Η CTS Labs, μια σχεδόν άγνωστη εταιρεία από το Tel Aviv, ισχυρίστηκε ανακάλυψε πάνω από δώδεκα προβλήματα ασφάλειας στους επεξεργαστές AMD Ryzen και EPYC. Ο Linus Torvalds, ο δημιουργός του Linux, τους αμφισβήτησε δημόσια.
Ο Torvalds, αναφέρει στο Google+:
“Πότε ήταν η τελευταία φορά που είδατε μια συμβουλή ασφαλείας να αναφέρει: “αν αντικαταστήσεις το BIOS ή τον μικροκώδικα της CPU με μια κακή έκδοση, μπορεί να έχεις κενά ασφαλείας;”
Ή, όπως ανέφερε παρακάτω ένας σχολιαστής στο ίδιο νήμα, «βρήκα ένα ελάττωμα στο hardware. Καμία συσκευή δεν είναι ασφαλής: αν έχετε φυσική πρόσβαση σε μια συσκευή, μπορείτε απλά να την πάρετε και να φύγετε μακριά. Είμαι ειδικός ασφαλείας;”
Έχουν δίκιο.
H CTS Labs ξεπήδησε από το πουθενά για να δώσει στην AMD λιγότερες από 24 ώρες για να αντιμετωπίσουν αυτά τα “προβλήματα”.
Η startup κυκλοφόρησε τις ανακαλύψεις της σε ένα white paper και ένα βίντεο που περιγράφει τις ευπάθειες. Όλα τα κενά ασφαλείας φυσικά, έχουν φανταχτερά ονόματα: Ryzenfall, Master Key, Fallout και Chimera.
Η CTS Labs ισχυρίστηκε σε μια συνέντευξη που έδωσαν ότι AMD δεν διόρθωνε τα προβλήματα για “πολλούς, πολλούς μήνες ή ίσως και ένα χρόνο.”
Γιατί το κάνουν όμως αυτό; Σύμφωνα με τον Torvalds:
“Μοιάζει περισσότερο με χειραγώγηση παρά με μια συμβουλή ασφαλείας για μένα”.
Όμως δει πρόκειται για πραγματικά σφάλματα. Ο Dan Guido, Διευθύνων Σύμβουλος της Trail of Bits, μια εταιρεία ασφαλείας με αποδεδειγμένη ιστορία, ανέφερε ότι:
“Ανεξάρτητα από τη διαφημιστική εκστρατεία της κυκλοφορίας, τα σφάλματα είναι πραγματικά, περιγράφονται με ακρίβεια στην τεχνική έκθεση (η οποία δεν είναι δημόσια) ο κώδικας με τα exploits λειτουργεί.”
Αλλά, ο Guido παραδέχτηκε επίσης: “Ναι, όλα τα ελαττώματα απαιτούν admin [προνόμια], αλλά όλα είναι ελαττώματα, και όχι κάποια αναμενόμενη λειτουργικότητα.”
Ο δημιουργός του Linux συμφωνεί ότι πρόκειται για σφάλματα, αλλά ότι όλη η διαφημιστική τους προβολή τον ενοχλεί:
Υπάρχουν σφάλματα; Ναί. Έχουν σημασία στον πραγματικό κόσμο; Οχι.
Απαιτείται ένας διαχειριστής συστήματος και θα ήταν σχεδόν εγκληματική αμέλεια να δώσεις πρόσβαση σε κάποιον που δεν γνωρίζεις. Για τον Torvalds, οι κακόβουλες αναφορές ασφαλείας είναι ενοχλητικές και αντιπερισπασμοί για την πραγματική δουλειά.
Ο Torvalds πιστεύει ότι “υπάρχουν πραγματικοί ερευνητές ασφαλείας”. Σύμφωνα με του Torvalds: “Ένα πιασάρικο όνομα και μια ιστοσελίδα είναι σχεδόν απαραίτητη για μια αποκάλυψη ασφαλείας αυτές τις μέρες.”
Ο Torvalds αναφέρει καυστικά ότι “οι άνθρωποι της ασφάλειας θα πρέπει να καταλάβουν ότι μοιάζουν με κλόουν εξαιτίας αυτού. Ολόκληρη η βιομηχανία ασφαλείας πρέπει απλά να παραδεχτεί ότι έχουν πολλά να κάνουν και ότι πρέπει να χρησιμοποιήσουν και να ενθαρρύνουν την κριτική σκέψη .”
Αυτό που θέλει πραγματικά ο Torvalds από τους προγραμματιστές και τους ερευνητές ασφαλείας, όπως έγραψε πρόσφατα, είναι:
Το πρώτο βήμα θα πρέπει να είναι ΠΑΝΤΑ “να το αναφέρετε”. Να το αναφέρετε. Τίποτα άλλο.
Το “Μην κάνετε κακό” θα πρέπει να είναι το mantra σας για κάθε νέα εργασία στο hardware.
- Facebook και Google: γιατί θα πρέπει να μας πληρώνουν;
- Password: η συχνή αλλαγή βοηθάει στην ασφάλεια;
