華為表示，該員工提交的代碼是其個人項目的一部分，其行為并不代表公司。
華為周一斷然否認(rèn)官方參與上周末向Linux內(nèi)核項目提交不安全補(bǔ)丁的行為，該補(bǔ)丁帶來了一個“輕而易舉就能利用的”漏洞。
周日這個有缺陷的補(bǔ)丁通過郵件列表提交給了官方的Linux內(nèi)核項目。該補(bǔ)丁名為HKSP（華為內(nèi)核自我保護(hù)），據(jù)稱為Linux內(nèi)核引入了一系列加強(qiáng)安全的選項。
在各自的數(shù)據(jù)中心和在線服務(wù)中大量使用Linux的大型科技公司常常向Linux內(nèi)核提交補(bǔ)丁。眾所周知，谷歌、微軟和亞馬遜等公司都貢獻(xiàn)了代碼。
周日，提交HKSP引發(fā)了Linux社區(qū)的普遍關(guān)注，這可能表明華為希望為官方內(nèi)核做出貢獻(xiàn)。因此，該補(bǔ)丁立即受到了相關(guān)人員的嚴(yán)格審查，其中包括Grsecurity的開發(fā)團(tuán)隊，該項目為Linux內(nèi)核提供了自己的一系列加強(qiáng)安全的補(bǔ)丁。
Grsecurity團(tuán)隊在同一天發(fā)表的一篇博文（完整內(nèi)容：https://grsecurity.net/huawei_hksp_introduces_trivially_exploitable_vulnerability）中表示，該團(tuán)隊發(fā)現(xiàn)HKSP補(bǔ)丁在內(nèi)核代碼中引入一個“輕而易舉就能利用的”漏洞——如果該補(bǔ)丁得到批準(zhǔn)的話。
并稱，該補(bǔ)丁提交者身份是華為L20首席安全專家。
種種謠言和陰謀論幾乎立馬在網(wǎng)上甚囂塵上，紛紛指責(zé)華為企圖在Linux內(nèi)核中偷偷引入安全漏洞。
（鏈接：https://news.ycombinator.com/item?id=23137041）
在當(dāng)今錯綜復(fù)雜的政治環(huán)境下，這種指責(zé)既毫無新意也不令人驚訝。在過去這幾年，華為多次被指控在其網(wǎng)絡(luò)設(shè)備中植入后門；面對這些指控，華為一直矢口否認(rèn)，或者試圖在Twitter視頻中加以解釋。
然而，華為在周一發(fā)表的一份聲明中表示，盡管該項目在標(biāo)題中使用了華為這個名字，并且該項目確實由華為的一位知名安全工程師開發(fā)，但該公司并未正式參與HKSP項目。
華為表示，該項目是由這位工程師創(chuàng)建并提交給Linux內(nèi)核項目的，并沒有得到公司的官方支持，而且HKSP代碼也從未實際用于華為的任何官方產(chǎn)品中。
華為聲稱：“這只是員工個人與開源社區(qū)Openwall進(jìn)行技術(shù)討論所使用的演示代碼而已?！?/section>
周一HKSP項目也做出更新，華為的這名員工附加了一段類似的免責(zé)聲明。
華為員工編寫的代碼里面含有安全漏洞，這種事并不新鮮。英國政府去年的一份報告發(fā)現(xiàn)，華為網(wǎng)絡(luò)設(shè)備充斥著許多安全漏洞，這些漏洞常常好幾年都沒有收到補(bǔ)丁。
https://www.openwall.com/lists/kernel-hardening/2020/05/10/3
https://github.com/cloudsec/hksp
https://www.openwall.com/lists/kernel-hardening/2020/05/11/2
https://grsecurity.net/huawei_hksp_introduces_trivially_exploitable_vulnerability
絡(luò)服務(wù)商&site=cntaobao&s=1&charset=utf-8)
