Chińscy szpiedzy jednak nie montowali swoich czipów w serwerach? Producent nie znalazł dowodów

W październiku świat obiegła informacja o tym, że chińscy szpiedzy montują własne czipy na płytach głównych firmy Supermicro, z których korzystają między innymi Apple, Amazon, Facebooka, CIA, Departament Obrony. Producent jednak dementuje te doniesienia. W liście do klientów poinformował, że podczas przeprowadzonego w ostatnich tygodniach audytu nie znaleziono żadnych śladów sprzętowych trojanów.

Pod listem podpisał się CEO Supermicro Charles Liang i dyrektorzy najwyższego szczebla. Według tych informacji, szpiegujących układów nie ma w obecnie produkowanych płytach głównych i nie było w komponentach, które już trafiły do klientów. Z nieoficjalnych źródeł wiadomo, że audyt przeprowadziła firma Nardello & Co o globalnym zasięgu, założona przed byłego prokuratora federalnego Daniela Nardello. Audytorzy skontrolowali próbki płyt głównych, które trafiły do centrów danych firm Apple i Amazon. Przyjrzeli się także oprogramowaniu płyt i plikom zawierających projekty. W tym procesie nie znaleźli żadnych śladów szkodliwych działań Chińczyków ani nie wykryli zachowania wskazującego na obecność backdoorów po uruchomieniu serwerów.

Zarząd Supermicro od początku dementował doniesienia o czipach szpiegujących w swoim sprzęcie i utrzymuje, że wynik audytu nie jest żadnym zaskoczeniem. Firma podziękowała także FBI i Departamentowi Bezpieczeństwa Narodowego za zachowanie dystansu do medialnej wrzawy. Od publikacji informacji o czipach szpiegujących żaden klient nie zgłosił się do Supermicro ze skargą, nie wpłynęły też żadne informacje ze strony agencji rządowych.

Listowi towarzyszy bardzo ciekawy film, w którym firma Supermicro przedstawia swój łańcuch dostaw i procedury przestrzegane podczas produkcji komponentów do serwerów. Możemy z niego dowiedzieć się więcej o wielokrotnych testach na różnych etapach produkcji i dostawy, inspekcjach i ciągłym nadzorze. Warto zauważyć także, że informacje o projektach płyt głównych są podzielone i żaden pracownik nie ma dostępu do wszystkich jej części jednocześnie. Regularnie kontrolowani są także dostawcy części. Dodatkowym zabezpieczeniem jest złożoność całego procesu.

Przeciwko słowom dyrektorów Supermicro postawione zostały doniesienia Bloomberga. Poza opisywanymi przez nas już płytami głównymi w serwerach Elemental, które trafiły do Amazonu, Apple'a i amerykańskiego wojska, pojawiły się też informacje, których źródłem była firma Sepio Systems. Źródło twierdzi, że w serwerze jednego z większych operatorów telekomunikacyjnych (nazwa z przyczyn oczywistych nie została ujawniona) znajdował się szpiegujący czip. Udało się go znaleźć we wbudowanej karcie sieciowej i musiał tam zostać umieszczony w czasie produkcji. Trudno powiedzieć, czy wynik audytu zdoła uciszyć strach i po której stronie tym razem leży prawda.