彭博：苹果、Amazon等近30家美企服务器遭植入中国恶意芯片窃密

彭博周四引述消息人士报导，包括苹果、Amazon等将近30家美国企业使用的服务器在制造过程中遭“供应链攻击”，被中国植入间谍芯片藉以窃取机密资讯。不过包括苹果、Amazon及服务器业者Super Micro都驳斥这项报导。

报导指出，2015年Amazon打算收购一家串流视讯服务器业者Elemental Technologies来扩大其Amazon Prime Video服务，该公司也有助于Amazon Web Service (AWS)的业务。为此，AWS聘请第三方稽核业者来检视Elemental的安全性，初步就发现有点异状，促使AWS进一步调查Elemental的主要产品，即安装在客户网络上用于影像压缩的服务器。

Elemental的服务器是由美国超微电脑公司（Super Micro Computer，简称SuperMicro）组装，后者也是全球主要服务器主板供应商。2015年春天，Elemental将数台服务器送往加拿大第三方安全厂商进行测试，结果在服务器主板上发现一颗“比米粒大不了多少”的微小芯片，这并不包含在板子的原始设计中。Amazon随即通报美国主管机关，也引发美国情治单位的震惊，因为Elemental的服务器也卖给了美国国防部、中央情报局（CIA）的无人机部门、美国海军。

更糟的是，Elemental只是SuperMicro数百家客户之一。美国政府之后三年间持续调查发现，这些芯片是在SuperMicro中国下包商的工厂内被植入主板中，让攻击者在这些服务器所在的网络开启后门。

报导引述美国两名官员指出，这些芯片是由中国人民解放军的间谍在制造过程中植入。一名官员表示，透过SuperMicro，中国可能已经建立广大的供应链攻击（supply chain attack）管道渗透到了美国企业中。调查人员发现已经有将近30家美国公司，包括大型银行、政府外包商，甚至苹果遭到攻击。

知名吹哨者Edward Snowden曾揭露过美国情治单位曾经在服务器出货运到客户端半路上拦截加装间谍芯片。另一种则是从生产源头即植入机器。硬件渗透比软件更可怕，因为更难移除，引发的灾难也更长久、更具破坏性。

报导也引述苹果消息人士指出，SuperMicro大客户苹果在2015年夏天也在SuperMicro主板上发现了恶意芯片，隔年便以不相干的原因为由终止了和该公司的合约。

Amazon、苹果及SuperMicro皆透过彭博及The Verge各大媒体否认此事。Amazon指出，报导中提及的供应链攻击、AWS对中国生产的服务器遭窜改知情，以及AWS协助FBI调查恶意硬件一事皆非事实。Amazon重新审视该公司2015年对Elemental收购案中关于SuperMicro的调查纪录，没有发现任何支援恶意芯片和硬件窜改的证据。

苹果也指出，多年来彭博已就此事多次联系苹果。而苹果每次也都再一次进行详细的内部调查，都没有发现任何支持的证据。苹果从未发现过服务器上有恶意芯片、硬件操弄或任何故意设下的漏洞，也未和FBI及其他单位就此事有过任何接触。

SuperMicro也发表声明，表示该公司从未听过政府单位就此事的调查，也未曾听说该公司因此事而掉单。此外SuperMicro并不设计或制造网络芯片或相关固件，也不曾向其他服务器或是储存公司购买这些东西。

此事在中美贸易大战期间格外显得敏感。不过也不是第一次。早在2012年美国也曾因为指控中国华为及中兴网络设备藏有可能窃密的后门，呼吁美国企业不要使用。今年初FBI、CIA与国安局NSA也向美国人警告不要使用华为的产品或服务。