CTS-Labs opdagede en Spectre-lignende sårbarhed i AMDs Ryzen- og EPYC-chips
CTS-laboratorier,[1] et ukendt sikkerhedsfirma baseret i Israel, rapporterede en alvorlig CPU-fejl i AMDs Ryzen- og EPYC-chips. Virksomheden hævder at have afsløret 13 sårbarheder, der ville tillade kriminelle at injicere malware og lække personlige data.
Virksomheden hævder, at sårbarhederne ved AMD's processorer er utroligt bekymrende, da fejlen ligger i de dele, der formodes at være mest beskyttet. De sårbare dele indeholder personoplysninger, herunder adgangskoder, loginoplysninger, krypteringsnøgle mv. hvis lækage ville forårsage alvorlig skade.
I de sidste par måneder flimrer IT-relaterede nyhedssider og fora med advarslen om Spectre og Meltdown sårbarheder,[2] som udgør en høj risiko for cyberangreb for millioner af Intel, AMD og andre moderne processorbrugere. Hvorvidt den nuværende AMDs sårbarhed er endnu en alvorlig trussel, er stadig et diskutabelt spørgsmål.
CTS-Labs gav AMD 24 timer til at tjekke sårbarhederne
Standardfristen for en svaghed, der skal analyseres af den respektive virksomhed, er 90 dage. Inden for perioden har den virksomhed, der er ansvarlig for fejlen, ret til ikke at kommentere spørgsmålet og godkende eller afvise problemet, når de faktiske testresultater er udarbejdet.
I tilfælde af sikkerhedssårbarhed i Ryzen- og EPYC-chips er AMD blevet bedt om at verificere tilstanden af sine processorer inden for 24 timer.[3] En dag til at rette kritiske fejl er ikke tilstrækkelig til at løse problemet tilstrækkeligt eller i det mindste kontrollere, om det er ægte. Selv de berygtede Spectre- og Meltdown-patches skal løses om seks måneder på vegne af Google-forskeres krav.
Den igangværende undersøgelse forventes at afsløre, om en sådan hurtig reaktion er påkrævet på grund af sårbarhedens alvor, eller det blot er et ubegrundet indfald fra CTS-Labs. AMD-firmaet reagerede øjeblikkeligt og lovede at tjekke alle formodet fundne problemer, men holdt sig ikke tilbage fra at kommentere CTS-Labs utroværdighed:
usædvanligt for et sikkerhedsfirma at offentliggøre sin forskning til pressen uden at give virksomheden en rimelig tid til at undersøge og behandle sine resultater.
Oprindeligt hånet blev problemerne godkendt til at være reelle
Afsløringen af CTS Labs testresultater udløste oprindeligt afledte meninger blandt it-specialister. De fleste af dem afviste grundlæggelsen og "hånede" hele projektet. Linus Torvalds, skaberen af Linux, var en af de aktive personer, der forsøgte at tilbagevise påstandene om AMDs Ryzen og EPYC-chips. Han sagde i en Google+ diskussion:
Hvornår var sidste gang, du så en sikkerhedsadvisering, der dybest set var "hvis du erstatter BIOS eller CPU-mikrokoden med en ond version, har du måske et sikkerhedsproblem?" Ja.
Senere tilføjede han:
Jeg har lige fundet en fejl i hele hardware-pladsen. Ingen enhed er sikker: Hvis du har fysisk adgang til en enhed, kan du bare tage den op og gå væk. Er jeg en sikkerhedsekspert endnu?
AMD var dog hurtig til at reagere på den aktuelle situation, og overraskende nok over for de modsatte parter indrømmede de, at sikkerhedsbristen er reel. Dan Guido, en af virksomhedens forskere, bekræftede fejlen:[4]
Uanset hypen omkring udgivelsen, er fejlene ægte, nøjagtigt beskrevet i deres tekniske rapport (som ikke er offentlig tilgængelig), og deres udnyttelseskode virker.
Ryzenfall, Master Key, Fallout og Chimera. Hvad er farerne ved disse fejl?
Døbt som Ryzenfall, Master Key, Fallout og Chimera, ser sikkerhedsfejlene afsløret i AMDs Ryzen-processor og EPYC-serverprocessorer ikke ud til at være blevet udnyttet af kriminelle endnu.
Faren for disse fejl er ret overdrevet. Det viser sig, at for at udnytte dem til malware-injektion og datalækage, har kriminelle brug for administrative privilegier. Selvom fejlen ikke forventes at blive vild, kan skurke, der kan have administrativ adgang til pc'er, gøre praktisk talt hvad som helst på en målrettet enhed.[5]
Derfor er det tilrådeligt at holde kontakten med de seneste nyheder om fejlen og installere BIOS-opdateringerne, der indeholder AMDs processorers patches.