The Intercept har publicerat delar av ett hemligt dokument som uppges bevisa att brittiska GCHQ, med hjälp av NSA, exploaterat åtminstone 13 olika buggar och svagheter i Junipers mjukvara. Dokumentet visar att de båda underättelseorganisationerna hade mycket god och detaljerad kännedom om de nu hittade buggarna.

Informationen finns publicerad i ett internt, hemligt dokument, “Assessment of Intelligence Opportunity – Juniper”, skriver The Intercept. I dokumentet finns information som anger hur brandväggar och annan säkerhetsutrustning ska kunna penetreras via säkerhetsbuggarna i mjukvaran.

While it does not establish a certain link between GCHQ, NSA, and the Juniper hacks, it does make clear that, like the unidentified parties behind those hacks, the agencies found ways to penetrate the “NetScreen” line of security products, whoch help companies create online firewalls and virtual private networks, or VPNs. It further indicates that, also like the hackers, GCHQ’s capabilities clustered around an operating system called “ScreenOS,” whoch powers only a subset of products sold by Juniper, including the NetScreen line.

Naivt att tro

Mot bakgrund av den nu pågående debatten om bakdörrar och sämre kryptering så visar buggarna i Junipers mjukvara tydligt de enorma riskerna med att installera bakdörrar i säkerhetsutrustning. Kan myndigheter och underättelseorganisationer använda de här bakdörrarna så kan precis och exakt just de som bakdörrarna är avsedda att skydda mot, brottslingar och terrorister, också göra det. Dessutom har buggarna varit kända ända sedan 2011 då dokumentet upprättades, vilket innebär att skattefinansierade organisationer som ska skydda samhället valde att tiga om allvarliga säkerhetsbrister i närmare fyra år.

Det vore naivt att anta att NSA och GCHQ skulle vara de enda som kände till buggarna. Har USA och Storbritannien informationen så kan den även ha nått Nordkorea, Kina, Syrian eller någon annan diktatur.

Ett hot

I dokumentet är det också intressant att konstatera att Junipers mjukvara och investeringar i att förbättra sin säkerhet anges som ett ’hot’. Ett företags inveseringar i bättre säkerhet, bättre kryptering och säkrare produkter är i NSAs och GCHQs ögon inte produktutveckling – det är ett hot mot deras verksamhet.

“The threat comes from Juniper’s investment and emphasis on being a security leader,” the document says. “If the SIGINT community falls behind, it might take years to regain a Juniper firewall or router access capability if Juniper continues to rapidly increase their security.”

The Intercept