La notizia sta facendo il giro del mondo con il solito clamore aggiuntivo che distoglie l’attenzione dai fatti, ma ci poniamo di analizzare in questa sede in modo estensivo cosa è successo e perché non c’è nulla da preoccuparsi (stante le cose così come sono note). Secondo quanto pubblicato dal sito Bloomberg, a firma del collega italiano Daniele Lepido, Vodafone ha trovato backdoor nascoste nei router di Huawei utilizzati per fornire la banda larga agli utenti.
Ora, Huawei è già parecchio di suo al centro dell’attenzione: da oltre un anno persevera la battaglia politica di Trump e delle agenzie di sicurezza statunitensi contro il brand (accusato di spionaggio) in vista della diffusione del 5G. La vicenda ha risvolti romanzeschi con accuse che rimbalzano dall’Iran al Canada per prendere vigore negli States e impattare sul business dell’azienda nel Regno Unito, in Australia e in Europa.
Il fondatore di Huawei: “Mai spiato per conto della Cina”
Non semplifica la questione la notizia che Vodafone abbia confermato come alcuni apparati di Huawei impiegati in ambito domestico per portare la connettività a banda larga. Il brand, per usare un eufemismo, è “attenzionato” sul tema e ogni sospiro di sospetto diventa un grido di accusa. Però questa volta la divisione italiana di Vodafone è stata precisa: le backdoor esistono, sono state sistemate in tempo utile per non recare danni e non sono mai state usate per penetrare indebitamente nelle reti degli utenti. Ma tanto basta per versare altra benzina sul fuoco.
I fatti
Partiamo dalla definizione di backdoor: riportiamo quella di Wikpedia.
- Una backdoor (dal termine inglese per porta di servizio o porta sul retro) è un metodo, spesso segreto, per passare oltre (aggirare, bypassare) la normale autenticazione in un prodotto, un sistema informatico, un crittosistema o un algoritmo.
- Le backdoor sono spesso scritte in diversi linguaggi di programmazione e hanno la funzione principale di superare le difese imposte da un sistema, come può essere un firewall, al fine di accedere in remoto a un personal computer, ottenendo per mezzo di un sistema di crittografia un’autenticazione che permetta di prendere il completo o parziale possesso del computer vittima.
- Una backdoor può celarsi segretamente all’interno di un ignaro programma di sistema, di un software separato, o può anche essere un componente hardware malevolo come: apparati di rete, sistemi di sorveglianza e alcuni dispositivi di infrastruttura di comunicazione che possono avere celate al loro interno backdoor maligne permettendo l’intrusione di un eventuale criminale informatico (cracker).
Dunque la backdoor spesso viene utilizzata anche per scopi tutt’altro che ostili, per esempio per l’assistenza post vendita in caso di malfunzionamento o blocco del sistema o per la manutenzione straordinaria degli apparati.
I router di Huawei posti in esame sono quelli forniti a Vodafone dal 2009 al 2011 e la vulnerabilità, che avrebbe permesso di accedere dalla porta posteriore alla linea fissa in Italia, è stata identificata da un report interno del gestore telefonico. Documenti che, precisa Lepido nel suo articolo, sono stati visti da Bloomberg.
Nel 2011 Vodafone chiede a Huawei di rimuovere le backdoor dagli apparati destinati all’utilizzo domestico e riceve rassicurazioni in merito alla correzione del problema; tuttavia test successivi del gestore rivelano che le vulnerabilità erano ancora riscontrabili. Vodafone identifica queste backdoor come parte di specifici servizio di connettività a banda larga terrestre: uno indispensabile per trasmettere il segnale ottico tra i nodi a fibra e permettere alle reti di sostenere il traffico dati; l’altro che si prende in carico le operazioni per autentificare gli utenti che accedono a Internet.
La backdoor avrebbe dunque permesso l’accesso a terze parti alle reti private degli utenti, stando a quanto dichiarato nei documenti interni di Vodafone.
Gli stessi che dimostrano come Huawei ha continuato a vincere appalti di fornitura di apparati Vodafone, nonostante le risultanze emerse, in virtù di un prezzo più competitivo (a parità di tecnologia) rispetto ai competitor. È sbagliato però alludere al sillogismo che un posizionamento più vantaggioso dei dispositivi di Huawei sarebbe giustificato da una minore sicurezza o da una backdoor silente: di più, è una tesi fuorviante che rientra nel campo delle fake news.
Fino al 2012
Torniamo ai fatti. I documenti visti da Bloomberg dimostrano che Vodafone ha rilevato queste vulnerabilità nei router nell’anno 2011 e ha lavorato a stretto contatto con Huawei per sistemare le falle. Nel suddetto arco temporale non sono state rilevati comportamenti che provino eventuali compromissioni della sicurezza degli utenti. Il gestore ha inoltre trovato altre backdoor nei dispositivi distribuiti nel 2012: anche in questo caso il codice è stato corretto entro la fine dell’anno. Per la cronaca, gli apparati coinvolti riguardano solo quelli destinati all’Italia.
Vodafone “prende molto seriamente la sicurezza e questo giustifica il motivo per cui eseguiamo test indipendenti sugli apparati che distribuiamo al fine di rilevare la presenza di vulnerabilità. Se vengono trovate, il nostro compito è lavorare insieme al partner per risolverle”. Il gestore è molto realista: “Nell’industria delle telecomunicazioni non è fuori dal comune trovare apparati con vulnerabilità forniti da terze parti e identificati dall’operatore”. Questa frase è ancora più vera sulla base della storia recente, come dimostreremo nella parte finale di questo approfondimento.
Huawei, dal canto suo, ha confermato di essere stata avvisata delle vulnerabilità negli anni 2011 e 2012 e di averle sistemate prontamente.
Le altre dichiarazioni raccolte da Bloomberg parlando di problematiche simili rilevate nelle infrastrutture di Vodafone in Germania, Regno Unito, Spagna e Portogallo. I primi router acquistati dal gestore presso Huawei risalgono al 2008. Nell’ottobre 2009 una presentazione interna a Vodafone ha evidenziato 26 bug, di cui sei critici e nove “prioritari”, nei router utilizzati per la connettività fissa. Nello stesso anno è stato chiesto a Huawei di disattivare il protocollo telnet sugli apparati per evitare un accesso remoto ai dati locali. Nel 2011 Vodafone Italia ha iniziato una serie di test approfonditi sui dispositivi attraverso un partner esterno, da cui è nato il report interno che ha dato vita a tutta la storia finora narrata.
La parte mancante riguarda la reiterazione della richiesta di Vodafone di disattivare i servizi telnet, anche se parziali; Huawei è sembrata “riluttante” secondo quanto dichiarato da Bryan Littlefair, Chief Information Office di Vodafone nel 2011. Il quale, in un documento interno, si è detto stupito che l’azienda non avesse trattato la materia con “priorità maggiore” e che il background politico in cui opera Huawei gli impone maggiori difficoltà nel dimostrare “di essere un vendor onesto”. La presenza del protocollo incriminato è stata giustificata a Littlefair per garantire “qualità” di connettività. Il memorandum da cui sono tratte queste frasi è destinato a fare scalpore.
Di backdoor in backdoor
La vicenda è vecchia di otto anni ma salta agli onori della cronaca in questi frangeti decisamente travagliati, sia dal punto di vista mediatico sia da quello commerciale e strategico. Tanto che in virtù di questi e altri fatti, Vodafone, insieme ad altri gestori, ha scelto di perimetrare il numero di dispositivi Huawei destinati alla connettività terrestre e wireless, in particolare in vista dell’arrivo del 5G.
I fatti descritti fanno però tornare alla mente quanto successe nel 2014. Anno in cui Edward Snowden aveva dichiarato che tutti i router domestici e professionali di Dell, Cisco, Linksys, Belikn, Watchguarxd, Netgear, Western Digital, Seagate, Maxtor e così via presentvano delle backdoor. Ipotesi? No, perché lo sviluppatore francese Eloi Vanderbeken aveva appurato la presenza di backdoor su oltre 2.500 modelli di router diffusi in case, uffici e server e distribuiti tramite operatore e vendita libera.
Le backdoor permettevano “potenzialmente” di accedere da remoto senza “alcuna autenticazione” alle reti private. E la scoperta riguardava router prodotti nei dieci anni precedenti. Rileggendo con interesse il bollettino pubblicato su Github ci siamo resi conto che molte di queste backdoor erano riferite a servizi latenti o dormienti, come nel caso del telnet. Altre erano funzionali a sostenere il supporto post vendita, molte erano indebitamente presenti e tante altre erano solo “presenti”.
State tranquilli
Questo perché bisogna distinguere tra rischi reali e percepiti e atti dovuti. Ossia, un gestore telefonico delle dimensioni di Vodafone è obbligato a imporre e fare rispettare precisi protocolli di sicurezza, certificazione e validazione degli impianti che fornisce nell’ambito della connettività che offre agli utenti. L’atto dovuto è portare all’attenzione del fornitore dell’apparato le discrepanze o potenziali vulnerabilità relative alla fornitura rispetto al protocollo di funzionamento previsto. Questa distonia determina un rischio, che può essere reale o percepito oppure apparente. Da come è stata raccontata la storia tra Huawei e Vodafone, il rischio è stato puramente potenziale ma mai reale e concreto. Telnet non è un protocollo così preoccupante, oltre a essere datato e spesso e volentieri utilizzato per il supporto in remoto post vendita, perché la sua pericolosità derivante dalle trasmissioni “in chiaro” può essere compensata e mitigata con opportuni accorgimenti di sicurezza. Certo, va da sé che è meglio non averlo attivo.
L’atto dovuto di Huawei doveva essere di ottemperare prontamente e senza indugi alle richieste di Vodafone, per non creare una situazione di pericolo apparente o potenzialmente reale. Nella fenditura di queste due visioni della realtà, si innesta il clamore della notizia. Ma di pericoli reali, fin qui, non ce ne sono stati. Come ha certificato Vodafone.
