". Apple sanoo myös, että kiinalaisella vakoilulla ei ollut mitään tekemistä yrityksen päätöksen kanssa katkaista yhteydet toimittajaan.
Applen lausunto tulee a Bloomberg Businessweek Raportti 17 lähteeseen viitaten väitti Kiinan käyttäneen ”pieni siru tunkeutuakseen Amerikan huippuyrityksiin.”
Raportin mukaan tuhannet Super Micron valmistamat palvelimen emolevyt sisälsivät haitallisia siruja. Noin riisinjyvän kokoiset kiinalaiset sirut voisivat antaa vakoojille mahdollisuuden päästä käsiksi arvokkaisiin yrityssalaisuuksiin ja arkaluonteisiin hallituksen verkkoihin.
Siru, jonka Amazon-tutkimus löysi kolme vuotta sitten, käynnisti erittäin salaisen koetuksen, joka jatkuu tänään.
Epäilyttävä kiinalainen siru
Tarina alkaa vuonna 2015, kun Amazon alkoi arvioida Elemental Technologies -nimistä startup -yritystä. Amazon halusi hankinnan, joka auttaisi sitä laajentamaan Prime Video -videon suoratoistopalvelua. Useat suuret yritykset ovat jo käyttäneet Elementalin teknologiaa.
"Sen tekniikka oli auttanut suoratoistamaan olympialaisia verkossa, kommunikoimaan Kansainvälisen avaruusaseman kanssa ja kuljettamaan drone -materiaalia tiedustelupalvelulle", raportti selittää.
Eräs lähde väittää, että osa arviointiprosessista palkkasi kolmannen osapuolen yrityksen Elementalin turvallisuuden tarkastamiseksi. Ei kulunut kauaa, kun yritys havaitsi "huolestuttavia ongelmia". Tämä löytö sai Amazon Web Servicesin (AWS) tutustumaan tarkemmin Elementalin palvelintuotteisiin.
Useita palvelimia lähetettiin Ontarioon, Kanadaan. Testaajat löysivät pienen mikrosirun, joka ei sisälly emolevyn alkuperäiseen suunnitteluun. "Amazon ilmoitti löydöstä Yhdysvaltain viranomaisille lähettäen tärinän tiedustelupalvelun kautta", raportti jatkaa.
Erittäin salainen kiinalaisten vakoojamerkkien koetin
Löytö herätti suuria huolenaiheita. Ensinnäkin Amazon, Apple ja muut teknologian jättiläiset käyttivät Super Micron Kiinassa valmistamia palvelimia. Vielä pahempaa, sirut löysivät tiensä suuren pankin, puolustusministeriön, CIA: n drone -operaatioiden ja laivaston käyttämään laitteistoon.
Ja Super Micro ei toimittanut pelkästään levyjä Elementalille. Se valmisti laitteistoja satoille muille asiakkaille.
Tutkijat päättivät, että kiinalaisten alihankkijoiden johtamiin tehtaisiin asetettu siru antoi hyökkääjille mahdollisuuden luoda oviaukko yksityisiin verkkoihin. Tämä menetelmä osoittautui huomattavasti kehittyneemmäksi kuin ohjelmistopohjainen hyökkäys-ja mahdollisesti paljon tuhoisampi.
Apple kiistää sen vaikutuksen iCloud -laitteistoonsa
Apple, valtava Super Micro -asiakas, oli suunnitellut tilaavansa yli 30 000 palvelinta kahden vuoden aikana. Kolmen ”vanhemman sisäpiirin” mukaan Apple löysi kuitenkin myös haittaohjelmasirun kesällä 2015. Cupertino katkaisi siteet yhtiöön seuraavana vuonna.
Apple kiistää nämä väitteet.
”Apple on syvästi pettynyt siihen, että Bloombergin toimittajat eivät ole olleet avoimia asioissaan kanssamme mahdollisuus, että he tai heidän lähteensä voivat olla väärässä tai väärin tiedossa ”, yhtiö sanoi tiedotteessa kohteeseen AppleInsider torstaina. ”Paras arvauksemme on, että he sekoittavat tarinansa aiemmin raportoituun vuoden 2016 tapaukseen, jossa löysimme tartunnan saaneen ohjaimen yhdeltä Super Micro -palvelimelta yhdessä laboratorioistamme. Tämä kertaluonteinen tapahtuma määritettiin satunnaiseksi eikä kohdistetuksi hyökkäykseksi Applea vastaan. ”
"Naurettava" väite
Lähteet Applen sisällä, jotka jäävät nimettömiksi ilmeisistä syistä, kertoivat AppleInsider että väitteet laajalle levinneestä Apple -hyökkäyksestä, kuten tämä, ovat "naurettavia" ja "todella, todella vääriä".
Bloomberg Businessweek sanoo, että kuusi nykyistä ja entistä kansallisen turvallisuuden virkamiestä vastustivat Applen ja Amazonin kieltämistä. "Yksi näistä virkamiehistä ja kaksi AWS: n henkilöä antoi laajoja tietoja siitä, miten hyökkäys tapahtui Elementalissa ja Amazonissa", tarina kertoo.
Kaikkiaan 17 ihmistä oletettavasti vahvisti tarinan - mukaan lukien kolme Applen "sisäpiiriläistä".
The Bloomberg Businessweek raportin mukaan hyökkäyksen tutkinta jatkuu tänään.
Applen lausunto
Mikä Businessweek meni pieleen Applen kanssa
Bloomberg Businessweekin 8. lokakuuta 2018 julkaistussa numerossa ilmoitetaan virheellisesti, että Apple löysi "haitallisia siruja" verkkonsa palvelimilta vuonna 2015. Kuten Apple on toistuvasti selittänyt Bloombergin toimittajille ja toimittajille viimeisten 12 kuukauden aikana, näillä väitteillä ei ole totuutta.
Apple toimitti Bloomberg Businessweekille seuraavan lausunnon ennen tarinansa julkaisemista:
Kuluneen vuoden aikana Bloomberg on ottanut meihin yhteyttä useita kertoja väitteillä, joskus epämääräisillä ja joskus yksityiskohtaisilla väitteillä Applen väitetystä turvallisuushäiriöstä. Joka kerta olemme suorittaneet tarkkoja sisäisiä tutkimuksia heidän kyselyidensä perusteella, ja joka kerta emme ole löytäneet mitään todisteita niiden tueksi. Olemme toistuvasti ja johdonmukaisesti tarjonneet tosiasiallisia vastauksia, jotka ovat kiistäneet lähes kaikki Bloombergin Apple -tarinan näkökohdat.
Tästä voimme olla hyvin selviä: Apple ei ole koskaan löytänyt haitallisia siruja, "laitteiston manipulointeja" tai haavoittuvuuksia, jotka on tarkoituksellisesti asennettu millekään palvelimelle. Apple ei ollut koskaan yhteydessä FBI: hen tai muuhun virastoon tällaisesta tapauksesta. Emme ole tietoisia FBI: n tutkimuksista, emmekä ole yhteyksissä lainvalvontaviranomaisiin.
Vastauksena Bloombergin uusimpaan kertomukseen esitämme seuraavat tosiasiat: Siri ja Topsy eivät koskaan jakaneet palvelimia; Siriä ei ole koskaan asennettu palvelimille, jotka Super Micro on myynyt meille. ja Topsy -tiedot rajoittuivat noin 2 000 Super Micro -palvelimeen, ei 7 000: een. Yhdelläkään näistä palvelimista ei ole koskaan havaittu olevan haitallisia siruja.
Käytännössä ennen palvelimien käyttöönottoa Applella ne tarkistetaan tietoturvahaavoittuvuuksien varalta ja päivitämme kaikki laiteohjelmistot ja ohjelmistot uusimmilla suojauksilla. Emme havainneet mitään epätavallisia haavoittuvuuksia Super Microilta ostamistamme palvelimista, kun päivitimme laiteohjelmiston ja ohjelmiston vakiomenettelyjemme mukaisesti.
Olemme syvästi pettyneitä siihen, että Bloombergin toimittajat eivät ole olleet kanssamme tekemisissä avoimia mahdollisuudelle, että he tai heidän lähteensä voivat olla väärässä tai väärin. Paras arvauksemme on, että he sekoittavat tarinansa aiemmin raportoituun 2016-tapahtumaan, jossa löysimme tartunnan saaneen ohjaimen yhdeltä Super Micro -palvelimelta yhdessä laboratorioistamme. Tämä kertaluonteinen tapahtuma määritettiin satunnaiseksi eikä kohdistetuksi hyökkäykseksi Applea vastaan.
Vaikka ei ole väitetty, että asiakastietoja olisi ollut mukana, otamme nämä väitteet vakavasti ja me haluavat käyttäjien tietävän, että teemme kaikkemme heidän turvaamiensa henkilötietojen turvaamiseksi meille. Haluamme myös heidän tietävän, että se, mitä Bloomberg raportoi Applesta, on epätarkkaa.
Apple on aina uskonut olevansa avoin tietojen käsittelyssä ja suojaamisessa. Jos joskus tapahtuisi sellainen tapahtuma, jonka Bloomberg News on väittänyt, olisimme asiasta tietoisia ja teemme tiivistä yhteistyötä lainvalvonnan kanssa. Applen insinöörit suorittavat säännöllisiä ja tiukkoja turvatarkastuksia varmistaaksemme järjestelmiemme turvallisuuden.
Tiedämme, että turvallisuus on loputon kilpailu, ja siksi vahvistamme jatkuvasti järjestelmiämme yhä kehittyneempiä hakkereita ja tietoverkkorikollisia vastaan, jotka haluavat varastaa tietomme.
Julkaistussa Businessweek -tarinassa väitetään myös, että Apple ”ilmoitti tapauksesta FBI: lle, mutta säilytti havaitsemansa yksityiskohdat tiukasti, jopa sisäisesti”. Sisään Marraskuussa 2017, kun meille oli ensimmäisen kerran esitetty tämä väite, toimitimme seuraavat tiedot Bloombergille osana pitkää ja yksityiskohtaista kirjaa vastaus. Se käsittelee ensin toimittajiensa perustelemattomia väitteitä oletetusta sisäisestä tutkimuksesta:
Huolimatta lukuisista keskusteluista useiden tiimien ja organisaatioiden kesken, kukaan Applesta ei ole koskaan kuullut tästä tutkimuksesta. Businessweek on kieltäytynyt antamasta meille tietoja oletettujen menettelyjen tai havaintojen jäljittämiseksi. He eivät myöskään ole osoittaneet ymmärtävänsä vakiomenettelyjä, joiden väitettiin kiertävän.
Kukaan Applelta ei koskaan tavoittanut FBI: tä tällaisesta, emmekä ole koskaan kuulleet FBI: ltä tällaisesta tutkimuksesta - vielä vähemmän yrittäneet rajoittaa sitä.
Toimittajana tänä aamuna Bloomberg Televisionissa toimittaja Jordan Robertson esitti lisää väitteitä oletetusta löydöstä haittaohjelmia, sanoen: "Applen tapauksessa ymmärrämme, että se oli satunnainen pistetarkastus joistakin ongelmallisista palvelimista, jotka johtivat tähän havaitsemista. ”
Kuten olemme aiemmin ilmoittaneet Bloombergille, tämä ei pidä paikkaansa. Apple ei ole koskaan löytänyt haitallisia siruja palvelimiltamme.
Lopuksi, vastauksena kysymyksiin, joita olemme saaneet muilta uutisorganisaatioilta sen jälkeen, kun Businessweek julkaisi tarinansa, emme ole minkäänlaisten gag -määräysten tai muiden luottamuksellisuusvelvoitteiden alaisia.
Amazonin lausunto
Ennätyksen asettaminen Bloomberg BusinessWeekin virheelliseen artikkeliin
Tänään Bloomberg BusinessWeek julkaisi tarinan, jossa väitettiin, että AWS oli tietoinen muokatusta laitteistosta tai haitallisista siruista SuperMicro -emolevyissä vuonna Elemental Median laitteisto silloin, kun Amazon osti Elementalin vuonna 2015, ja että Amazon oli tietoinen muutetuista laitteista tai siruista AWS: n Kiinassa Alue.
Kuten jaimme Bloomberg BusinessWeekin kanssa useita kertoja viimeisen parin kuukauden aikana, tämä ei pidä paikkaansa. Emme ole koskaan, aiemmin tai nykyään, löytäneet mitään ongelmia, jotka liittyvät muutettuun laitteistoon tai haitallisiin siruihin SuperMicro -emolevyissä missä tahansa Elemental- tai Amazon -järjestelmässä. Emme myöskään ole ryhtyneet tutkimuksiin hallituksen kanssa.
Tässä artikkelissa on niin paljon epätarkkuuksia kuin Amazonissa, että niitä on vaikea laskea. Mainitsemme tässä vain muutamia niistä. Ensinnäkin, kun Amazon harkitsi Elementalin hankkimista, teimme paljon asianmukaista huolellisuutta omiemme kanssa ja tilasi myös yhden ulkoisen turvayrityksen suorittamaan meille turvallisuusarvioinnin yhtä hyvin. Raportissa ei havaittu ongelmia muunnetuissa siruissa tai laitteistossa. Kuten useimmille näistä tarkastuksista on tyypillistä, se tarjosi joitain suositeltavia alueita korjattavaksi ja korjasimme kaikki kriittiset ongelmat ennen hankinnan päättymistä. Tämä oli ainoa tilattu ulkoinen turvallisuusraportti. Bloomberg ei tosin ole koskaan nähnyt tilattua turvallisuusraporttiamme eikä mitään muuta (ja kieltäytyi jakamasta meille tietoja kaikista väitetyistä muista raporteista).
Artikkeli väittää myös, että kun olemme oppineet Elemental -palvelimien laitteistomuutoksista ja haitallisista siruista, me suoritti verkon laajuisen tarkastuksen SuperMicro-emolevyistä ja löysi haitalliset sirut Pekingin tiedoista keskusta. Tämäkin väite on vastaavasti väärä. Ensimmäinen ja ilmeisin syy on se, että emme koskaan löytäneet muokattuja laitteistoja tai haitallisia siruja Elemental -palvelimista. Sen lisäksi emme koskaan löytäneet muokattuja laitteistoja tai haitallisia siruja palvelimista missään palvelinkeskuksestamme. Ja käsitys siitä, että myimme Kiinassa laitteistot ja palvelinkeskuksen kumppanillemme Sinnetille, koska halusimme päästä eroon SuperMicro -palvelimista, on järjetöntä. Sinnet oli käyttänyt näitä palvelinkeskuksia siitä lähtien, kun lanseerasimme Kiinassa, he omistivat nämä palvelinkeskukset alusta alkaen ja laitteistomme "Myyty" heille oli varojen siirtosopimus, joka velvoitettiin uusilla Kiinan säännöksillä, jotta muut kuin kiinalaiset pilvipalveluntarjoajat voivat jatkaa toimintaansa Kiina.
Amazon noudattaa tiukkoja turvallisuusstandardeja koko toimitusketjussamme - tutkii kaikkia laitteistoja ja ohjelmistoja ennen kuin aloitamme tuotannon ja suoritamme säännöllisiä turvatarkastuksia sisäisesti ja toimitusketjumme kanssa kumppaneita. Vahvistamme edelleen turvallisuusasentoamme ottamalla käyttöön omat laitteistomme kriittisille komponenteille, kuten prosessoreille, palvelimille, tallennusjärjestelmille ja verkkolaitteille.
Turvallisuus on aina ensisijainen tavoitteemme. Monet maailman riskialttiimmista organisaatioista luottavat AWS: ään juuri siksi, että olemme osoittaneet tämän vankkumattoman sitoutumisen asettamaan heidän turvallisuutensa ennen kaikkea. Olemme jatkuvasti valppaita mahdollisista uhista asiakkaillemme, ja ryhdymme nopeisiin ja päättäväisiin toimiin puuttuaksemme niihin aina, kun he tunnistetaan.
- Steve Schmidt, tietoturvapäällikkö
Huomautus: Julkaisimme tämän viestin alun perin 4. lokakuuta 2018 klo 5.52 Tyynenmeren alueella. Päivitimme sen sisältämään Applen ja Amazonin lausunnot.
