Dmitry Belyavsky (beldmit) wrote,
Dmitry Belyavsky
beldmit

Под капотом HUAWEI

HUAWEI CYBER SECURITY EVALUATION CENTRE (HCSEC) VERSIGHT BOARD ANNUAL REPORT 2019

Цитата:
On the first version of the software, there were 70 full copies of 4 different OpenSSL versions, ranging from 0.9.8 to 1.0.2k (including one from a vendor SDK) with partial copies of 14 versions, ranging from 0.9.7d to 1.0.2k, those partial copies numbering 304. Fragments of 10 versions, ranging from 0.9.6 to 1.0.2k, were also found across the codebase, with these normally being small sets of files that had been copied to import some particular functionality. There were also a large number of files, again spread across the codebase, that had started life in the OpenSSL library and had been modified by Huawei.

In the later version, there were only 6 copies of 2 different OpenSSL versions, with 5 being 1.0.2k and one fork from a vendor SDK. There remained 17 partial copies of 3 versions, ranging from 0.9.7d to 1.0.2k. The fragments from the 10 different versions of OpenSSL remained across the codebase as do the OpenSSL derived files that have been modified by Huawei. More worryingly, the later version appears to contain code that is vulnerable to 10 publicly disclosed OpenSSL vulnerabilities, some dating back to 2006.

Комментарий коллеги на тему классической цитаты:
У нас было 2 пакета c openssl, 75 форков 5 различных версий, пол-libcrypto и целое множество патчей всех сортов и расцветок, а также gnutls, libressl, nettle и 2 дюжины реализаций aes для python. Не то чтобы это был необходимый запас для базовых станций Huawei, но если начал собирать дурь, становится трудно остановиться. Единственное, что вызывало у меня опасение — это реализация шифра ZUC на php. Ничто в мире не бывает более беспомощным, безответственным и порочным, чем реализация криптографии на php китайскими руками. Но я знал, что рано или поздно мы перейдем и на эту дрянь.

Ещё один коллега в комментариях рассказал про софтину, к которой одновременно статически прилинковали openssl и GnuTLS.

This entry was originally posted at https://beldmit.dreamwidth.org/905861.html. Your comment? (comment count unavailable comments)
Tags: security, ссылки
Subscribe

  • ЦИАМ: мемуар

    Тут в ФБ Тим Жабко поинтересовался, что я делал в ЦИАМ и на какой площадке. После дефолта, закрытия игрового проекта и моего бегства в Екатеринбург…

  • День царя Соломона

    Ровно половину моей жизни назад был 1998 год. Личная жизнь у меня накрылась, и попытка уехать в Екатеринбург сразу после дефолта к возобновлению не…

  • Кошки++

    Вчера Нина с Таней поехали по местному объявлению и привезли мелкую шпротную короткошёрстную кошечку. Назвали Шаня. Прежние владельцы её где-то…

  • Post a new comment

    Error

    Anonymous comments are disabled in this journal

    default userpic

    Your reply will be screened

    Your IP address will be recorded 

  • 1 comment