CTS-Labs avastas AMD Ryzeni ja EPYC kiipides Spectre-laadse haavatavuse
CTS-Labs,[1] Iisraelis asuv tundmatu turvafirma teatas tõsisest CPU veast AMD Ryzeni ja EPYC kiipides. Ettevõte väidab, et on paljastanud 13 haavatavust, mis võimaldaksid kurjategijatel pahavara süstida ja isikuandmeid lekitada.
Ettevõte väidab, et AMD protsessorite haavatavused on väga murettekitavad, kuna viga peitub osades, mis peaksid olema kõige paremini kaitstud. Haavatavad osad sisaldavad isiklikku teavet, sealhulgas paroole, sisselogimisandmeid, krüpteerimisvõtit jne. mille lekkimine põhjustaks tõsiseid kahjustusi.
Viimase paari kuu jooksul värelevad IT-ga seotud uudistesaidid ja foorumid hoiatustest Spectre ja Meltdowni haavatavuste kohta,[2] mis kujutavad miljonite Inteli, AMD ja teiste kaasaegsete protsessorite kasutajate küberrünnakute eest suurt ohtu. Kas praegune AMD haavatavus on veel üks tõsine oht, on endiselt vaieldav küsimus.
CTS-Labs andis AMD-le turvaaukude kontrollimiseks 24 tundi
Standardtähtaeg, mille jooksul vastava ettevõtte nõrkus tuleb analüüsida, on 90 päeva. Vea eest vastutaval ettevõttel on selle perioodi jooksul õigus tegelike testitulemuste koostamisel probleemi mitte kommenteerida ning probleemi kinnitada või tagasi lükata.
Ryzeni ja EPYC kiipide turvaauku korral on AMD-lt nõutud oma protsessorite seisukorda 24 tunni jooksul kontrollima.[3] Päev kriitiliste vigade parandamiseks ei ole piisav, et probleemi adekvaatselt lahendada või vähemalt kontrollida, kas see on tõeline. Isegi kurikuulsad Spectre ja Meltdown plaastrid tuleb Google'i teadlaste nõudmisel kuue kuu jooksul lahendada.
Käimasolev uurimine peaks selguma, kas nii kiiret reageerimist on vaja haavatavuse tõsiduse tõttu või on see lihtsalt CTS-Labsi alusetu kapriis. AMD ettevõte reageeris kohe ja lubas kõik väidetavalt leitud probleemid kontrollida, kuid ei hoidunud kommenteerimast CTS-Labsi ebausaldusväärsust:
on ebatavaline, et turvafirma avaldab oma uuringud ajakirjanduses, andmata ettevõttele mõistlikku aega oma järelduste uurimiseks ja käsitlemiseks.
Esialgu mõnitati, kuid tunnistati, et probleemid on tõelised
CTS Labsi testitulemuste avaldamine vallandas IT-spetsialistide seas esialgu teistsuguseid arvamusi. Enamik neist ei kiitnud asutamist heaks ja „navitasid“ kogu projekti. Linuxi looja Linus Torvalds oli üks aktiivseid tegelasi, kes püüdis ümber lükata väiteid AMD Ryzeni ja EPYC kiipide kohta. Ta ütles Google+ arutelus:
Millal nägite viimati turvanõuannet, mis oli põhimõtteliselt "kui asendate BIOS-i või CPU mikrokoodi kurja versiooniga, võib teil tekkida turvaprobleem?" Jah.
Hiljem lisas ta:
Leidsin lihtsalt vea kogu riistvararuumis. Ükski seade pole turvaline: kui teil on seadmele füüsiline juurdepääs, võite selle lihtsalt kätte võtta ja minema kõndida. Kas ma olen juba turvaekspert?
AMD reageeris aga hetkeolukorrale kiiresti ning vastaspooltele üllatuslikult tunnistas, et turvaviga on reaalne. Üks ettevõtte teadlastest Dan Guido kinnitas viga:[4]
Sõltumata väljalaske ümber levivast hüpest on vead tõelised, nende tehnilises aruandes täpselt kirjeldatud (mis pole avalik afaik) ja nende kasutuskood töötab.
Ryzenfall, Master Key, Fallout ja Chimera. Millised on nende vigade ohud?
Tundub, et AMD Ryzeni protsessoris ja EPYC-serveriprotsessorites avastatud turvavigu pole kurjategijad veel ära kasutanud, kui neid nimetatakse Ryzenfalliks, Master Keyks, Falloutiks ja Chimeraks.
Nende vigade oht on üsna liialdatud. Selgub, et nende ärakasutamiseks pahavara süstimiseks ja andmete lekkimiseks vajavad kurjategijad administraatoriõigusi. Ehkki viga ei lähe metsikuks, võivad kelmid, kellel võib olla arvutitele administraatorijuurdepääs, sihitud seadmega praktiliselt kõike teha.[5]
Seetõttu on soovitatav hoida kursis viimaste uudistega vea kohta ja installida BIOS-i värskendused, mis sisaldavad AMD protsessorite plaastreid.