Afluisteren
In een Chinese bunker ontdekte KPN ‘ernstige kwesties’ bij Huawei, maar de samenwerking bleef
In 2013 ontdekte KPN ernstige veiligheidsmankementen in het Huawei-apparaat dat het mobiele belverkeer verwerkt. Dat was echter geen reden om een andere partner te zoeken.
In maart 2013 stapte Jesse Helder, technisch veiligheidsspecialist van KPN, in het vliegtuig naar China. Hij deed onderzoek naar het apparaat dat al het dataverkeer op het mobiele netwerk verwerkt. Twee ethische hackers van het telecombedrijf hadden deze Uniform GateWay van leverancier Huawei al binnenstebuiten gekeerd. Ze vonden meerdere gebreken in de beveiliging.
Nu wilde KPN de computercode van het apparaat analyseren. Huawei ging akkoord, op de voorwaarde dat dit onderzoek werd verricht op het bedrijfsterrein in Shenzhen, China. Daar aangekomen kreeg Helder toegang tot een strikt beveiligd en spiksplinternieuw Cyber Security Center. Het KPN-team kon de computercode bekijken in een soort bunker, met een laboratorium om te testen. Technici van Huawei bleven in de buurt.
Alarmerend rapport
In 2010 had KPN in een alarmerend rapport van consultancybedrijf Capgemini al kunnen lezen dat Huawei-technici ongecontroleerde toegang hadden verkregen tot het telefoonverkeer van alle KPN-klanten, zoals de Volkskrant zaterdag meldde. Huawei zou hierbij de afspraken met KPN hebben geschonden.
Maar drie jaar later zat Huawei nog altijd in het hart van grote KPN-projecten, zoals het klant- en facturatiesysteem, dat alle belgegevens bevat. KPN vertrouwde op Huawei bij het verbinden van datacenters en in de kern van het mobiele telefoonnetwerk. Dat is overigens nog altijd het geval.
De geopolitieke risico’s van de afhankelijkheid van Chinese technologie waren inmiddels bekend. In de VS was in 2012 een overheidsrapport verschenen over de bedreiging van de nationale veiligheid door Chinese telecomleveranciers. De Tweede Kamer stelde daar vragen over. Als vaste afnemer moest KPN antwoorden vinden die de zorgen van klanten en de politiek konden wegnemen. Vandaar die reis naar China.
Er zijn ‘veel goedkopere en minder opvallende manieren’ om aan data te komen
Twee weken duurde het onderzoek in Shenzhen. Dat was te kort om alle broncodes van het apparaat te bekijken. “Ja, er was ruimte voor verbeteringen, en ja, sommige kwesties waren ernstig”, noteerde Helder over dat cruciale apparaat in het mobiele netwerk.
Dit was voor KPN geen reden om te stoppen met Huawei. Waarschijnlijk zouden we vergelijkbare kwetsbaarheden in de apparatuur van andere leveranciers aantreffen, opperde Helder. “Natuurlijk kan het een strategie zijn van een overheid om spionage-software in de apparatuur van verkopers uit hun land te bouwen”, schreef hij. Maar hoe efficiënt is dat? Er zijn ‘veel goedkopere en minder opvallende manieren’ om aan data van telecombedrijven te komen. Bijvoorbeeld door zwakke plekken op computerservers te misbruiken.
Telecombedrijven en hun leveranciers moeten samenwerken om zich te wapenen tegen de schurken, vond Helder. Maar wat als die partner niet helemaal te vertrouwen is? Dit weekend benadrukte KPN dat het zijn systemen regelmatig op potentiële risico’s en bedreigingen onderzoekt. “We nemen voortdurend maatregelen om de veiligheid verder te verbeteren. Dat was in het verleden en is ook vandaag de dag een integraal onderdeel van ons securitybeleid.”
Bij veel telecombedrijven is de technische expertise wegbezuinigd, zeggen critici
In grote mate zijn telecombedrijven afhankelijk geworden van hun leveranciers. Huawei en zijn concurrenten verzorgen niet alleen de apparatuur, maar ook het netwerkbeheer en het onderhoud. Dat gebeurt deels vanuit lagelonenlanden, waar het personeel bij calamiteiten op Europese netwerken kan inloggen. Bij veel telecombedrijven is de technische expertise wegbezuinigd, zeggen critici. De marketingafdeling was belangrijker.
“Het enige wat China zou hoeven doen om onze communicatie te ontregelen, is het onderhoud aan onze netwerken te staken”, schreef telecomdeskundige Bert Hubert vorig jaar over de Europese afhankelijkheid.
Het ministerie van economische zaken werkt aan wetgeving die voor meer toezicht zorgt op die externe dienstverleners. De laatste jaren heeft de Nederlandse overheid de regels al aangescherpt voor telecombedrijven die apparatuur uit ‘verdachte’ landen halen. Dat heeft ook gevolgen voor KPN, dat bij de aanleg van 5G nauw samenwerkt met Huawei.
Terug uit China publiceerde Jesse Helder zijn verslag in het rapport ‘Cyber Security Perspectives’ en gaf een belangrijke waarschuwing - hij was binnen KPN inmiddels de rechterhand van toenmalig chief information security officer Jaya Baloo. “Onthoud dat het onmogelijk is om netwerken en diensten te beschermen tegen indringers die over onbeperkte middelen en tijd beschikken.”
Huawei kon meeluisteren met premier Balkenende
Huawei heeft ongecontroleerde toegang gehad tot het hart van het mobiele netwerk van KPN. Medewerkers van het Chinese concern konden meeluisteren met alle gesprekken, ook die van premier Balkenende. Verder konden ze zien wie er door de overheid werd afgeluisterd. Dit meldt de Volkskrant op basis van een vertrouwelijk rapport van Capgemini uit 2010. “Deze ongecontroleerde en ongeautoriseerde toegang vanuit China heeft na 28 oktober 2009 ook daadwerkelijk plaatsgevonden”, schreef het consultancybureau.
Huawei Nederland zegt het rapport niet te kunnen inzien, omdat het volgens KPN vertrouwelijk is. “De aantijging dat de minister-president kon worden afgeluisterd door ons is volstrekt ongeloofwaardig.” De betreffende Huawei-werknemers waren ingehuurd door KPN en vielen dus onder verantwoordelijkheid van het telecombedrijf, zegt Huawei.
KPN zegt in een reactie dat geen enkele leverancier ongeautoriseerde en ongecontroleerde toegang heeft tot de netwerken en systemen, of in staat is om KPN-klanten af te luisteren of aftapinformatie in te zien. Naar aanleiding van het Capgemini-rapport uit 2010 is een verbeterplan opgesteld en uitgevoerd.
Lees ook:
Het Chinese Huawei in het hart van ons internet: is dat wel zo verstandig?
Datacenters en andere internetbedrijven maken volop gebruik van apparatuur van het omstreden Chinese bedrijf Huawei. Moeten zij op zoek naar een andere leverancier? ‘De markt verkeert in onzekerheid.’
Huawei heeft toegang tot vertrouwelijke klantdata van KPN
KPN staat niet toe dat Huawei het 5G-netwerk bouwt, maar KPN is voor zijn computerprogramma’s al jaren afhankelijk van Huawei, dat in de VS op de zwarte lijst is gezet. De Chinezen kunnen zo bij vertrouwelijke klantinformatie van het Nederlandse telecombedrijf.
Opnieuw blijkt dat het Chinese bedrijf Huawei overal bij kan op het netwerk van partner KPN
Hoewel beide bedrijven steevast ontkennen, blijkt opnieuw dat het Chinese bedrijf Huawei overal bij kan op het netwerk van partner KPN.
