Huawei es un fabricante chino de equipos destinados a la gestión de redes y telecomunicaciones,sin embargo últimamente están adentrándose en el mundo de los smartphones y las tablets; ya que se  ha descubierto que 
cifra las contraseñas de los productos de manera muy débil. Sabemos que existen diferentes maneras de almacenar contraseñas por parte de los dispositivos y sistemas; entre las más comunes se puede utilizar un hash de la contraseña. En el momento de verificar si un usuario es quien dice ser, a la contraseña introducida se le aplica la misma función hash que se usó a la hora de su almacenamiento. Si la cadena resultante es igual a la almacenada, se valida. Con este sistema no se guarda la contraseña en claro en ningún momento. Algo que también es muy común usar es  “
sal” para generar estos hashes; es así como, una de las entradas de la función hash sería la clave y otra la “
sal“, que  en realidad sólo se trata de ciertos bit aleatorios. Con esto se consiguen mitigar la eficacia de los ataques por diccionario. Sin embargo Huawei no usa ninguno de estos métodos.  El gran problema  reside en que los dispositivos usan un cifrado simétrico (algoritmo DES) con una misma clave de cifrado compartida entre todos los dispositivos (‘\x01\x02\x03\x04\x05\x06\x07\x08′).No se trata de una vulnerabilidad como tal, sino de un fallo de diseño por parte del fabricante por usar contraseñas comunes y no aleatorias para cada dispositivo. El problema fue identificado por Roberto Paleari e Ivan Speziale. Los investigadores han publicado un código en Python para extraer las contraseñas en claro, llamando a la función ‘
decrypt_password‘ El algoritmo de cifrado usado es DES con ECB (Electronic codebook), que es el método más simple al usar el algoritmo DES. El algoritmo transforma los caracteres ascii de la contraseña cifrada a binario (función ascii_to_binary), y posteriormente se queda con los 16 primeros bytes, eliminando el resto,después, aplica el descifrado del algoritmo DES en modo ECB con la clave \x01\x02\x03\x04\x05\x06\x07\x08 y elimina los caracteres NUL del final de la contraseña. El error ha sido confirmado en los productos de la familia Quidway y en los CX600 (routers y switches), aunque puede existir en más productos afectados. En  el comunicado oficial del fabricante se recomienda, como remedio temporal, limitar el acceso a los routers a los usuarios dentro de la red interna, gestionar estrictamente los privilegios de las cuentas y cambiar las contraseñas con regularidad. Para más información visita www.enfoqueseguro.com Realizado por Nataly Mejía. Marketing.