HCSEC eli Huawei Cyber Security Evaluation Centre on Huawein oma, jo yhdeksän vuotta Iso-Britanniassa toiminut yksikkö. Sen tehtävä on valvoa ja edistää Huawein tuotteiden laatua ja tietoturvaa brittioperaattoreiden käytössä. Nyt HCSEC on julkistanu kuudennen arvionsa.
Arvion mukaan Huawein verkkolaitteiden koodissa on edelleen vakavia puutteita. Tutkimuksessa viimeien vuoden aikana löytyi merkkejä huonoista koodauskäytännöistä. Raportin mukaan Huawei ei näytä täyttävän omia sisäisisä koodauksen sääntöjään.
Vaikka moniin aiemmin havaittuihin ongelmiin onkin tehty parannuksia, vuoden 2019 aikana HCSEC havaitsi useita kriittisisä haavoittuvuuksia Huawein reitittimissä. Esimerkiksi protokollan käsittelyssä oli heikkolaatuista koodia ja laitteissa oli vanhentuneita käyttöjärjestelmiä.
NCSC eli brittien kyberturvakeskus (National Cyber Security Centre ) vaati Huaweita kirjoittamaan reitittimien koodin uudelleen ja näin yhtiö tekikin. Yksi ongelma on Englannissa myytävien tuotteiden komponentit: tuotteissa käytetään vanhoja ja korvaavia komponentteja. Käytössä on vanhentunut reaaliaikakäyttöjärjestelmä, joka on kolmannen osapuolen toimittama
Viime vuonna Huaweita vaadittiin päivittämään tai vaihtamaan reitittimien piirikortteja. Vuoden 2019 loppuun mennessä näin oli tehty 17 prosentille kortteja. Ulkoinen RTOS eli reaaliaikakäyttöjärjestelmä oli korvattu Huawein omalla, Linux-pohjaisella RTOSilla.
Englantilaisten operaattorien verkoissa on HCSEC-raportin mukaan silti edelleen paljon piirikortteja, joissa on vanhentuneita komponentteja ja vanhentuneita RTOS-käyttöjärjestelmiä. Myöskään oman RTOS:n ylläpito ja päivitysohjelmaa ei ole NCSC:n mukaan laadittu kestävällä tavalla.
Huaweilla on käynnistetty jättimäinen projekti (2 miljardia dollaria viiden vuoden aikana), jossa yhtiön ohjelmistokehityksen prosessi uudistetaan vastaamaan nykyaikaisia vaatimuksia. HCSEC:n mukaan ei näytä vakuuttavasti siltä, että käynnissä olisi systemaattinen koodausprosessien uudistaminen. Joitakin parannuksia on tehty tuotetasolla.
Löydösten perusteella kyberturvakeskus NCSC päättelee, että Huaweilla on vielä paljon työtä edessään, jotta sen koodausprosessit ja sitä myötä ohjelmistojen laatu vastaa operaattoreille asetettuja tietoturvavaatimuksia. Huawei on tehnyt parannuksia, mutta kyse ei ole vielä systemaattisesta muutoksesta yrityksen organisaatiossa, raportissa todetaan. Tämän takia uusien tuotteiden tietoturvaa ei voida taata.
Tiettävästi tuotteissa löytyviä tietoturvaongelmia ei ole käytetty hyväksi missään verkkohyökkäyksissä. HCSEC:n mukaan mikään ei viittaa siihen, että löydetyissä puutteissa olisi kyse Kiinan valtion toimista tai vaikutuksista. Ongelma on heikossa ohjelmistokehityksessä ja kyberturvaprosesseissa.
Huawei on vastannut puutteisiin, että sen tuotteita tutkitaan selvästi enemmän kuin kenenkään muun toimittajan ohjelmistoja. Huawein mukaan sen kilpailijoiden tuotteisiin pitäisi kohdistaa yhtä tarkka seula ja tarkistusprosessi.
Tässä Huawei on tietysti oikeassa.
HCSEC-raporttiin voi tutustua täällä.
