ЦТС-Лабс је открио рањивост сличну Спецтре у АМД-овим Ризен и ЕПИЦ чиповима
ЦТС-Лабс,[1] непозната безбедносна компанија са седиштем у Израелу, пријавила је озбиљну грешку у процесору у АМД-овим Ризен и ЕПИЦ чиповима. Компанија тврди да је открила 13 рањивости које би омогућиле криминалцима да убаце злонамерни софтвер и процуре личне податке.
Компанија тврди да су рањивости АМД-ових процесора невероватно забрињавајуће јер се мана налази у деловима који би требало да буду најзаштићенији. Рањиви делови садрже личне податке, укључујући лозинке, податке за пријаву, кључ за шифровање итд. чије би цурење изазвало тешку штету.
Последњих неколико месеци, сајтови и форуми везани за вести трепере упозорењима у вези са рањивостима Спецтре и Мелтдовн,[2] који представљају висок ризик за милионе Интел, АМД и других корисника модерних процесора од сајбер напада. Још увек је дискутабилно питање да ли је тренутна АМД-ова рањивост још једна озбиљна претња.
ЦТС-Лабс је дао АМД-у 24 сата да провери рањивости
Стандардни рок за анализу слабости од стране одговарајуће компаније је 90 дана. У том року, компанија одговорна за недостатак има право да не коментарише проблем и одобри или одбије проблем када се припреме стварни резултати испитивања.
У случају безбедносне пропусте у чиповима Ризен и ЕПИЦ, од АМД-а је затражено да провери стање својих процесора у року од 24 сата.[3] Један дан за отклањање критичних недостатака није довољан да се проблем реши на адекватан начин или, барем, да се провери да ли је стваран. Чак и злогласне закрпе Спецтре и Мелтдовн морају бити решене за шест месеци на захтев Гоогле истраживача.
Очекује се да ће истрага која је у току открити да ли је тако брз одговор потребан због озбиљности рањивости или је то само неоснован хир ЦТС-Лабс. Компанија АМД је одмах реаговала и обећала да ће проверити све наводно пронађене проблеме, али се није устезала да коментарише неповерљивост ЦТС-Лабс:
необично за безбедносну фирму да објави своје истраживање у штампи, а да не обезбеди разумну количину времена за компанију да истражи и одговори на своје налазе.
Првобитно исмевани, питања су била стварна
Откривање резултата теста ЦТС Лабс у почетку је изазвало преокренута мишљења међу ИТ стручњацима. Већина њих није одобравала оснивање и „исмијавала“ цео пројекат. Линус Торвалдс, творац Линука, био је једна од активних личности која је покушала да оповргне тврдње о АМД-овим Ризен и ЕПИЦ чиповима. Рекао је у Гоогле+ дискусији:
Када сте последњи пут видели безбедносни савет који је у суштини био „ако замените БИОС или микрокод ЦПУ-а злом верзијом, можда ћете имати безбедносни проблем?“ Да.
Касније је додао:
Управо сам пронашао недостатак у целом хардверском простору. Ниједан уређај није безбедан: ако имате физички приступ уређају, можете га само подићи и отићи. Да ли сам већ стручњак за безбедност?
Међутим, АМД је брзо реаговао на тренутну ситуацију и, изненађујуће за супротне стране, признао је да је безбедносна грешка стварна. Дан Гуидо, један од истраживача компаније, потврдио је грешку:[4]
Без обзира на помпе око издања, грешке су стварне, тачно описане у њиховом техничком извештају (који није јавна афаик), а њихов код за експлоатацију функционише.
Ризенфалл, Мастер Кеи, Фаллоут и Цхимера. Које су опасности ових недостатака?
Назване Ризенфалл, Мастер Кеи, Фаллоут и Цхимера, безбедносни недостаци откривени у АМД-овом Ризен процесору, а чини се да криминалци још нису искористили процесоре ЕПИЦ сервера.
Опасност од ових недостатака је прилично преувеличана. Испоставило се да су криминалцима потребне административне привилегије да би их искористили за убризгавање злонамерног софтвера и цурење података. Иако се не очекује да ће мана подивљати, преваранти који би могли имати административни приступ рачунарима могли би да ураде практично све на циљаном уређају.[5]
Стога је препоручљиво да останете у контакту са најновијим вестима о грешци и инсталирате ажурирања БИОС-а која садрже закрпе за АМД процесоре.