اكتشفت CTS-Labs ثغرة شبيهة بالحيوية في رقائق AMD's Ryzen و EPYC
مختبرات CTS ،[1] شركة أمنية غير معروفة مقرها في إسرائيل ، أبلغت عن عيب فادح في وحدة المعالجة المركزية في رقائق AMD's Ryzen و EPYC. تدعي الشركة أنها كشفت عن 13 نقطة ضعف من شأنها أن تسمح للمجرمين بضخ البرامج الضارة وتسريب البيانات الشخصية.
تدعي الشركة أن الثغرات الأمنية في معالجات AMD مثيرة للقلق بشكل لا يصدق حيث يكمن الخلل في الأجزاء التي من المفترض أن تكون الأكثر حماية. تحتوي الأجزاء المعرضة للخطر على معلومات شخصية ، بما في ذلك كلمات المرور ومعلومات تسجيل الدخول ومفتاح التشفير وما إلى ذلك. مما يؤدي إلى حدوث أضرار جسيمة نتيجة التسرب.
خلال الشهرين الماضيين ، تومض المواقع الإخبارية والمنتديات ذات الصلة بتكنولوجيا المعلومات مع التحذير المتعلق بنقاط الضعف في Specter و Meltdown ،[2] والتي تشكل خطراً كبيراً على الملايين من مستخدمي Intel و AMD وغيرهم من مستخدمي المعالجات الحديثة من الهجمات الإلكترونية. ما إذا كانت ثغرة AMD الحالية تمثل تهديدًا خطيرًا آخر لا يزال سؤالًا قابلًا للنقاش.
أعطت CTS-Labs AMD 24 ساعة للتحقق من الثغرات الأمنية
الموعد النهائي القياسي لتحليل نقاط الضعف من قبل الشركة المعنية هو 90 يومًا. خلال هذه الفترة ، يحق للشركة المسؤولة عن الخلل عدم التعليق على المشكلة والموافقة على المشكلة أو رفضها عند إعداد نتائج الاختبار الفعلية.
في حالة وجود ثغرة أمنية في رقائق Ryzen و EPYC ، طُلب من AMD التحقق من حالة معالجاتها في غضون 24 ساعة.[3] لا يكفي تحديد يوم لإصلاح العيوب الجسيمة لمعالجة المشكلة بشكل مناسب أو ، على الأقل ، للتحقق مما إذا كانت حقيقية. حتى تصحيحي Specter و Meltdown الشهيرة يجب معالجتها في غضون ستة أشهر بناءً على طلب باحثي Google.
ومن المتوقع أن يكشف التحقيق الجاري عما إذا كانت مثل هذه الاستجابة السريعة مطلوبة بسبب خطورة الثغرة الأمنية أو أنها مجرد نزوة لا أساس لها من CTS-Labs. استجابت شركة AMD على الفور ووعدت بالتحقق من جميع المشكلات التي يُفترض أنها تم العثور عليها ، لكنها لم تمنع التعليق على عدم جدارة CTS-Labs بالثقة:
من غير المعتاد أن تنشر شركة أمنية أبحاثها للصحافة دون توفير فترة زمنية معقولة للشركة للتحقيق ومعالجة النتائج التي توصلت إليها.
في البداية تم الاستهزاء بالمسائل التي تمت الموافقة عليها لتكون حقيقية
أثار الكشف عن نتائج اختبار CTS Labs في البداية آراءًا مشتتة بين متخصصي تكنولوجيا المعلومات. رفض معظمهم التأسيسات و "سخروا" من المشروع بأكمله. كان Linus Torvalds ، مبتكر Linux ، أحد الشخصيات النشطة التي حاولت دحض الادعاءات المتعلقة بشرائح AMD's Ryzen و EPYC. قال في مناقشة جوجل +:
متى كانت آخر مرة رأيت فيها نصيحة أمان كانت في الأساس "إذا استبدلت BIOS أو الرمز الصغير لوحدة المعالجة المركزية بإصدار شرير ، فربما تواجه مشكلة أمنية؟" بلى.
أضاف لاحقًا:
لقد وجدت للتو عيبًا في كل مساحة الأجهزة. لا يوجد جهاز آمن: إذا كان لديك وصول مادي إلى أحد الأجهزة ، فما عليك سوى استلامه والابتعاد عنه. هل أنا خبير أمني حتى الآن؟
ومع ذلك ، سارعت AMD في الاستجابة للوضع الحالي ، وبشكل مفاجئ للأطراف الأخرى ، اعترفت بأن الخلل الأمني حقيقي. أكد دان جيدو ، أحد الباحثين في الشركة ، الخلل:[4]
بغض النظر عن الضجيج حول الإصدار ، فإن الأخطاء حقيقية ، موصوفة بدقة في تقريرهم الفني (وهو ليس afaik عام) ، ويعمل كود استغلالهم.
Ryzenfall و Master Key و Fallout و Chimera. ما هي مخاطر هذه العيوب؟
تم الكشف عن الثغرات الأمنية التي تم الكشف عنها في معالج Ryzen من AMD ومعالجات خادم EPYC التي يطلق عليها اسم Ryzenfall و Master Key و Fallout و Chimera ، ولم يتم استغلالها من قبل المجرمين حتى الآن.
إن خطر هذه العيوب مبالغ فيه إلى حد ما. اتضح أنه لاستغلالهم في حقن البرمجيات الخبيثة وتسريب البيانات ، يحتاج المجرمون إلى امتيازات إدارية. على الرغم من أنه من غير المتوقع أن ينتشر الخلل ، إلا أن المحتالين الذين قد يكون لديهم وصول إداري إلى أجهزة الكمبيوتر قد يفعلون عمليًا أي شيء على الجهاز المستهدف.[5]
لذلك ، يُنصح بالبقاء على اتصال بأحدث الأخبار حول الخلل وتثبيت تحديثات BIOS التي تحتوي على تصحيحات معالجات AMD.