华为加密证书和密钥居然进入了思科设备！思科回应：疏忽，忘删了！

在2003年，思科曾指控华为“抄袭代码”，将华为子公司告上法庭。而当时思科的指控对象，就包括华为在美研发分支Futurewei。如今思科却被爆出在自己的设备中使用了华为子公司Futurewei的证书和密钥，并且使用了华为的代码，遭ZDNet新闻网吐槽“尴尬”。

7月3日，思科在其官网一下子列举19条程序安全相关声明，建议其客户对产品进行相关更新。

(https://tools.cisco.com/security/center/publicationListing.x)

其中有一条声明指出，思科250、350、350X和550X型号交换机，采用了开源程序包OpenDaylight中的一款密钥证书。而这款密钥证书出自Futurewei公司之手。后者是华为在美国的研发分支机构。

这个问题也不是思科自己排查出来的。而是网络安全咨询公司SEC Consult最早发现。该公司的物联网部门的研究人员正在使用其IoT Inspector漏洞搜索软件来探测思科Small Business 250系列交换机的固件映像，发现它们包含发给Futurewei Technologies的数字证书和密钥。 考虑到政治因素，没有就这一事件做进一步推测。”

Futurewei Technologies是华为的美国研发部门。据报道，由于美国禁止华为使用美国技术，该研究部门正计划与中国母舰分开，并禁止华为员工离职，放弃华为标识，并为员工创建自己独立的IT系统。

但问题是为什么像思科这样起诉华为专利的美国科技巨头将其中国竞争对手的证书和密钥放入自己的交换机中？

之所以会出现这个乌龙，思科方面的解释是：该公司开发者在测试期间使用了华为的开源包，但后来忘记删除相关组件。思科将这个锅甩给软件测试团队FindlT Development，称这是他们的“疏忽”。思科表示，目前已经删除了上述产品中的华为密钥证书。由于这个改动对产品安全问题影响不大，这条声明的“警报等级”也是当天所有补丁声明中最低的，为“消息级”。

为了进一步澄清，思科强调，证书和密钥仅仅存在于文件系统中，并没有被设备激活使用。

来源：整理自ZDNet、观察者网