De Apple & Amazon hardwarehack: wat is er nu echt aan de hand?
Via die hardwarechips kon China zich dan eenvoudig en ongedetecteerd toegang verschaffen tot gevoelige data van een dertigtal Amerikaanse bedrijven, waaronder Amazon en Apple. De chips waren geen onderdeel van het originele design van de servers maar waren piepkleine surveillancechips.
Technologiegiganten Apple en Amazon ontkennen bij hoog en laag de aantijgingen van Bloomberg dat ze beiden slachtoffer zouden geworden zijn van een hardwarehack. Bloomberg heeft echter documenten weten te bemachtigen via cybersecurity-expert Yossi Appelbaum. Die zouden bewijzen dat er nog een ander ‘groot Amerikaans telecombedrijf’ abnormale servercommunicatie zou hebben ondervonden. Na inspectie kon Appelbaum vaststellen dat de server zou gewijzigd zijn in een fabriek in Ghanghzou. Bloomberg houdt dus hardnekkig vast aan de aantijgingen, maar het verhaal komt hier misschien op een dood spoor. Zo hebben zowel de Amerikaanse als de Britse Staatsveiligheid ontkend dat de hack ooit heeft plaatsgevonden, wat de Bloomberg-claims uiteraard geen kracht bijzet.
Een vertegenwoordiger van Bloomberg laat in een persmededeling weten dat het ‘verschillende experts heeft geraadpleegd’ om zo de verschillende technische aspecten van de zaak te begrijpen. Daarmee wil Bloomberg laten weten dat zijn berichtgeving wel degelijk legitiem is. Wij deden echter hetzelfde en raadpleegden zelf een cybersecurity-expert ter zake; Christof Jacques van Checkpoint.
“Technisch gezien is het zeker mogelijk dat die hack heeft plaatsgevonden; het ging namelijk om piepkleine chips.” Of er sprake is van kwaad opzet, durft Jacques niet meteen te zeggen. “In hoeverre het hier om corruptie gaat, kan ik niet zeggen. Toch moet iemand de hele zaak oogluikend toegestaan hebben. Die surveillancechips worden namelijk niet zomaar op het moederbord geplakt, maar moeten er effectief op gesoldeerd worden.”
Dus Apple en Amazon doen aan struisvogelpolitiek, terwijl Bloomberg zich opwerpt als de dappere verdediger van de vierde macht? Misschien is het hele verhaal toch niet zo zwart-wit als Bloomberg wil laten uitschijnen. “In het artikel van Bloomberg spreekt men van een operating system dat onderschept wordt, en een minichip die al je operating systems kan omzeilen is misschien een ietwat simplistische voorstelling door Bloomberg”, aldus Jacques.
Opvallend is dat zowel Apple als Amazon de aantijgingen zo sterk ontkennen. “Het feit dat die bedrijven zo vasthouden aan hun versie kan erop wijzen dat Bloomberg de feiten verdraait. Ze zouden die aantijgingen ook nooit ontkennen mochten ze geen stok achter de deur hebben, dat zou tot te veel imagoschade leiden”, stelt Jacques.
Waarom waagt Bloomberg, toch een autoriteit op het gebied van berichtgeving, zich dan aan dergelijke aantijgingen? Christof Jacques van Checkpoint moet ons helaas het antwoord schuldig blijven. “Misschien draagt het artikel wel een politieke bodem, maar voorlopig is daar nog geen klaarheid over. Hopelijk komt die er snel!”
Wanneer ook zulke grote technologiegiganten (mogelijk) ten prooi vallen aan een hardware hack, kan je je toch al zorgen beginnen maken. Hoe wapen je je het beste tegen zo’n Supermicro-scenario? Christof Jacques: “Je netwerk segmenteren is een degelijke manier om anomalieën op te vangen.” Jacques legt ook uit dat een meerlagige beveiliging ook de meeste dreigingen kan opvangen. “Jammer genoeg besteden bedrijven niet altijd voldoende tijd aan beveiliging in hun beginstadium. Dat is een gemiste kans, want security inbouwen in een later stadium is veel moeilijker.”
Jacques geeft echter nog meer stof tot nadenken over cyberveiligheid: “Volgens de HACCP-wetgeving moet elke schakel in de voedselketen zijn verantwoordelijkheid opnemen voor het correct behandelen van voedsel door middel van zelfcontrole en kan elke schakel ook ten alle tijde daarop gecontroleerd worden. Misschien is een soortgelijk systeem in de IT supply chain geen overbodige luxe, zeker niet op het vlak van cybersecurity.”
