Maailmalla levisi kulovalkean tavoin uutinen siitä, että kiinalainen Espressif olisi ujuttanut takaportin jopa miljardiin markkinoilla olevaan Bluetooth-piiriinsä. Laineiden vähän laskettua voidaan todeta, että kyse on suurimmalta osin uutisankasta.
Espressif on toki osoittanut huonoa suunnittelukäytäntöä sisällyttämällä dokumentoimattomia komentoja suosittuun langattomaan IoT-piiriperheeseensä ESP32. Valitettavasti moni muu on tehnyt samoin, joten löydöstä on aika lailla perusteetonta kutsua takaportiksi tai tietoturva-aukoksi.
Kyberturvallisuustutkijat Tarlogic-yrityksestä havaitsivat tuntemattomia komentoja ESP32:ssa analysoimalla suunnittelua takaperin. Komennot tarjoavat laitetason pääsyn muun muassa muistiin. Tarlogic kutsui näitä komentoja tiedotteessaan takaoveksi, ja aihe sai paljon huomiota, kun uutissivusto Bleeping Computer nosti sen esiin.
Tällaisia komentoja käytetään hyvin yleisesti mikropiirien kehitysvaiheessa. Hyvän suunnittelukäytännön mukaista on estää ne tuotantoversiossa. Espressif ei kuitenkaan ole ensimmäinen, joka on jättänyt tämän tekemättä. Myös Broadcom, Cypress ja Texas Instruments ovat toimineet samoin.
Saatuaan kritiikkiä muun muassa Xeno Kovahilta, entiseltä Applen asiantuntijalta, Tarlogic on myöhemmin poistanut sanan ”takaovi” lehdistötiedotteestaan. Tarlogic on ennemminkin nostanut esiin alan yleisen ongelman kuin paljastanut Espressifin virheen.
Olisi tietenkin toivottavaa, että Espressif julkaisisi oman dokumentaationsa näistä komennoista ja niiden käytöstä sekä kertoisi mahdollisista riskeistä ja siitä, miten suunnittelijat voivat niitä hallita.
Lähde: Elektroniktidningen