Supermicro : Bloomberg affirme que des serveurs d'un opérateur américain ont été altérés

Supermicro : Bloomberg affirme que des serveurs d’un opérateur américain ont été altérés

Supermicro : Bloomberg affirme que des serveurs d'un opérateur américain ont été altérés

En fin de la semaine dernière, nos confrères ont publié un long papier expliquant comment les Chinois auraient ajouté une micropuce espionne sur des cartes mères Supermicro. Impliquées dans cette affaire, Amazon, Apple et Supermicro ont toutes les trois démenti ces accusations avec vigueur, soutenues par les renseignements américains et britanniques.

Hier, Bloomberg a lancé un nouveau pavé dans la mare dans un papier intitulé « nouvelle preuve de piratage de matériel Supermicro chez un opérateur américain ». Nos confrères expliquent que Yossi Appleboum (co-DG de Sepio Systems) leur a fourni des documents pour étayer leurs dires. Le matériel « manipulé » aurait été enlevé en août de cette année. Le nom de cet opérateur n'est pas précisé.

La situation n'est pas tout à fait identique, mais le principe reste le même : « des communications inhabituelles depuis un serveur Supermicro et une inspection physique ultérieure ont révélé un implant intégré dans le connecteur Ethernet du serveur » explique Bloomberg.

Yossi Appleboum affirme que ce n'est pas la première fois qu'il découvre ce genre de manipulation sur du matériel fabriqué par des sous-traitants en Chine, ajoutant que « Supermicro est une victime » dans cette histoire.

Interrogée, la société reste sur ses positions précédentes : « Nous ne sommes toujours pas au courant de composants non autorisés et n’avons été informés par aucun client de la présence de tels composants ».

Elle charge à nouveau Bloomberg : « Nous sommes consternés que Bloomberg ne nous fournisse que des informations partielles, aucune documentation et une demi-journée pour répondre à ces nouvelles allégations », ce à quoi notre confrère affirme avoir laissé 24 h à Supermicro.

L'enquête continue outre-Atlantique, notamment par l'intermédiaire du sénateur John Thune siégeant au Comité du commerce qui sollicite auprès des dirigeants des entreprises impliqués un briefing avant le 12 octobre : « Les allégations selon lesquelles la chaîne d'approvisionnement en matériel informatique des États-Unis a été délibérément altérée par une puissance étrangère doivent être prises au sérieux ».

Les sénateurs Marco Rubio (républicain) et Richard Blumenthal (démocrate) ont de leur côté demandé à Supermicro des précisions sur la manière dont la société avait enquêté sur les affirmations de Bloomberg.

George Stathakopoulos, responsable sécurité chez Apple, reste sur la ligne de défense de la société affirmant qu'elle n'a découvert aucun signe de transmission suspecte ni aucune autre preuve d'altération du matériel.

Joe Fitzpatrick, expert cité dans le premier article de Bloomberg, revient sur cette histoire dans le Risky Business podcast, comme le rapporte Engadget. Il affirme avoir été cité hors contexte, que l'histoire de la puce espionne était alors « théorique » et qu'il se sentait « mal à l'aise ».

Bloomberg s'est de nouveau exprimé sur le sujet : « Joe FitzPatrick ne faisait pas partie des 17 sources comprenant des spécialistes et des responsables gouvernementaux, et sa citation directe dans l'histoire décrit un exemple hypothétique de la manière dont une attaque matérielle pourrait se dérouler ».

En bourse, c'est de nouveau une chute pour Supermicro qui passe sous les 12,5 dollars. La semaine dernière, la société était à plus de 21 dollars par action.

Commentaires (24)




« Les allégations selon lesquelles la chaîne d’approvisionnement en matériel informatique des États-Unis a été délibérément altérée par une puissance étrangère doivent être prises au sérieux ».





“Si nos esclaves industriels se mettent à profiter de leur position pour faire la même que ce qu’on fait au reste du monde depuis 35 ans, où va t’on ma bonn’ dame ??”



#TraduisonsLes


Une telle pratique ne me surprend pas, ça ne serait pas la première fois. Cependant, au vu des réactions de Bloomberg, je ne peux pas m’empêcher de penser qu’il y a un loup, un mensonge ou un non dit quelque part.

Dénoncer sans prouver ça n’a pas grande valeur..


C’est le moment d’acheter les actions… L’opérateur est une entreprise de la fondation Trump ou d’une entreprise de ses amis ? C’est très très louche la comm de Bloomberg autour de ça, aucune preuve montré…


Comme par hasard :




  • matériel plus disponible depuis août, et je suppose que ça a été complètement détruit “au cas où”

  • le vecteur d’attaque est différent

  • on a un cas quand d’autres semblent ne pas avoir relevé de soucis, dont des très gros

  • toujours aucun détail (d’un côté comme de l’autre) sur la fameuse “puce”.



    Ca fait beaucoup là.


Pour info, cette source de Bloomberg (la première cité) est le patron d’une boite dont le boulot est de… sécuriser les chaines d’approvisionnement. Bref, il fait de la pub pour son business.




Et comme d'hab, Bloomberg ne publie aucune info concrète que des experts reconnus (et ce M. AppleBoom ne l'est pas) pourrait valider.   RIEN. DU. TOUT.   






Du vent, ou plutôt, de la manipulation boursière compte tenu de l'acharnement sur SuperMicro (qui n'est pas plus sensible à ce genre d'attaque que Dell ou HP).



Elle charge à nouveau Bloomberg : « Nous sommes consternés que Bloomberg ne nous fournisse que des informations partielles, aucune documentation et une demi-journée pour répondre à ces nouvelles allégations », ce à quoi notre confrère affirme avoir laissé 24h à Supremicro.



Ah ok <img data-src=" />


Au pire SuperMicro sera bannie des US, Trump leur imposera une amende de plusieurs milliards de dollars, d’acheter des composants américains et des permis de construire pour des hôtels Trump et puis Basta, un peu comme ça a été fait pour ZTE qui avait vendu à l’Iran.


Je suis quand même curieux de savoir comment “un implant dans le port ethernet” peut fonctionner. Admettons qu’il contienne un petit CPU, un peu de RAM avec un OS capable de sniffer le traffic, très bien. Mais ensuite, comment les transmettre ? Il chope une IP en DHCP et il cause à un serveur ? Ca me parait compliqué dans les grosses structures où le réseau est méga cloisonné. J’ai hâte de voir la suite.


On ne connaitra jamais la vérité dans cette affaire: secret défense <img data-src=" />


ça ressemble d’ici à un beau suicide de la part de la crédibilité de Bloomberg…

&nbsp;qu’ils donnent des éléments vérifiables au lieu de citer des gens qui n’ont rien à voir avec la choucroute…


Sauf qu’à la différence de ZTE, SuperMicro est une société américaine. Et que même les composants conçus par des sociétés américaines (dont les processeurs Intel AMD et cie.) sont tous fabriqués à l’étranger, ce qui ne change rien au problème.


Ca s’appelle un side channel et c’est loin d’être anecdotique. Le chip peut subtilement altérer l’ordonnancement des paquets sortants, ou leur MTU, ou leur bit de fragmentation pour faire sortir (quelques bits à la fois) les données récupérées depuis la RAM. Cent bits par jour suffisent à compromettre une clé privée en un temps raisonnable.



Bien sûr ça ne suffit pas en tant que tel, mais si dans les backbones des routeurs sont également compromis, ils pourraient intercepter les paquets et reconstituer l’information.

&nbsp;


Après l’expertise de Yossi Appleboum, nous attendons sereinement l’intevention de Rod Amazoncrash.

<img data-src=" />


Tiens.. Encore un autre qu’on devrait bientôt voir au congrès pour jurer sur la bible que leurs serveurs sont saints. <img data-src=" />



Il serait rigolo d’apprendre qu’en fait Bloomberg jette des alertes à gauche et à droite et qu’une fois que tout le monde a bien démenti et aussi menti, il lâche toutes ses infos et ses sources…

S’ils font ça, on ne sera plus jamais en pénurie d’huile tellement ça va serrer des fesses.


<img data-src=" /> <img data-src=" /> <img data-src=" />


Ah je pensais que c’était taiwanais donc pas exactement chinois mais proche quand même.


Clair, un sacré acharnement sur Supermicro sans jamais donner aucun détail vérifiable.

Vu la finesse et le sérieux/la crédibilité des allégations contre Supermicro de loin ça pourrait laisser penser que Bloomberg n’est un média de la “Trump Company” et que c’est ce dernier qui écrit directement les news pour valider sa politique anti Chine agressive. <img data-src=" />



En tous cas si Bloomberg ne publie pas rapidement les preuves irréfutables pour étayer ses accusations ça va effectivement tuer toute crédibilité de ce média et surtout ça risque de finir devant les tribunaux (étrange d’ailleurs que Supermicro n’ai pas encore réagit dans ce sens après toutes ces attaques contre eux, si ça avait été SAIP … <img data-src=" />)


Excellent la remarque “nous n’avons été informés par aucun client de la présence de tels composants”.

C’est le client qui fait contrôle qualité et conformité maintenant.

Enorme…



On marche sur la tête !








Sylvounet a écrit :



Excellent la remarque “nous n’avons été informés par aucun client de la présence de tels composants”.

C’est le client qui fait contrôle qualité et conformité maintenant.

Enorme…



On marche sur la tête !





J’imagine trop en salle serveur le type inspecter en détail chaque lame avant de les mettre en service. <img data-src=" />



Soit Bloomberg invente (ou à mal verifié, mais bon c’est leur taf quoi ), soit ils attendent que tout le monde ai bien nié en bloc juré promis avant de balancer les preuves, mais dans tout les cas des têtes vont tomber.









Johnny6 a écrit :



Il serait rigolo d’apprendre qu’en fait Bloomberg jette des alertes à gauche et à droite et qu’une fois que tout le monde a bien démenti et aussi menti, il lâche toutes ses infos et ses sources…

S’ils font ça, on ne sera plus jamais en pénurie d’huile tellement ça va serrer des fesses.





Ça serait vraiment drôle oui



En fait c’est américano-taïwanais, mais le siège est aux USA et c’est coté au NASDAQ.


Il y a une façon simple d’inspecter une carte: la microscopie à rayons X.

Très difficile de cacher quoi que ce soit…

https://makezine.com/2015/08/11/homemade-x-ray-inspector-reveals-pcb-secrets/


Quel rapport avec la brève ?


Surtout que le rapport sera sans doute signé par Prosper Youplaboum ! Le gars, il gère et le rapport et le pain d’épice&nbsp;<img data-src=" />


Fermer