Skip to main content

5 Oct, 2018

Rapport: La Chine aurait inséré des puces espions dans des serveurs fabriqués la société Supermicro et utilisés par Apple et Amazon

Rapport: La Chine aurait inséré des puces espions dans des serveurs fabriqués la société Supermicro et utilisés par Apple et Amazon

La Chine a secrètement inséré des puces de surveillance dans des serveurs utilisés par de grandes entreprises technologiques, notamment Apple et Amazon.com, dans le cadre d’une opération militaire audacieuse susceptible d’alimenter les tensions commerciales entre les États-Unis et sa principale source de composants et produits électroniques, a annoncé Bloomberg Businessweek.

L’article décrivait en détail des années d’effort pour installer les puces de surveillance dans des serveurs dont les cartes mères – le cerveau des puissants ordinateurs – avaient été assemblées en Chine. Une entreprise touchée avait ses serveurs utilisés par des clients du gouvernement américain, notamment des centres de données du Département de la défense, des navires de guerre de la marine et la CIA dans ses opérations de drones.

D’après le rapport, l’étendue des données collectées par la Chine à partir des puces de surveillance n’était pas claire et aucune information des consommateurs n’avait été volée, selon Bloomberg Businessweek. Mais il est précisé qu’une enquête top secrète du gouvernement américain, datant de 2015 et impliquant le FBI, reste ouverte.

L’opération, que Bloomberg Businessweek a attribuée à une unité militaire chinoise spécialisée dans le piratage informatique, a consisté à insérer une micropuce minuscule et anodine sur des cartes mères dans des serveurs produits par Supermicro, l’un des principaux fournisseurs de ces équipements, basé à San Jose. La société est américaine mais les cartes mères ont été assemblées principalement en Chine.

Supermicro a déclaré: « Nous ne sommes au courant d’aucune enquête sur ce sujet et aucun organisme gouvernemental ne nous a contactés à ce sujet. »

La société de San Jose, qui a également déclaré n’avoir jamais trouvé de puces malveillantes ni avoir été informée par aucun de ses clients de la découverte de telles puces, a ajouté que cette pratique n’était pas unique: «La fabrication de cartes mères en Chine n’est pas unique en son genre pour Supermicro et est une pratique standard de l’industrie. Presque tous les fournisseurs de systèmes utilisent les mêmes sous-traitants. ”

L’histoire cite 17 sources anonymes, y compris des initiés de l’industrie et des responsables américains actuels et anciens. Le gouvernement chinois, Apple, Amazon et d’autres sociétés impliquées ont contesté le rapport auprès Bloomberg Businessweek, et les responsables des services de renseignements du FBI et des États-Unis ont refusé de commenter.

Un responsable américain a déclaré jeudi matin au Washington Post que les reportages de Bloomberg Businessweek étaient précis. Cette personne a parlé sous condition d’anonymat pour discuter de sujets non approuvés pour publication.

Les révélations ont eu lieu quelques heures à peine avant que le vice-président Mike Pence ne prononce une réprimande brutale contre la Chine lors d’un discours prononcé à l’Institut Hudson de Washington. Mike Pence devait émettre toute une série de critiques sur ce que les administrations Trump considèrent comme le comportement de plus en plus agressif de la Chine, notamment les allégations du président Trump la semaine dernière selon lesquelles le pays se mêle des élections de mi-mandat aux États-Unis.

Les États-Unis et la Chine sont aux prises avec une guerre commerciale âpre et croissante, au cours de laquelle des centaines de milliards de produits américains et chinois sont soumis à des droits de douane.

Les cas signalés de manipulation de chaînes d’approvisionnement électronique par des entreprises américaines vont certainement alourdir les questions de longue date sur la relation cruciale mais difficile entre les deux principales économies mondiales. Les entreprises américaines conçoivent et vendent des produits technologiques de pointe, tels que des serveurs, des ordinateurs portables et des smartphones, mais ils sont construits et assemblés en grande partie en Chine.

Les responsables américains s’inquiètent depuis longtemps de la possibilité que des micropuces altérées ou d’autres composants soient secrètement insérés dans des produits et expédiés aux États-Unis et ailleurs, ouvrant la voie à l’espionnage à long terme des utilisateurs d’ordinateurs et de leurs réseaux d’information.

La surveillance à l’aide de matériel modifié est plus difficile à réaliser que des piratages informatiques plus familiers, mais les résultats peuvent être plus difficiles à corriger, car les composants doivent être détectés et physiquement supprimés, ou l’utilisation du matériel doit être interrompue. Les micropuces de surveillance auraient pu se connecter à des ordinateurs extérieurs et télécharger secrètement des logiciels pour contourner les protections de sécurité, telles que les mots de passe ou les clés de cryptage, stockées ailleurs sur les serveurs affectés, permettant ainsi l’espionnage informatisé à distance.

Apple et Amazon ont découvert les puces de surveillance en 2015 et pris des mesures pour remplacer les serveurs concernés, selon le rapport, qui décrit une coopération étroite entre les enquêteurs américains et les entreprises concernées. Selon le rapport, des dizaines d’entreprises pourraient avoir utilisé des serveurs sabotés dans leurs centres de données avant que l’opération chinoise ne soit détectée.

Jeudi matin, Apple a fait référence au Washington Post de sa déclaration dans l’affaire Bloomberg Businessweek, alléguant que les informations communiquées étaient inexactes.

« Apple n’a jamais trouvé de puces malveillantes, de » manipulations matérielles « ou de vulnérabilités intentionnelles sur un serveur. Apple n’a jamais eu aucun contact avec le FBI ni aucune autre agence à propos d’un tel incident. Nous ne sommes au courant d’aucune enquête du FBI, pas plus que nos contacts avec les forces de l’ordre »

Une source informée de la situation a informé cette agence de presse qu’Apple ne fait plus affaire avec Supermicro. Supermicro n’a pas renvoyé de demande de commentaire sur ses relations avec Apple et Amazon.

Le rapport Bloomberg Businessweek a également cité le démenti de la communication par Amazon Web Services, une filiale de services de cloud computing d’Amazon, qui a acquis en 2015 une société, Elemental, dont les serveurs auraient été affectés par l’opération chinoise.

« Il est faux qu’AWS ait eu connaissance d’une compromission de la chaîne logistique, d’un problème de puces malveillantes ou de modifications matérielles lors de l’acquisition d’Elemental », indique la déclaration d’Amazon. « Il est également faux qu’AWS connaisse l’existence de serveurs contenant des puces malveillantes ou des modifications dans des centres de données basés en Chine, ou qu’AWS ait collaboré avec le FBI pour enquêter ou fournir des données sur du matériel malveillant. »

https://www.mercurynews.com/2018/10/04/report-china-inserted-surveillance-microchip-in-servers-used-by-amazon-apple/

https://www.bloomberg.com/news/features/2018-10-04/the-big-hack-how-china-used-a-tiny-chip-to-infiltrate-america-s-top-companies?srnd=technology-vp