I torsdags avslöjades ett av årets största säkerhetshaverier. Någon har gömt spionprogram och bakdörrar i nätverksföretaget Junipers källkod – och de har funnits där i åtminstone två år.
Den ena säkerhetsbristen gör det möjligt att logga in på vilket konto som helst i Junipers operativsystem Screen OS. Allt du behöver är ett giltigt användarnamn, och det lösenord som gömts i källkoden. Kort sagt: kan du det magiska ordet kommer du åt i princip vilken enhet som helst som kör rätt version av Screen OS.
Läs också: Ännu fler inbyggda säkerhetsrisker – nu i datorer från Lenovo, Dell och Toshiba
Den andra hemligheten är ett spionprogram som kan avlyssna och dekryptera all vpn-trafik. Inloggningar med lösenordet sparas i loggfilerna, men enligt Juniper finns det inget sätt att veta om vpn-bakdörren utnyttjas.
Säkerhetsföretaget Rapid7 har analyserat Screen OS källkod och kunnat hitta bakdörrarna så tidigt som i slutet av 2013. Det hemliga lösenordet (”<<< %s(un='%s') = %u”) är utformat för att se ut som en debuggkod, vilket kan vara en förklaring till att det inte upptäckts på flera år.
Med hjälp av sökmotorn Shodan har Rapid7 hittat över 26 000 uppkopplade Juniper-enheter som är sårbara.
Samtidigt återstår många frågor. Varför tog det två år att upptäcka bakdörrarna? Vem lade in dem? Och hur gick det till? En tänkbar förklaring är att någon underrättelsetjänst ligger bakom koden.
– Svagheterna i vpn-anslutningar som tillåter passiv dekryptering är bara till nytta för nationella underrättelsetjänster som den brittiska, amerikanska, kinesiska eller israeliska. Du måste ha avlyssningsanordningar på nätet för att de ska vara en lönsam ändring [i mjukvaran], säger säkerhetsforskaren Nicholas Weaver vid Berkeleyuniversitetet till Wired.
2013 publicerade tyska Der Spiegel en katalog över NSA:s spionprogram. Där beskrivs bland annat en bakdörr in i Junipers utrustning, men den stämmer inte riktigt överens med de säkerhetsbrister som upptäckts nu.
Läs också: Babymonitorer är en barnlek att hacka - nytt larm från säkerhetsexperter
Många har också spekulerat i huruvida Juniper själva byggt in bakdörrarna i sitt operativsystem. Men i ett uttalande till Wired nekar företaget till anklagelserna.
– För att förtydliga: vi har inte jobbat ihop med myndigheter eller någon annan för att medvetet bygga in svagheter i våra produkter. Så fort koden upptäcktes började vi jobba på en lösning och meddela kunderna om problemet, skriver Juniper.
Juniper har också fått beröm för att de varit ärliga och tydliga med säkerhetsbristerna.
– Jag tycker att Juniper handlat rätt och riktigt. Jag misstänker att den här incidenten kommer att leda till interna säkerhetsgranskningar i hela branschen, och att den kommer att få Juniper att genomföra drastiska förändringar av hur de granskar sin kod, skriver Rapid7:s säkerhetschef HD Moore i ett mejl till IDG News.
Juniper har släppt en uppdatering som raderar bakdörrarna, som finns inbyggda i Screen OS-versionerna 6.3.0r12 fram till 6.3.0r20. Om du har någon av de versionerna bör du omedelbart uppdatera mjukvaran.
