Один из источников в материале Bloomberg о китайских жучках в платах серверов заявил, что издание исказило его слова
Он утверждает, что говорил о том, как можно было реализовать такую атаку.
Джо Фитцпатрик (справа) на хакерской конференции Defcon
Эксперт по безопасности Джо Фитцпатрик (Joe Fitzpatrick) заявил, что Bloomberg вырвало его слова из контекста и исказило их смысл. Он давал журналистам комментарии лишь о гипотетической возможности атаки «с аппаратными имплантами» и с удивлением узнал, что его теорию выдали за правду. Фитцпатрик рассказал о ситуации во время интервью подкасту Risky Business, его слова приводит издание 9to5Mac.
Фитцпатрик был одним из немногих неанонимных источников, на которые сослался Bloomberg в материале о внедрении шпионских чипов в материнские платы серверов. Издание подчёркивало, что ключевой причиной публикации расследования стали сразу 17 независимых собеседников.
Журналисты утверждали, что на китайских заводах одного из крупнейших поставщиков серверного оборудования Super Micro спецслужбы уже несколько лет вставляют в материнские платы шпионские чипы. После этого сервера с жучками якобы отправляют в крупные американские компании, а китайские власти могут получать к ним доступ и прослушивать.
Однако у Фитцпатрика другая версия. Он утверждает, что потратил много времени, объясняя Bloomberg, как можно реализовать атаку «с аппаратными имплантации» на практике. Также он подробно рассказал, как работают устройства, которые он сделал для показа на хакерской конференции Black Hat два года назад.
Ему понравилось общаться с журналистами, потому что они хотели узнать, как всё устроено. Фитцпатрик ожидал, что издание готовит материал лишь о возможных способах такого взлома. Однако, как отметил эксперт, в итоге журналисты просто перепечатали его теорию, выдав её за реальность.
Меня поразило, что все даже отдалённо технические детали были взяты из моих комментариев. Я удивился, что просто описал им эти вещи, а они пошли и подтвердили у источников 100% из всего, что я рассказал.
По словам Фитцпатрика, его претензии также относятся к изображению, которое Bloomberg выдал за снимок шпионского чипа. Эксперт заявил, что в сентябре журналисты спросили у него, как может выглядеть соединитель или антенный усилитель и он отправил им ссылку на онлайн-магазин Mouser. В материале он увидел изображения с этого сайта.
Микрочип (справа), который Bloomberg выдал за шпионский жучок. Изображение Bloomberg
Когда репортёр Bloomberg Джордан Робертсон рассказал Фитцпатрику, какой именно историей он занимается и раскрыл некоторых фигурантов расследования, эксперт заявил, что для него это «не имеет смысла».
Моя работа — учить людей, как обезопасить их аппаратное обеспечение. Распространение страха об аппаратных уязвимостях, неопределённости и сомнениях только увеличит мою финансовую выгоду. Но на самом деле это [внедрение шпионских чипов] не имеет смысла — есть много более простых способов это сделать.
По словам Фитцпатрика, есть много уязвимостей в аппаратной, программной части, а также прошивке. Он усомнился, что кто-то действительно мог реализовать описанное в статье Bloomberg.
Подход, который они описали, нельзя масштабировать. Он нелогичный и это не то, как я бы это сделал. Или как кто-то, кого я знаю, это сделал.
После этого исследователь спросил у журналистов, точно ли они уверены, что в платах было дополнительное аппаратное устройство. Фитцпатрик отметил, что для достижения того же результата было бы намного проще модифицировать прошивку контроллера управления материнской платой, который есть в каждой плате.
Эксперт отдельно пояснил, что вставка дополнительного чипа легко может привести к его обнаружению. Поэтому логичнее использовать уязвимости в уже имеющихся компонентах, многие из которых отвечают сразу за несколько функций.
Фитцпатрик пришёл к выводу, что технические детали в статье «перепутаны». Он отметил, что хотя журналисты не совсем ошибаются, но ссылаются на теоретические возможности, а не на факты.
Bloomberg опубликовало расследование о внедрении чипов на заводах Super Micro 4 октября, перед открытием биржи. Спустя несколько часов акции компании упали на 60%.
В материале издания «жертвами» атаки называли несколько крупных компаний со ссылкой на их сотрудников, включая Apple и Amazon. Обе корпорации почти сразу начали отрицать факт обнаружения жучков, а Apple выпустила на сайте массивный разбор ситуации. В нём компания рассказала, как на протяжении года общалась с журналистами и объясняла, что ничего не знает о китайских шпионских чипах.
#технологии #китайскиежучки