CTS-Labs löysi Spectre-tyyppisen haavoittuvuuden AMD: n Ryzen- ja EPYC-siruista
CTS-Labs,[1] Israelissa sijaitseva tuntematon turvallisuusyritys ilmoitti vakavasta prosessorivirheestä AMD: n Ryzen- ja EPYC-siruissa. Yhtiö väittää paljastaneensa 13 haavoittuvuutta, joiden avulla rikolliset voivat syöttää haittaohjelmia ja vuotaa henkilötietoja.
Yhtiö väittää, että AMD: n prosessorien haavoittuvuudet ovat uskomattoman huolestuttavia, koska vika piilee osissa, joiden oletetaan olevan eniten suojattuja. Haavoittuvat osat sisältävät henkilökohtaisia tietoja, kuten salasanoja, kirjautumistietoja, salausavainta jne. jonka vuoto aiheuttaisi vakavia vahinkoja.
Parin viime kuukauden ajan IT-uutissivustot ja -foorumit ovat välkkyneet Spectre- ja Meltdown-haavoittuvuuksista varoituksista,[2] jotka aiheuttavat suuren riskin miljoonille Intelin, AMD: n ja muiden nykyaikaisten prosessorien käyttäjien kyberhyökkäyksistä. Se, onko nykyisen AMD: n haavoittuvuus vielä yksi vakava uhka, on edelleen kiistanalainen kysymys.
CTS-Labs antoi AMD: lle 24 tuntia aikaa tarkistaa haavoittuvuudet
Normaali määräaika, jonka kuluessa kyseisen yrityksen on analysoitava heikkous, on 90 päivää. Virheestä vastaavalla yrityksellä on määräajan sisällä oikeus olla kommentoimatta asiaa ja hyväksyä tai hylätä ongelma varsinaisia testituloksia valmisteltaessa.
Ryzen- ja EPYC-sirujen tietoturva-aukkojen tapauksessa AMD: tä on vaadittu tarkistamaan prosessoriensa kunto 24 tunnin kuluessa.[3] Päivä kriittisten puutteiden korjaamiseen ei riitä ratkaisemaan ongelmaa riittävästi tai ainakin tarkistamaan, onko se todellinen. Jopa surullisen kuuluisat Spectre- ja Meltdown-laastarit on korjattava kuudessa kuukaudessa Googlen tutkijoiden pyynnöstä.
Meneillään olevan tutkinnan odotetaan paljastavan, tarvitaanko näin nopeaa reagointia haavoittuvuuden vakavuuden vuoksi vai onko kyseessä vain CTS-Labsin perusteeton mielijohte. AMD-yhtiö reagoi välittömästi ja lupasi tarkistaa kaikki oletettavasti löydetyt ongelmat, mutta ei rajoittunut kommentoimasta CTS-Labsin epäluotettavuutta:
on epätavallista, että turvallisuusyritys julkaisee tutkimuksensa lehdistölle antamatta yritykselle kohtuullista aikaa tutkia ja käsitellä havaintojaan.
Aluksi pilkattuna ongelmat hyväksyttiin todellisiksi
CTS Labs -testitulosten paljastaminen herätti aluksi eriäviä mielipiteitä IT-asiantuntijoiden keskuudessa. Suurin osa heistä ei hyväksynyt perustamista ja "pilkasi" koko hanketta. Linus Torvalds, Linuxin luoja, oli yksi aktiivisista hahmoista, jotka yrittivät kumota väitteet AMD: n Ryzen- ja EPYC-siruista. Hän sanoi Google+ -keskustelussa:
Milloin näit viimeksi tietoturva-ilmoituksen, joka oli pohjimmiltaan "jos vaihdat BIOSin tai suorittimen mikrokoodin pahalla versiolla, sinulla saattaa olla tietoturvaongelma?" Joo.
Myöhemmin hän lisäsi:
Löysin vain vian koko laitteistotilasta. Mikään laite ei ole suojattu: jos sinulla on fyysinen pääsy laitteeseen, voit vain noutaa sen ja kävellä pois. Olenko vielä turvallisuusasiantuntija?
AMD reagoi kuitenkin nopeasti vallitsevaan tilanteeseen ja myönsi yllättäen vastakkaisille osapuolille, että tietoturvavirhe on todellinen. Dan Guido, yksi yrityksen tutkijoista, vahvisti virheen:[4]
Huolimatta julkaisun ympärillä olevasta hypetystä, virheet ovat todellisia, tarkasti kuvattu heidän teknisessä raportissaan (joka ei ole julkinen afaik), ja niiden hyväksikäyttökoodi toimii.
Ryzenfall, Master Key, Fallout ja Chimera. Mitkä ovat näiden vikojen vaarat?
Ryzenfall-, Master Key-, Fallout- ja Chimera-nimityksiä AMD: n Ryzen-prosessorissa ja EPYC-palvelinprosessoreissa paljastetut tietoturvavirheet eivät näytä vielä olleen rikollisten hyväksi.
Näiden puutteiden vaara on melko liioiteltu. Osoittautuu, että rikolliset tarvitsevat järjestelmänvalvojan oikeuksia hyödyntääkseen niitä haittaohjelmien lisäämiseen ja tietojen vuotamiseen. Vaikka vian ei odoteta menevän villiin, huijarit, joilla saattaa olla järjestelmänvalvojan käyttöoikeus tietokoneisiin, voivat tehdä käytännössä mitä tahansa kohdelaitteella.[5]
Siksi on suositeltavaa pysyä ajan tasalla viimeisimmistä virheistä ja asentaa BIOS-päivitykset, jotka sisältävät AMD: n prosessorien korjaustiedostoja.