【文/觀察者網(wǎng) 谷智軒】

上月底，美國俄亥俄州網(wǎng)絡(luò)安全公司Finite State（下稱，F(xiàn)公司）流出的一份報告稱，與競爭對手的設(shè)備相比，華為設(shè)備更有可能存在可以被黑客惡意利用的漏洞。

《華爾街日報》7月5日報道稱，這份報告在公開發(fā)布前，已經(jīng)在特朗普政府高級官員中廣泛流傳。這些官員認為，F(xiàn)inite State的研究是可信的，進一步證實了美方有關(guān)“華為威脅國家安全”的立場。

對于上述報告，華為本月初發(fā)布數(shù)千字長文予以駁斥，表示F公司的研究“缺乏洞察力、完整性和準確性”，其使用的方法“存在嚴重的操作和技術(shù)缺陷，測試缺乏中立性，報告嚴重失實”。

PSIRT，Product Security Incident Response Team，產(chǎn)品安全應(yīng)急響應(yīng)團隊。華為網(wǎng)站截圖

“對F公司有違常規(guī)的做法感到驚訝和失望”

具體來看，F(xiàn)公司稱其使用專有的自動化系統(tǒng)，分析了超過150萬份獨特的文件，這些文件嵌入在華為企業(yè)網(wǎng)絡(luò)產(chǎn)品線內(nèi)558種產(chǎn)品的近1萬個固件鏡像中。

報告稱，在華為設(shè)備中發(fā)現(xiàn)漏洞的比率遠遠高于競爭對手設(shè)備的平均水平，在被測試的固件鏡像中，有55%至少存在一個所謂“潛在后門”的漏洞，這類漏洞能讓了解相關(guān)固件和密鑰的攻擊者登入設(shè)備。

這份報告包含了一個研究案例——將華為一款高端網(wǎng)絡(luò)交換機與美企Arista Networks和Juniper Networks的類似設(shè)備做了比較。研究稱，在九個比較類別中，華為的設(shè)備在六個類別上含有更高的風(fēng)險因素，而且整體上高出不少。

對于上述情況，華為在《華為PSIRT：〈Finite State供應(yīng)鏈評估〉的技術(shù)分析報告》一文中指出，2019年6月26日，F(xiàn)公司在其官方網(wǎng)站公布華為技術(shù)有限公司的《供應(yīng)鏈評估》報告，該報告重點描述了其使用固件（二進制軟件包）靜態(tài)分析工具，分析了華為企業(yè)網(wǎng)絡(luò)500多個產(chǎn)品，并對華為的CE12800和Juniper的EX4650、Arista的7280R產(chǎn)品做了對比分析，結(jié)果認為華為產(chǎn)品安全性差、有疑似后門，安全性低于友商。

華為CE12800系列交換機

“我們對F公司有違常規(guī)的做法感到驚訝和失望。我們無法確認F公司軟件獲取的渠道是否合法，也不能保證其獲取軟件的完整性，同時華為也未曾收到F公司的任何溝通請求。他們也沒有通過華為了解這些產(chǎn)品，并拒絕在公布前將報告提供給華為。遺憾的是，這意味著這份報告缺乏洞察力、完整性和準確性，F(xiàn)公司的這種做法也不是一個專業(yè)、認真、有能力的安全公司通常的做法?！?

文章進一步指出，鑒于F公司的做法及其工具和方法的不足，其分析結(jié)果，最好的情況下是種質(zhì)疑，最差的情況下就是不準確的。若是通過合作而不是在安全方面選擇政治立場的話，這本應(yīng)是可以避免的。

CEO曾經(jīng)手國防、情報界相關(guān)合同

值得注意的是，華為還對F公司及其CEO馬特?懷克豪斯（Matt Wyckhouse）的目的提出了質(zhì)疑，“為何他們沒有選擇市場領(lǐng)導(dǎo)者Cisco公司的產(chǎn)品來做比較，為何評估的是華為產(chǎn)品的老版本，發(fā)現(xiàn)的是已經(jīng)在新版本中修復(fù)的問題?！?

而對于懷克豪斯的背景，《華爾街日報》此前已挖掘了一番。

在2017年與他人聯(lián)合創(chuàng)辦F公司之前，懷克豪斯曾為俄亥俄州Battelle研究所工作了13年，該機構(gòu)號稱是一家“私營的、非營利的應(yīng)用科學(xué)技術(shù)公司，從事私營和公共領(lǐng)域的研究工作”。

在Battelle研究所工作期間，身為計算機科學(xué)家的懷克豪斯曾效力于該機構(gòu)的國家安全部門，這個部門負責(zé)處理美國國防界和情報界相關(guān)的合同。

懷克豪斯稱，F(xiàn)公司針對華為的報告是“公益性的、不代表任何政府”，“我們希望5G是安全的”。

華為方面則表示，“F公司花費幾個月時間進行了一項有問題的分析，而華為PSIRT（產(chǎn)品安全應(yīng)急響應(yīng)團隊）在公布報告后第一時間對報告中提到的所有問題進行了調(diào)查，我們認為F公司的方法存在嚴重的操作和技術(shù)缺陷，測試缺乏中立性，報告嚴重失實?！?

需要提及的是，盡管懷克豪斯仍然堅稱“華為的漏洞是廣泛存在的”，但相關(guān)報告并沒有指責(zé)華為故意在產(chǎn)品中植入漏洞。

不過，對于F公司在報告中大量使用“潛在后門”一詞，華為表示這種語言是“情緒化、夸大性的”。

“任何一家安全公司，如果在僅經(jīng)過工具的掃描，未在產(chǎn)品上進行實際驗證，甚至對產(chǎn)品、產(chǎn)品架構(gòu)及環(huán)境根本不了解的情況下，就聲稱發(fā)現(xiàn)大量后門和未修補的嚴重漏洞，是無法讓人信賴的。”華為方面表示。

事實上，針對產(chǎn)品相關(guān)的安全漏洞信息，華為早已建立了產(chǎn)品安全應(yīng)急響應(yīng)團隊（PSIRT）。一旦確認漏洞，PSIRT會及時將信息傳遞給受影響產(chǎn)品的團隊，并積極跟蹤直至問題解決。

華為建立并實施了一套分層的端到端網(wǎng)絡(luò)安全評估流程，確保在各階段（概念、設(shè)計、開發(fā)、直到在全球客戶網(wǎng)絡(luò)中部署和維護）都對產(chǎn)品進行審視，以發(fā)現(xiàn)潛在的安全問題。

本文系觀察者網(wǎng)獨家稿件，未經(jīng)授權(quán)，不得轉(zhuǎn)載。