”The West Finally Has Its Huawei Smoking Gun”.

Det var en av de rubriker nyhetsbyrån Bloomberg satte på sitt uppmärksammade reportage igår om sårbarheter som Huawei lämnat i Vodafones telenät.

Min första reflex var historien var sann – att Huawei verkligen planterat in bakdörrar i Vodafones nät för att spionera, precis som USA så länge anklagat Huawei för. Här var till slut det bevis som många krävt, bland dem Vodafone självt, som ogärna vill överge sina investeringar i Huaweiutrustning.

Men historien blev tunnare och tunnare.

Huawei instruerades att ta bort administrationsprogrammet Telnet ur Vodafones abonnentoutrar, men vid en senare kontroll fanns det kvar.

Det konkreta exempel som Bloomberg till slut ger är att Huawei mot Vodafones instruktioner underlät att avinstallera ett administrativt protokoll kallat Telnet från sin trådlösa hemmarouter Vodafone Station.

Huawei hade bara stoppat Telnet och hoppades att det skulle vara tillräckligt. Detta upptäckte Vodafone två månader efter att Huawei lovat att ta bort Telnet. Vodafones säkerhetschef Bryan Littlefair låter irriterad i en rapport daterad april år 2011.

– Det allvarliga är deras sätt att först gå med på att ta bort koden, och sedan försöka gömma den, och att de nu vägrar ta bort den eftersom de behöver ha den kvar av ”kvalitetsskäl”, skrev Bryan Littlefair.

– Tråkigt nog för Huawei med sin politiska bakgrund betyder den här händelsen att de gör det ännu svårare för sig själva att försöka bevisa sig vara en hederlig leverantör, skrev Bryan Littlefair.

En säkerhetsexpert säger till Bloomberg att den här sortens smusslande skulle kunna användas medvetet som metod för att installera en bakdörr i ett system.

– Sårbarheterna har alla kännetecken på en bakdörr: den går att förneka, den ger åtkomst och den tenderar att dyka upp igen i nya versioner av koden säger Stefano Zanero på tekniska universitetet i Milano.

Vodafones säkerhetschefs reaktion är rimlig. Telnet är ett gammalt protokoll som saknar säkerhet. Vodafone vill inte att någon av dess leverantörer använder det och Huawei borde ha skrivit om sin mjukvara så att det inte längre behövdes.

Men Telnet är inte en bakdörr i sig. Det är ett standardprogram som du får på köpet när du installerar operativsystemet. Det används traditionellt i bland annat hemmaroutrar, på samma sätt som Huawei gör.

Telnet kan typiskt användas generellt för att logga in på ett system och styra det. Detta plus det faktum Vodafone inte kände till att Telnet fanns där, är orsaken till att Bloomberg stämplar Telnet som en bakdörr. Telnet skulle teoretiskt kunna ha använts för att spionera på abonnenternas hemmanät och persondatorer. Men Bloomberg påstår inte att något intrång skett, bara att ”bakdörren” fanns där.

Enligt Huawei var Telnetporten inte åtkomlig från den sida av routern som kopplas till Internet, utan från den sida som kopplas till lokalnätet. Huawei skulle alltså inte ha kunnat använda den för att ge sig själv access till Vodafones nät.

Det var anonyma personer som ursprungligen berättade om händelsen. Men den har huvudsakligen bekräftats av både Huawei och Vodafone.

Huawei och Vodafone har bekräftat att Telnetprogrammet fanns i hemmaroutrarna mellan 2009 och 2011 i Italien, medan Bloombergs källor hävdar att det fanns även efter 2011 och dessutom även i Vodafones nät i Tyskland, Portugal, Storbritannien och Spanien.

När Bloomberg kontaktade Vodafone för att få händelsen bekräftad fick nyhetsbyrån som bonus en rapport om ytterligare två brister av liknande slag. Dessa ska ha funnits i det fasta accessnätet i OSN- och BNG-utrustning (optiska servicenoder och broadband network gateways).

Både Huawei och Vodafone försöker avdramatisera händelserna och beskriver upptäckterna som fullt normala moment i säkerhetsprocessen.

– Det är inte ovanligt att sårbarheter i utrustning upptäcks av operatörer och andra oberoende parter, säger Vodafone.

Men Bloombergs reporter Tim Culpan är inte nöjd med det beskedet. Han tycker att händelserna bevisar att USA:s motarbetande av Huawei är befogad.  

Tim Culpan föreslår att Vodafone inte vill se sanningen i vitögat av ekonomiska skäl. Vodafone har gjort dyra investeringar i Huaweiteknik som det skulle vara mycket kostsamt och försenande att backa tillbaka ifrån om Huawei skulle utestängas vid den förestående uppgraderingen till 5G.

– Pengar är en mäktig drivkraft, skriver Tim Culpan.

Han delar ut en varning.

– Var beredd på att Huaweivänner och telekomoperatörer kommer att vifta bort det här avslöjandet som ett undantag som inte bevisar någonting alls.

I en annan krönika av en annan reporter på Bloomberg är det snarast Huawei som är offret i historien. När brister av samma slag hittas hos Huaweis konkurrenter är det ingen som lyfter på ögonbrynen.

– Av politiska skäl ställs omöjliga krav på Huawei, skriver Leonid Bershidsky.

Huawei konstruerar dålig källkod.

Det vet vi om inte förr så sedan i mars då den brittiska organisationen HCSEC presenterade sin senaste säkerhetsgranskning av Huaweis system och källkod. HCSEC:s kritik var brutal – koden är så dålig att den är svår att överhuvudtaget säkerhetsgranska. Trots att Huawei säger sig lägga mycket resurser på utvecklingen så kvarstår anmärkningar som gjordes redan vid tidigare granskningar. 

Den enklaste förklaringen av det kvarlämnade Telnetprogram som Bloomberg stött på, är att den är ytterligare ett exempel på fulkod från Huawei.