Täglich grüßen die Huawei-Anschuldigungen: In einer neuen Episode habe der Tech-Riese dem Linux Kernel einen unsicheren Patch vorgelegt.
Abermals ist Huawei in Erklärungsnot: Das chinesische Techunternehmen soll der Linux Foundation einen fehlerhaften Patch für den Linux Kernel vorgelegt haben. Eigentlich sollte das Update einer verbesserten Sicherheit dienen. Huawei reicht nach der Kritik den schwarzen Peter einem Angestellten weiter, der angeblich im Alleingang handelte. Für das auf Sicherheit spezialisierte Projekt Grsecurity ist das nur ein Ausweichmanöver, denn der Mitarbeiter gehöre zur technischen Elite der Firma.
Sicherheitsmaßnahmen für Linux Kernel
Der fehlerhafte Patch wurde dem Linux Kernel Projekt der Linux Foundation über dessen Mailingliste vorgelegt. Unter dem Namen HKSP (Huawei Kernel Self Protection) führte der Patch angeblich eine Reihe von Sicherheitsmaßnahmen ein. Erst einmal ist daran nichts verwunderlich. Schließlich reichen große Technologieunternehmen oft Patches ein. Google, Microsoft, Amazon und andere sind dafür bekannt, dass sie Code beisteuerten.
Grsecurity fand Schwachstelle
Der HKSP-Patch weckte rasch das Interesse der Linux-Community. Es wäre nämlich das erste Mal gewesen, dass Huawei etwas dazu beigetragen hätte. Aus diesem Grund wurde der Patch sofort unter die Lupe genommen. Die Entwickler von Grsecurity, die selbst Patches für den Linux Kernel bereitstellt, nahmen sich der Sache an. In einem Blog-Post sagte das Grsecurity-Team, es habe entdeckt, dass der HKSP-Patch eine Schwachstelle im Kernel-Code einführe. Viele vermuten, dass Absicht dahintersteckt. Der Vorwurf: Huawei versucht, heimlich eine Hintertür in HKSP zu implementieren, die in das nächste Update von Linux hätte Einzug halten können.
Wie man bei Twitter sieht, hat Huawei schon mal versucht, das Thema Backdoors PR-technisch aufzuhübschen:
Huawei: Mitarbeiter handelte auf eigene Faust
Der Konzern Huawei muss sich mal wieder rechtfertigen. Das chinesische Unternehmen bestreitet in einer Erklärung jegliche offizielle Beteiligung an dem unsicheren Patch. Und das obwohl es nicht nur den Namen Huawei im Titel trägt, sondern auch von einem seiner Techniker stammt. Die Firmenführung sagt, der Angestellte habe ohne offizielle Unterstützung den Patch erstellt und diesen der Linux Foundation vorgelegt. Außerdem habe Huawei dem HKSP-Code für den Linux Kernel nie tatsächlich in einem ihrer Produkte verwendet.
Grsecurity glaubt den Chinesen kein Wort. Sie schreiben: „Wir wissen, dass der Urheber des Patches ein Mitarbeiter von Huawei ist, und trotz der Versuche, sich nach der Veröffentlichung dieses Beitrags vom Code zu distanzieren, behält er die Huawei-Benennung bei.“ Darüber hinaus gehöre der ominöse Mitarbeiter zum „Personal der Sicherheitsstufe 20, dem höchsten technischen Niveau innerhalb von Huawei“.
Tarnkappe.info
