美國會議員質疑SolarWinds攻擊是NSA讓Juniper後門事件重演

SolarWinds供應鏈攻擊再度引發軟體後門洩露客戶資訊的疑慮。這也讓美國政府再度想起2015年Juniper軟體後門事件之後，國安局（National Security Agency，NSA）沒有因此盡到保護政府的職責。

SolarWinds攻擊事件導致美國商務部、財政部及國土安全部等一級單位，遭植入Sunburst等後門軟體，犯案者據信為俄羅斯駭客組織，可以此蒐集資訊或發動第二波攻擊。此事讓 Ron Wyden等2名參議員及8名眾議員再度關切起Juniper後門事件，並質疑NSA何以讓政府導入的軟體被植入後門事件再度發生。

2015年Juniper被外部研究人員揭露，有不知名駭客修改了路由器作業系統ScreenOS，加入未授權程式碼。追查之下發現，這些程式碼實為一道後門，但用意在修改更早以前的後門密鑰。這更早的後門出在Juniper使用，由NSA開發的加密演算法Dual_EC_DRBG之中。Juniper於2015年宣布要調查這起攻擊事件，並在2016年移除由NSA開發的演算法。

然而事隔5年之後，Juniper仍然沒有公布調查結果。2019年美國國會就曾經追問過Juniper此事。

而在SolarWinds事件後，美國參眾議員再度想起此事，而且追究新責任。本周對NSA的去函中，議員指出，美國人民有權知道，在Juniper駭入事件後，NSA何以沒有著手保護政府免於供應鏈攻擊的重大威脅。最近SolarWinds事件即為相同的供應鏈攻擊，導致多個政府部門因軟體更新被植入惡意程式遭駭。

議員提出許多疑問要求NSA回答。包括Juniper後門事件後，NSA有做什麼強化措施保護自己、國防部、美國政府不受供應鏈攻擊，又何以失敗導致SolarWinds事件？此外他們也追問NSA對Dual_EC_DRBG演算法的後門是否事先知情，而NSA在送交NIST認證的演算法加入後門，是否有獲得立法機關同意、外國情報監控法庭命令、經NSA局長批准、或徵詢過網路安全暨基礎架構安全局（CISA）、商務部、美國交易委員會（FTC）及通訊委員會（FCC），這件事是否應通知國會。最後，他們想知道，是不是NSA要求Juniper在自家產品的Dual_EC_DRBG演算法中加入後門，或是調整成不同於NIST公布的參數值。