Per anni, dice l’inchiesta, un’unità dell’esercito cinese ha inserito microchip grandi quanto la punta di una matita molto temperata su schede madre prodotte in Cina per conto di una delle più importanti aziende produttrici di server del mondo.
In questo modo hacker cinesi hanno avuto accesso ai server di una trentina di aziende americane, tra cui una grande banca, Apple e Amazon, ma anche a quelli di agenzie governative.
L’inchiesta di Bloomberg Businessweek si basa sui racconti di 17 fonti anonime, tra cui sei tra funzionari ed ex funzionari che si occupano o si sono occupati di sicurezza nazionale, tre dipendenti di Apple e due dipendenti di Amazon Web Services (AWS), una società di Amazon che fornisce piattaforme cloud a privati, aziende e governi.
L’inchiesta di Bloomberg Businessweek si basa sui racconti di 17 fonti anonime, tra cui sei tra funzionari ed ex funzionari che si occupano o si sono occupati di sicurezza nazionale, tre dipendenti di Apple e due dipendenti di Amazon Web Services (AWS), una società di Amazon che fornisce piattaforme cloud a privati, aziende e governi.
Le fonti governative hanno definito l’operazione di spionaggio come il più grande attacco alla catena di produzione dei dispositivi tecnologici mai portato avanti contro aziende americane.
Apple e Amazon hanno risposto all’inchiesta negando praticamente tutto, e il governo cinese, pur non parlando direttamente dell’operazione di manipolazione dei server, ha detto di essere a sua volta una vittima degli attacchi alle strutture informatiche.
Apple e Amazon hanno risposto all’inchiesta negando praticamente tutto, e il governo cinese, pur non parlando direttamente dell’operazione di manipolazione dei server, ha detto di essere a sua volta una vittima degli attacchi alle strutture informatiche.
L’FBI e le altre agenzie di intelligence americane si sono rifiutate di commentare l’inchiesta. Il numero delle fonti e l’autorevolezza di Bloomberg Businessweek, però, la rendono affidabile.
Come furono scoperti i microchip
I microchip cinesi furono trovati nel 2015 da Amazon e Apple, autonomamente. Amazon li scoprì perché era interessata ad acquisire Elemental Technologies, una startup con sede a Portland, in Oregon, che aveva sviluppato un software per comprimere pesanti file video e formattarli per schermi di diverse dimensioni; tra le altre cose, questo software è stato usato per lo streaming delle Olimpiadi e l’invio di filmati girati dai droni militari per la CIA. AWS, che stava studiando Elemental per capire se acquisirla fosse un investimento sensato per Amazon, chiese a un’azienda terza di fare dei controlli sui sistemi di sicurezza della startup.
Da questa analisi emersero dei problemi, per cui AWS chiese dei controlli più approfonditi sui server venduti da Elemental ai propri clienti per permettere loro di comprimere i video.
Alla fine della primavera del 2015 alcuni server – che, semplificando molto, sono dei computer che elaborano e gestiscono dati e che sono inseriti in una rete – furono mandati in Canada per essere analizzati dall’azienda terza, che sulle loro schede madre trovò dei piccolissimi microchip grigi o biancastri, che non comparivano sui progetti delle schede.
Come furono scoperti i microchip
I microchip cinesi furono trovati nel 2015 da Amazon e Apple, autonomamente. Amazon li scoprì perché era interessata ad acquisire Elemental Technologies, una startup con sede a Portland, in Oregon, che aveva sviluppato un software per comprimere pesanti file video e formattarli per schermi di diverse dimensioni; tra le altre cose, questo software è stato usato per lo streaming delle Olimpiadi e l’invio di filmati girati dai droni militari per la CIA. AWS, che stava studiando Elemental per capire se acquisirla fosse un investimento sensato per Amazon, chiese a un’azienda terza di fare dei controlli sui sistemi di sicurezza della startup.
Da questa analisi emersero dei problemi, per cui AWS chiese dei controlli più approfonditi sui server venduti da Elemental ai propri clienti per permettere loro di comprimere i video.
Alla fine della primavera del 2015 alcuni server – che, semplificando molto, sono dei computer che elaborano e gestiscono dati e che sono inseriti in una rete – furono mandati in Canada per essere analizzati dall’azienda terza, che sulle loro schede madre trovò dei piccolissimi microchip grigi o biancastri, che non comparivano sui progetti delle schede.
Alla vista non sembravano microchip ma dei normali componenti delle schede madre, perciò non potevano essere scoperti senza strumenti appositi.
All’accensione dei server, i microchip rendevano il loro sistema operativo e la rete in cui erano inseriti permeabili a modifiche esterne.
All’accensione dei server, i microchip rendevano il loro sistema operativo e la rete in cui erano inseriti permeabili a modifiche esterne.
Davano inoltre agli autori dell’attacco la possibilità di rubare le chiavi di decrittazione, di bloccare gli aggiornamenti dei software di sicurezza e di inserire dei programmi esterni nelle schede: questo perché i microchip erano collegati a un Baseboard Management Controller, una specie di superchip che i gestori di un server possono usare per risolvere direttamente dei problemi, anche quando i server sono spenti.
Dopo che i microchip furono scoperti, Amazon avvisò le autorità americane: la scoperta preoccupò molto le agenzie di intelligence perché i server di Elemental Technologies si trovavano anche nei data center del dipartimento della Difesa, nelle strutture della CIA e sulle navi da guerra della marina.
Dopo che i microchip furono scoperti, Amazon avvisò le autorità americane: la scoperta preoccupò molto le agenzie di intelligence perché i server di Elemental Technologies si trovavano anche nei data center del dipartimento della Difesa, nelle strutture della CIA e sulle navi da guerra della marina.
Il problema in ogni caso non era solo di Elemental, perché i server che vendeva erano prodotti da un’altra azienda, la Super Micro Computer di San Jose, in California, comunemente chiamata Supermicro: una delle principali produttrici di server del mondo, con più di 900 clienti privati e pubblici in cento paesi.
keep reading
keep reading