周四，一篇文章发表在彭博商业周刊声称中国武装部队，即解放军，秘密地将微芯片安装在运往美国政府和武装部队网络以及顶级科技公司的服务器主板上。
据称，这些微芯片将为中国军方提供获取全球服务器上一些最敏感信息的后门。
如果属实，这将构成巨大的安全漏洞。
这是一个高风险国际戏剧的奇怪故事。 事实上，这些公司、中国政府甚至美国政府都强烈否认发生过这一切。 彭博社对事件的描述已经引起了激烈的争论。
那么，这是怎么发生的呢？ 谁参与其中？ 这对你来说意味着什么？
Microchip 黑客攻击——谁是攻击目标？
苹果和亚马逊等大型科技公司，以及美国政府、武装部队和情报部门最受关注。 据称，所有这些都成为了涉及中国种植微芯片的黑客攻击的目标。布隆伯格报告。 然而，故事要从两家规模较小的硬件供应商开始：Elemental 和 Supermicro。
Elemental 是网络级视频压缩领域的领先公司之一。 这听起来很复杂，但它的智能是您可以在手机上观看高清视频的主要原因之一。 据报道，它还为美国情报部门压缩视频通信，特别是处理中央情报局的无人机镜头。布隆伯格。
Elemental 通过将其视频压缩服务器放置在客户的内部网络上来为其客户压缩视频。 这些服务器是一家名为 Supermicro 的美国公司制造的。布隆伯格声称，尽管该公司在加利福尼亚州圣何塞开展业务，但它与中国有着密切的文化联系，该公司是由一名前往美国的台湾移民创立的，并且仍然由中国和台湾本地人组成。 然而，这些看起来像是偶然的事实，而不是更实质性的事实。
2015 年，亚马逊考虑收购 Elemental，以促进其点播视频服务（现称为 Amazon Prime）的创建。
在尽职调查期间，亚马逊聘请了安大略省的一家第三方公司来评估 Elemental 服务器的安全性。 据介绍，这次安全评估“发现了一个微小的微芯片，比一粒米大不了多少，这不是主板原始设计的一部分”布隆伯格。 这就是所谓的恶意 PLA 植入芯片。
薯片是如何种植的？
网络安全是一项复杂的业务。 黑客事件可能是极其复杂，充满行话和复杂的术语。 然而，这一事件在某些方面更为直接，因此也更令人担忧。
中国是世界领先的电子产品生产国。 自上世纪九十年代美国公司开始将制造业务外包给成本更低的中国市场以来。 因此，运行公司网络和服务器的大部分硬件都是在中国制造的。
超微则将其服务器制造外包给在上海和台湾运营的公司。
彭博社该报告基于多个匿名消息来源，据称这些消息来源是美国高级官员。 据这些消息来源称，中央情报局一直在监视解放军内部专门从事硬件攻击的一个部门：
“这个组织的存在以前从未被揭露过”，但一位官员表示，“我们追踪这些人的时间比我们愿意承认的要长。”
建议该组织在暗处运作，利用中国官员、中间人以及与解放军间接相关的人员渗透工厂。
“当特工们监控中国官员、主板制造商和中间商之间的互动时，他们了解到了播种过程是如何运作的。 在某些情况下，自称代表 Supermicro 或担任暗示与政府有联系的职位的人会与工厂经理接触。 中间商会要求更改主板的原始设计，最初会根据他们不寻常的要求提供贿赂。 如果这不起作用，他们就会威胁工厂经理进行检查，可能会关闭他们的工厂。 一旦安排到位，中间商就会组织将芯片运送到工厂。”
然后这些主板将被送回 Supermicro，然后送到 Elemental，后者将其代码添加到服务器中，然后出售给包括 CIA 在内的客户。
恶意微芯片的大小
微芯片黑客事件何时发生？
据报道，当亚马逊在“2015 年春末”收到 Elemental 服务器安全评估结果时，立即向美国政府发出警报。布隆伯格。
然而，布隆伯格声称美国情报部门意识到主板制造面临的特定潜在威胁：
“美国情报来源报告说，中国间谍计划将恶意微芯片引入供应链。 据一位熟悉所提供信息的人士称，消息来源并不具体……但在 2014 年上半年，另一位了解高层讨论情况的人士表示，情报官员带着更具体的信息前往白宫：中国军方正准备将这些芯片插入运往美国公司的超微主板中。”
然而，安全部门选择不采取任何行动，因为“向 Supermicro 的客户发出广泛的警告可能会导致该公司陷入瘫痪”，并且“从情报中尚不清楚该行动的目标是谁或其最终目标是什么。” 另外，在没有确认有人受到攻击的情况下，联邦调查局的应对方式受到限制。”
据报道，苹果公司在“2015 年 5 月”左右在 Supermicro 服务器内发现了可疑芯片。布隆伯格的来源。 与亚马逊一样，苹果公司向联邦调查局报告了这一发现，但“严格保留了所发现内容的详细信息，甚至在内部也是如此。” 另一方面，亚马逊则更愿意让联邦调查局访问受损的硬件。
就背景而言，奥巴马总统和中国国家主席习近平于 2015 年 9 月达成协议，两国均不会进行知识产权网络盗窃行为。 然而，就在该协议宣布几周后，美国政府就与科技公司讨论了安全威胁：
“美国政府在五角大楼在弗吉尼亚州麦克莱恩组织的一次小型、仅限受邀者参加的会议上悄悄向数十名科技高管和投资者发出了警报。 据在场人士称，国防部官员向技术人员简要介绍了最近的一次攻击，并要求他们考虑创建可以检测硬件植入的商业产品。 该人士表示，与会者没有被告知所涉及的硬件制造商的名称，但至少房间里的一些人很清楚它是 Supermicro。
那为什么现在才出来呢？ 很难说，但是布隆伯格声称已经调查此案一年多了，所以这可能只是举报的结果，或者是花了这么长时间才完全调查和了解的泄密结果。
为什么会发生这种情况？
正如我们上面提到的，这与您听到的大多数黑客故事不同。 大多数是软件级黑客攻击，涉及利用或发现系统中的漏洞。 然而，这些黑客行为很容易被发现并轻松应对。
硬件级黑客攻击，如中报道的那样布隆伯格，允许对系统或网络进行更大的访问，在这种情况下将允许对通过服务器传递的数据进行无与伦比的访问：
“熟悉调查的官员表示，此类植入的主要作用是打开其他攻击者可以通过的大门。 正如一位前高级官员所说，“硬件攻击与访问有关”。 两位熟悉芯片操作的人士表示，简单来说，超微硬件上的植入物操纵了核心操作指令，这些指令告诉服务器当数据在主板上移动时该怎么做。 这发生在一个关键时刻，因为操作系统的一小部分被存储在主板的临时内存中，并传输到服务器的中央处理器（CPU）。 植入物放置在主板上的方式使其能够有效地编辑此信息队列，注入自己的代码或改变 CPU 应该遵循的指令顺序。 看似微小的变化可能会造成灾难性的影响。”
然而，目前尚不清楚黑客到底想要获取什么样的信息。 显然，访问大公司的服务器可能有助于网络攻击——专家警告说，中国可能会这样做。 访问美国国防和情报服务器也可能是有利的，但同样，我们没有关于他们将如何处理这些数据的具体信息。
至关重要的是，没有证据表明任何政府或消费者数据被窃取。
这对你来说重要吗？
如果我们可以信任布隆伯格的报告（稍后会详细介绍）那么是的，这对您来说确实很重要。
首先，这进一步引发了人们对中国制造的怀疑。 继美国政府出于安全考虑禁止华为和中兴设备在美国销售后，这一事件将证明中国政府确实有能力损害私营部门的制造业。
其次，鉴于当前中美之间的贸易战，这种攻击可能会导致特朗普总统下令对更多商品加征关税。 这将导致消费者的价格进一步上涨，并且有可能更多美国企业咬紧牙关依赖中国制造的零部件。
我们可以相信彭博社的报告吗？
现在，问题来了。 当彭博社要求其置评时，涉案公司均发表了措辞强硬的回应。 Supermicro、苹果和亚马逊均表示，他们不了解受影响的设备。 就连中国外交部也对该商业刊物作出回应，声称中国和其他国家一样是供应链安全问题的受害者。您可以在这里阅读他们的所有声明。
在彭博社的文章发表后，苹果和亚马逊也分别发布了新闻稿。 苹果的标题是“《商业周刊》对苹果的误解是什么'并指出：
《商业周刊》发表的报道还声称，苹果公司“向联邦调查局报告了这一事件，但严格保留了所发现事件的详细信息，甚至在内部也是如此。
2017 年 11 月，在我们首次收到这一指控后，我们向彭博社提供了以下信息，作为冗长、详细、记录在案的回应的一部分。 它首先解决了记者关于所谓的内部调查的未经证实的说法：
“尽管多个团队和组织进行了多次讨论，但苹果公司没有人听说过这项调查。 《商业周刊》拒绝向我们提供任何信息来追踪所谓的程序或调查结果。 他们也没有表现出对据称被规避的标准程序的任何理解。 苹果公司没有人就此类问题向联邦调查局接触过，我们也从未从联邦调查局听说过此类调查，更不用说试图限制它了。”
亚马逊的声明标题为“纠正《彭博商业周刊》错误文章的记录”：
“正如我们在过去几个月中多次与彭博商业周刊分享的那样，这是不真实的。 无论过去还是现在，我们从未在任何 Elemental 或 Amazon 系统中发现与 SuperMicro 主板中的修改硬件或恶意芯片相关的任何问题。 我们也没有与政府进行调查。
这篇文章中有很多与亚马逊相关的不准确之处，以至于难以统计。”
如果苹果和亚马逊的这些回应属实，那么彭博社的整篇文章就会受到质疑。 彭博社则为其报道辩护：
“包括政府官员和公司内部人士在内的 7 名个人消息来源证实了对硬件和其他攻击要素的操纵……我们坚持我们的说法，并对我们的报道和消息来源充满信心。”
显然，对匿名消息来源的依赖远非理想，但彭博社在其原始文章中表示，这是为了保护他们的安全和隐私。 但即使故事有一半是真的，这仍然是一件大事。
更新：2018 年 10 月 5 日
英国数字情报机构 GCHQ 下属的国家网络安全中心发表声明支持苹果和亚马逊：
“我们了解媒体报道，但现阶段没有理由怀疑 AWS [亚马逊网络服务] 和 Apple 所做的详细评估……NCSC 与安全研究人员进行秘密接触，并敦促任何对这些报告有可靠情报的人与我们联系”。
更新：2018 年 10 月 8 日上午
美国国土安全部发布陈述彭博社 10 月 6 日的报道再次支持苹果和亚马逊：
“国土安全部了解媒体有关技术供应链妥协的报道。 与我们在英国的合作伙伴国家网络安全中心一样，目前我们没有理由怀疑报道中提到的公司的声明。”
更新：2018 年 10 月 8 日下午
苹果再次措辞强硬地拒绝布隆伯格的在致四名美国国会议员的信中提出的主张。您可以在这里阅读这封信。
“我们想向您保证，《彭博商业周刊》最近的一篇报道称我们的服务器遭到入侵并不属实。 你应该知道，彭博社没有向我们提供任何证据来证实他们的说法，而我们的内部调查得出的结论是，他们的说法完全是错误的……自从 2017 年 10 月彭博社记者首次联系我们以来，我们一直在努力查明他们的指控。 。
在报道这个故事的同时，我们与彭博社的记者和编辑进行了交谈，并回答了他们的所有问题。 我们有条不紊地驳斥了他们经常变化的主张。 虽然我们一再要求他们分享他们似乎确信存在的所谓恶意芯片的具体细节，但他们不愿意或无法提供比模糊的二手账户更具体的信息。”
