资安业者Finite State：近1万款华为设备固件中，有55%含有潜在后门

美国专精于物联网（IoT）装置安全的资安业者Finite State，针对华为设备所使用的固件进行地毯式分析，发现在近1万款固件映像档中，有55%至少含有一个潜在的后门，并宣称这是第一个证实华为设备含有潜在后门的研究报告。

Finite State利用该公司的自动化系统分析了华为9,936款固件中的150万个档案，这些固件支援华为企业网络产品线的558款产品。

Finite State指出，华为是全球5G网络设备的主要供应商，各国却因担心中国-可能借由华为设备执行间谍或军事任务而限制华为设备的采购，不过，华为设备中所存在的网络安全漏洞范围从未被证实过，一直到此份报告出炉。

Finite State在3,062个档案中找到79个不同的OpenSSL版本，最旧的版本是1999年出版的，当中不乏许多含有漏洞的版本，例如有389个OpenSSL二进制档含有Heartbleed漏洞，也有1,405个OpenSSL二进制档所含漏洞的风险等级达到最高的CVSS 10.0。

此外，每个固件映像档平均拥有102个已知漏洞，这些固件映像档都是经过完整修补的，但漏洞却藏匿在固件所采用的第三方函式库；当中有2,692款固件含有CVE-2016-7055漏洞；在所有的固件中，有29%至少含有一个预设凭证；在8款固件中找到认证金钥档案；424款固件含有SSH私钥；所有的功能呼叫中，不到17%采用安全功能。

为了公平起见，Finite State比较了Huawei CE12800、Arista 7280R与Juniper EX4650三款高阶网络交换器的固件，发现华为设备不论是在凭证、加密、已知漏洞、内存毁坏、程式码复杂度及配置管理上的风险，都高于其它两款设备。

研究人员指出，其实安全漏洞与后门之间很难区分，其细小差异也许是前者必须借由至少一项工具或技术来开采，后者则是可绕过电脑系统的认证或加密程序的方法，通常可获得远端存取权，或是存取加密系统中的明文。不论如何，很难证明一个后门是故意被植入的，最好的后门看起来就像是个简单的安全疏忽，才能够被全盘否认。

Finite State创办人暨首席执行官Matt Wyckhouse表示，他们相信愈透明就愈安全，政策制度者应该作出基于数据的决策，来决定他们愿意承担哪些风险，该公司的分析显示华为设备的确对用户带来高度安全风险，且华为处于5G主导地位的身份更特别令人担忧。