CTS-Labs-მა აღმოაჩინა Spectre-ის მსგავსი დაუცველობა AMD-ის Ryzen და EPYC ჩიპებში.
CTS-ლაბორატორიები,[1] უცნობმა უსაფრთხოების კომპანიამ, რომელიც დაფუძნებულია ისრაელში, იტყობინება CPU-ს სერიოზული ხარვეზი AMD-ის Ryzen და EPYC ჩიპებში. კომპანია ამტკიცებს, რომ გამოავლინა 13 დაუცველობა, რომელიც კრიმინალებს საშუალებას მისცემდა შეექმნათ მავნე პროგრამა და გაჟონა პერსონალური მონაცემები.
კომპანია ამტკიცებს, რომ AMD-ის პროცესორების დაუცველობა წარმოუდგენლად შემაშფოთებელია, რადგან ხარვეზი მდგომარეობს იმ ნაწილებში, რომლებიც უნდა იყოს ყველაზე დაცული. დაუცველი ნაწილები შეიცავს პერსონალურ ინფორმაციას, მათ შორის პაროლებს, შესვლის ინფორმაციას, დაშიფვრის გასაღებს და ა.შ. რომლის გაჟონვა გამოიწვევს ძლიერ დაზიანებას.
ბოლო ორი თვის განმავლობაში, IT-თან დაკავშირებული ახალი ამბების საიტები და ფორუმები ციმციმებენ გაფრთხილებით Spectre-სა და Meltdown-ის დაუცველობასთან დაკავშირებით.[2] რაც უქმნის კიბერშეტევების მილიონობით Intel-ის, AMD-ის და სხვა თანამედროვე პროცესორის მომხმარებელს მაღალ რისკს. არის თუ არა ამჟამინდელი AMD-ის დაუცველობა კიდევ ერთი სერიოზული საფრთხე, ჯერ კიდევ სადავო საკითხია.
CTS-Labs-მა მისცა AMD-ს 24 საათი მოწყვლადობის შესამოწმებლად
სტანდარტული ვადა სისუსტის შესამოწმებლად შესაბამისი კომპანიის მიერ არის 90 დღე. ამ ხარვეზზე პასუხისმგებელ კომპანიას უფლება აქვს არ გააკეთოს კომენტარი საკითხზე და დაამტკიცოს ან უარყოს პრობლემა, როდესაც მომზადდება ფაქტობრივი ტესტის შედეგები.
Ryzen და EPYC ჩიპებში უსაფრთხოების დაუცველობის შემთხვევაში, AMD-ს სთხოვეს გადაამოწმონ თავისი პროცესორების მდგომარეობა 24 საათის განმავლობაში.[3] კრიტიკული ხარვეზების გამოსწორების დღე საკმარისი არ არის პრობლემის ადეკვატურად გადასაჭრელად ან, ყოველ შემთხვევაში, შესამოწმებლად არის თუ არა ის რეალური. Spectre-ისა და Meltdown-ის სამარცხვინო პატჩებიც კი უნდა განიხილებოდეს ექვს თვეში Google-ის მკვლევართა მოთხოვნის სახელით.
მიმდინარეობს გამოძიება, სავარაუდოდ, გამოავლენს, საჭიროა თუ არა ასეთი სწრაფი რეაგირება დაუცველობის სერიოზულობის გამო, თუ ეს უბრალოდ CTS-Labs-ის უსაფუძვლო ახირებაა. AMD კომპანიამ დაუყოვნებლივ მოახდინა რეაგირება და დაჰპირდა, რომ შეამოწმებდა ყველა სავარაუდო აღმოჩენილ საკითხს, მაგრამ არ შეიკავა კომენტარი CTS-Labs-ის არასანდოობის შესახებ:
უსაფრთხოების ფირმისთვის უჩვეულოა, რომ გამოაქვეყნოს თავისი კვლევა პრესაში, კომპანიისთვის გონივრული დროის მიცემის გარეშე, რათა გამოიძიოს და განიხილოს მისი დასკვნები.
თავდაპირველად დასცინოდა, საკითხები დამტკიცებული იყო რეალურად
CTS Labs ტესტის შედეგების გამოვლენამ თავდაპირველად გამოიწვია ინფორმაციული ტექნოლოგიების სპეციალისტების აზრთა სხვადასხვაობა. მათმა უმრავლესობამ არ მოიწონა დაარსება და „დასცინოდა“ მთელი პროექტი. ლინუს ტორვალდსი, Linux-ის შემქმნელი, იყო ერთ-ერთი აქტიური ფიგურა, რომელიც ცდილობდა უარყო პრეტენზიები AMD-ის Ryzen და EPYC ჩიპების შესახებ. მან Google + დისკუსიაში თქვა:
ბოლოს როდის ნახეთ უსაფრთხოების რეკომენდაცია, რომელიც ძირითადად იყო "თუ BIOS-ს ან CPU-ს მიკროკოდს ბოროტი ვერსიით შეცვლით, შესაძლოა უსაფრთხოების პრობლემა შეგექმნათ?" ჰო.
მოგვიანებით მან დაამატა:
მე უბრალოდ აღმოვაჩინე ხარვეზი ყველა ტექნიკის სივრცეში. არცერთი მოწყობილობა არ არის უსაფრთხო: თუ მოწყობილობაზე ფიზიკური წვდომა გაქვთ, შეგიძლიათ უბრალოდ აიღოთ იგი და წახვიდეთ. ჯერ უსაფრთხოების ექსპერტი ვარ?
თუმცა, AMD-მა სწრაფად უპასუხა არსებულ ვითარებას და, გასაკვირი იყო საპირისპირო მხარეებისთვის, მან აღიარა, რომ უსაფრთხოების ხარვეზი რეალურია. დენ გუიდომ, კომპანიის ერთ-ერთმა მკვლევარმა, დაადასტურა ხარვეზი:[4]
გამოშვების ირგვლივ აჟიოტაჟის მიუხედავად, შეცდომები რეალურია, ზუსტად არის აღწერილი მათ ტექნიკურ ანგარიშში (რომელიც საჯარო არ არის) და მათი ექსპლოიტის კოდი მუშაობს.
Ryzenfall, Master Key, Fallout და Chimera. რა არის ამ ხარვეზების საშიშროება?
სახელწოდებით Ryzenfall, Master Key, Fallout და Chimera, უსაფრთხოების ხარვეზები, რომლებიც გამოვლენილია AMD-ის Ryzen პროცესორში და EPYC სერვერის პროცესორებში, როგორც ჩანს, ჯერ არ ყოფილა გამოყენებული კრიმინალების მიერ.
ამ ხარვეზების საშიშროება საკმაოდ გადაჭარბებულია. გამოდის, რომ მავნე პროგრამების ინექციისთვის და მონაცემთა გაჟონვის მიზნით მათი ექსპლუატაციისთვის, კრიმინალებს სჭირდებათ ადმინისტრაციული პრივილეგიები. მიუხედავად იმისა, რომ ხარვეზი სავარაუდოდ არ გაქრება, თაღლითებს, რომლებსაც შესაძლოა ჰქონდეთ ადმინისტრაციული წვდომა კომპიუტერებზე, შეუძლიათ პრაქტიკულად რაიმე გააკეთონ სამიზნე მოწყობილობაზე.[5]
ამიტომ, მიზანშეწონილია დაუკავშირდეთ უახლეს სიახლეებს ხარვეზის შესახებ და დააინსტალიროთ BIOS განახლებები, რომლებიც შეიცავს AMD-ის პროცესორების პატჩებს.