在10月4日,《彭博商業周刊》(Bloomberg Bussinessweek)刊出爆炸性長篇報道,指中國政府從硬體生產線上下手,為資訊科技公司Supermicro生產的伺服器中放置晶片,以入侵使用其伺服器的美國公司,包括亞馬遜(Amazon)及蘋果(Apple)等。

撰寫報道的記者羅拔臣( Jordan Robertson)及懷利(Michael Riley)在文中引述了17個消息來源,全部要求匿名,根據報道內容,這17人包括︰

  • 6名現任及過去的高級國家安全官員
  • 2名亞馬遜網路服務(AWS)員工
  • 3名蘋果員工,以及
  • 另外6名美國官員(其中4人稱蘋果亦是受害者)

以《彭博》這樣的大媒體,似乎不太可能在毫無證據下作出如此嚴重的指控——報道刊出後Supermicro股價大跌超過4成——然而報道中涉及的公司均強烈否認指控,甚至反擊指報道失實。

5天後,《彭博》刊出另一篇報道,引述安全專家阿普鮑姆(Yossi Appleboum)指美國某家大型電訊商遭中國以類似方式入侵,不過今次以植入系統的以太網路連接器,跟第一篇報道有分別。

Photo Credit: Wang Lei / Xinhua Press / Corbis / 達志影像

面對質疑下,《彭博》發言人堅持報道正確。而蘋果向美國國會解釋事件的信中,仍然明確否認報道。美國國土安全部及英國的國家數碼安全機構均表示,沒有理由懷疑有關公司的說法。

雙方各執一詞,到底誰更可信?

《彭博》報道的後門晶片

首先簡單講述一下《彭博》報道中的指控。根據報道內容,有三家製造商為Supermicro生產主機板,兩家在台灣,一家在上海,當這些供應商收到太多訂單時,或會把部分工作外判至分包商。美國情報機關調查入侵晶片時,發現源頭來自其中4個為Supermicro生產主機板最少兩年的工廠。

《彭博》引述兩名官員表示,主機板找到的晶片來自中國解放軍其中一個專門負責「硬體入侵」的單位,放置上去的晶片並不顯眼,看起來像訊號調理耦合器(signal conditioning coupler)。

根據報道,植入主機板的晶片能夠操縱核心運作指令,當數據經過主機板時指示伺服器怎樣做,而且晶片能夠修改這些資訊,加入自己的程式碼,或改變CPU要執行的指令次序。報道又指這晶片連接基板管理控制器(baseboard management controller, BMC),後者讓系統管理員能遙控登入有問題的伺服器,並在當機甚至關機的情況下存取程式碼。

因此植入晶片後,攻擊者能夠要求裝置跟某部網路上的電腦通訊,並讓系統接受從此電腦下載的程式碼——只要能夠做到這一點,植入的晶片便可以為所欲為,例如盜取加密通訊所用的密鑰、阻止保障系統的安全更新、加入後門等等。

但生產的工廠需要按設計圖製作主機板,而《彭博》報道指,根據美國當局的調查,首先會有自稱代表Supermicro或跟政府有聯繫的人聯絡工廠經理,要求更改主機板設計,通常先提供賄款,不成功的話便以檢查及關閉工場要脅,達成協議後再運送晶片到工廠。

技術上可行嗎?

假如《彭博》的報道屬實,就代表美國公司有極為嚴重的安全漏洞,然而整篇報道均依賴匿名消息來源,未能提供任何可以查核的證據。另一方面,如果這塊晶片根本不存在,以《彭博》這種大型媒體,似乎不太可能出現如此嚴重的錯誤。因此目前沒有人能夠確定到底誰是誰非,不過我們可以從幾方面去了解今次事件。

首先,我們可以先看這種攻擊方式理論上是否做得到。《彭博》報道中引述過的專家費茲柏齊克(Joe FitzPatrick)認為,報道描述的攻擊方式技術上有可能。

劍橋大學專研硬體及平台安全的研究員馬奇托斯(A. Theodore Markettos)亦分析了透過BMC攻擊的方式,指出在BMC安裝韌體(firmware)無需認證,的確能夠修改。他認為《彭博》描述的攻擊初步看來有可能做到。

Image Credit: Bloomberg

科技作者麥卡菲(Kieren McCarthy)在《The Register》的長篇分析中提到,假如《彭博》的「鉛筆尖晶片配圖」(上圖)是真的話,那個裝置就非常細小,需要頂尖的半導體技術才能儲存足夠數據。另一個可能則是《彭博》那張純粹是示意圖,未有按實物大小呈現晶片——而這比較可能,因為報道中記者僅引述看過照片的消息來源稱晶片比鉛筆尖更小,但未有提到記者看過晶片或其照片。

當然,技術上做得到不代表《彭博》的報道可信(有關這一點下文會再詳述)。

蘋果及亞馬遜的反駁可信嗎?

報道中被點名的蘋果、亞馬遜以及Supermicro三家公司,均發表聲明反駁,稱報道失實。蘋果向《CNBC》表示,在2016年他們發現實驗室中有一部Supermicro的伺服器受感染,調查後發現事件源於從受感染的驅動程式,而且調查結果認為事件純屬意外,並非針對蘋果的攻擊,更指《彭博》可能誤會了這件事。

表面看來,我們應該對這些公司的聲明抱有懷疑——畢竟伺服器遭植入晶片不是甚麼好消息,承認的話會違反三家公司利益,而且是次報道涉及國家安全的機密調查。

必須注意的是,三家均是上市公司,不能公開發放虛假消息,否則會面臨監管機構嚴重處分——看看馬斯克(Elon Musk)聲稱要把特斯拉(Tesla)私有化的Twitter發文便知道。一般來說,如果上市公司被揭發醜聞、負面消息而不想承認的話,需要小心選取字眼來否認,以便日後能夠解釋用詞。不過今次三家公司的否認不但沒有含糊其詞,更明確否認報道中的指控。

Photo Credit: Abhishek N. Chinnappa / REUTERS / 達志影像

例如亞馬遜在第二份反駁中明確指出︰「在過去或現在,我們從未在Elemental(報道中提到亞馬遜收購的公司)或亞馬遜的系統中,Supermicro的主機板上發現任何跟修改硬體或惡意晶片有關的問題。我們亦沒有參與跟政府進行的調查。」

蘋果的聲明則表示︰「我們在此事上非常清楚︰蘋果從未發現有意植入任何伺服器的惡意晶片、『硬體操縱』或漏洞。蘋果不曾就此事件聯絡美國聯邦調查局(FBI)或任何其他機構。」

假如《彭博》的報道屬實,蘋果和亞馬遜大可以「我們不討論涉及國家安全或執法部門的議題」來推搪,而不必冒險公開發表虛假聲明。雖然這不能直接證明三家公司可信,不過可視為在缺乏直接證據下需要考慮到的間接證據。

捨易取難?

另一個需要考慮的問題是,即使《彭博》報道約略描述的入侵方法在理論及技術上可行,實際執行的成本及風險如何?硬體攻擊

在網台節目《Risky Business》中,費茲柏齊克雖然表示相信《彭博》描述的後門技術上可行,但他同時認為這不太可能,因為有太多更容易得到相同結果的方法,從成本和複雜度等角度考慮,以報道提及的方法進行攻擊並不合理。

資訊安全專家格裡米斯(Roger A. Grimes)在《CSOOnline》的專欄中,明言懷疑《彭博》的報道,他認為假如中國要從硬體入手攻擊,與其置入一個特製、微小的間諜晶片,倒不如在其餘過百個晶片中加入後門,相比之下這更容易隱藏攻擊,因為特製的間諜晶片會引起硬體專家注意。他更質疑如果報道屬實的話,為甚麼美國政府明知中國放置間諜晶片還保持沈默?

Photo Credit: Depositphotos

專長為硬體入侵的研究員羅特(Steve Lord)則表示,攻擊者傾向以最簡單的方式來獲得盡量長的入侵時間,硬體攻擊雖然能夠維持非常長的時間,但以植入成本來看也是極困難的入侵方法。此外,這個晶片的後門需要設計得非常小心,確保未來韌體更新時不會破壞系統,否則會影響其效用,更有可能被發現。而一但晶片被發現攻擊便會失效,因為人們會更換所有受影響的主機板。

事實上,Supermicro曾於2013至2014年間被揭發有多個嚴重漏洞,羅特亦是發現者之一。另一位發現漏洞的研究員摩爾(HD Moore)表示,任何一個漏洞都可以用來安裝特製的BMC韌體,從而入侵系統。他在數個月前曾跟撰寫報道的其中一位記者羅拔臣談過,其中討論到以硬體為Supermicro的主機板BMC植入後門時,他明言這個做法並不實際,認為透過軟體入侵簡單得多。

驚人的相似?

《Motherboard》引述一名蘋果員工表示,蘋果就《彭博》的指控進行了嚴謹的內部調查,包括檢視訂單、財務文件、安全記錄以及跟可能得悉或參與事件的員工面談,但沒有人聽過任何跟報道描述相似的事件。

故事倒有可能來自《彭博》報道中有引述的費茲柏齊克。

費茲柏齊克提到,他跟《彭博》記者自去年起開始聯絡,但直到上個月才獨得確實的細節。他更表示報道中的細節似乎源自兩年前跟記者的對話,內容提及理論上硬體植入的運作方法,以及他在黑帽安全技術會議上將要展示的裝置。

在閱讀報道時,費茲柏齊克感到有點甚麼不對。他解釋自己並非硬體植入方面的專家,純粹為興趣製作有關裝置,雖然大致掌握甚麼是有可能做到、如何做,但令他驚訝的是,某次他描述了這些事情,而後來《彭博》報道中的消息來源100%確認了他所描述的方法。

費茲柏齊克婉轉地說︰「要麼我極具先見之明,要麼有其他事正發生。」他亦提到,除了跟他談話的記者外,《彭博》並沒有派其他人向他查證報道中引述的言論和相關細節。

且看下回分解

《彭博》今次的報道,毫無疑問令人關注所謂「供應鏈攻擊」(supply chain attack)的問題。可是《彭博》至今仍無法拿出更多證據出來,當然這有可能源於報道涉及國家安全的機密資料,至少按照目前的公開資料而言,「中國透過生產線上加裝晶片入侵美國公司」的說法值得懷疑。

如果《彭博》沒有刻意製造假新聞,那麼兩位記者有可能遭誤導——畢竟在第一篇報道中,他們未能揭觸任何一手資料;另一個可能是他們查到部分中國入侵的證據,然而某些關鍵之處有誤,以致蘋果、亞馬遜等公司能夠明確否認報道內容。

無論如何,要全面了解真相,仍然需要等待事情進一步發展。

相關文章︰

資料來源︰

參考來源