Los desarrolladores a veces olvidan desactivar las funciones de depuración del software que envían: CWE-489
Se dice aquí que
Alrededor del 20% de los enrutadores domésticos tienen una puerta trasera en ellos, y el 50% de Las computadoras de control industrial tienen una puerta trasera.
Pero esta afirmación no está respaldada. ¿Hay alguna otra información disponible, o estudio realizado, sobre la prevalencia de esas puertas traseras en el código?
No creo que exista un estudio científico confiable en cuanto a la prevalencia de las puertas traseras en dispositivos propietarios o sistemas de control industrial / SCADA. Una búsqueda de JSTOR no muestra nada interesante (aunque, si alguien más quiere volver a verificar, ¡hágame saber si encuentra algo!) Por lo tanto, el número al que hace referencia es probablemente solo una especulación o se basa en evidencia anecdótica.
Dicho esto, no creo que este número esté sin alguna justificación. Cuando se utilizan productos de código cerrado, siempre existe el riesgo de una puerta trasera. Como señala el artículo, muchos no son intencionales y son el resultado de que los desarrolladores desean probar rápidamente el sistema sin tener que lidiar con los controles de acceso.
Sin embargo, el tema principal del artículo tiene que ver con las organizaciones de inteligencia internacionales que insertan puertas traseras en productos destinados a roles vitales en otra nación, en este caso, los sistemas SCADA en China destinados para su uso en los Estados Unidos. En esos casos, se puede suponer que tales puertas traseras están en su lugar. Por ejemplo, cuando los EE. UU. Envían aviones Boeing a China, se han cargado de numerosos y redundantes errores en todo el chasis.
Entonces, mi respuesta breve es que uno nunca puede estar seguro acerca de las puertas traseras en productos de código cerrado. En el enrutador doméstico, puede ser mejor utilizar un firmware de código abierto si comparte estas inquietudes. Pero en cuanto a cuantificar científicamente la velocidad a la que los dispositivos están bloqueados; Creo que no se ha hecho y sería un desafío hacerlo de manera estadísticamente significativa.