AŽURIRANO na kraju izvješća s postavljenim pitanjima o etici uključenih istraživača sigurnosti i izjavom CTS-Labsa. Ovaj je post prvotno objavljen u 12:34. 13. ožujka i od tada je ažuriran.
Istraživači su otkrili 13 kritičnih sigurnosnih propusta u AMD -ovim procesorima Ryzen i EPYC koji mogu zaraziti računala zlonamjernim softverom, omogućiti napadačima pristup važnim podacima, čitanje i pisanje datoteka te potpuno preuzimanje čipseta. CNET je prvi izvijestio o tim problemima.
Ranjivosti je otkrila izraelska sigurnosna tvrtka CTS-Labs, koja je AMD-u dala otkaz manje od 24 sata prije nego što je CTS-Labs otkrio probleme. (Standardna sigurnosno-istraživačka praksa je da dobavljaču dostavi otkazni rok od 90 dana.) Međutim, CTS-Labs sumnjičav je oko tehničkih detalja, što može otežati reprodukciju napada koji iskorištavaju nedostatke.
Nedostaci i s njima povezani napadi spadaju u četiri tabora, koje je CTS-Labs nazvao Masterkey, Ryzenfall, Chimera i Fallout.
"U AMD -u je sigurnost glavni prioritet i neprestano radimo na osiguravanju sigurnosti naših korisnika s obzirom na nove rizike", rekao je glasnogovornik AMD -a za ReviewsExpert.net. "Istražujemo ovo izvješće, koje smo upravo dobili, kako bismo razumjeli metodologiju i valjanost nalaza."
U postu na blogu AMD je doveo u sumnju izvješće:
"Upravo smo primili izvještaj od tvrtke koja se zove CTS Labs u kojoj se tvrdi da postoje potencijalne sigurnosne ranjivosti vezane za određene naše procesore. Aktivno istražujemo i analiziramo njene nalaze. Ova tvrtka AMD -u ranije nije bila poznata i smatramo je neobičnom za sigurnost tvrtka će objaviti svoja istraživanja novinarima bez davanja razumnog vremena tvrtki da istraži i obrati svoje nalaze. U AMD -u je sigurnost glavni prioritet i mi neprestano radimo na osiguravanju sigurnosti naših korisnika s obzirom na potencijalne nove rizike . Ažurirat ćemo ovaj blog kako se budu razvijale vijesti. "
Masterkey može utjecati na najširi raspon strojeva, uključujući prijenosna računala (s Ryzen Mobileom), moćne kreativne strojeve (s Ryzen Pro) i radne stanice i poslužitelje (s čipovima Ryzen Workstation i EPYC Server). Napad uključuje ponovno osvježavanje BIOS -a, što se može učiniti putem infekcije zlonamjernim softverom. Uspješno iskorištavanje nedostatka omogućilo bi napadačima onemogućavanje sigurnosnih značajki, pa čak i pokretanje neželjenih programa pri pokretanju.
Ryzenfall, Chimera i Fallout manje su izravna prijetnja, jer svaki od njih zahtijeva da napadač "mora moći pokrenuti program s administratorskim ovlastima povišenim na lokalnom stroju" i isporučiti "upravljački program koji je digitalno potpisan od strane prodavatelja", prema na bijelu knjigu istraživača. (Jednostavnija objašnjenja nalaze se na novoj web stranici posvećenoj promicanju nedostataka, AMDFlaws.com.)
Da loši glumci, čak i oni bez izravnog fizičkog pristupa, imaju takvu moć na stroju, ionako bi mogli raditi što god žele. Dostava lažnog digitalnog potpisa ne spada u skup vještina većine običnih kibernetičkih kriminalaca.
Ryzenfall omogućuje napadačima da ciljaju bilo koji stroj sa Ryzen-om i koriste zlonamjerni kôd za potpuno preuzimanje procesora, što bi omogućilo pristup svim vrstama zaštićenih podataka, uključujući lozinke. Istraživači sugeriraju da Ryzenfall može pristupiti dijelovima CPU -a do kojih prethodni napadi nisu mogli doći.
Chimera, koja utječe na Ryzen Workstation i Ryzen Pro strojeve, ima dvije varijante: hardver i firmver. Na hardverskom mjestu čipset omogućuje pokretanje zlonamjernog softvera pa se može zaraziti putem Wi-Fi-ja, Bluetootha ili drugog bežičnog prometa. Na strani firmvera postoje problemi zbog kojih se zlonamjerni softver može staviti izravno na CPU. Ali prvo morate oslabiti procesor s napadom Chimera.
Fallout će vjerojatno utjecati samo na poduzeća jer je ograničen na EPYC poslužiteljske čipove. Omogućuje napadačima i čitanje i pisanje sa zaštićenih memorijskih područja, uključujući Windows Defender Credential Guard, koji pohranjuje podatke u odvojeni dio operacijskog sustava.
"Nedavno smo upoznati s ovim izvještajem i pregledavamo te informacije", rekao je glasnogovornik Microsofta.
Istraživači su rekli CNET -u da bi ti nedostaci mogli potrajati nekoliko mjeseci, iako AMD još uvijek nije dostavio vremenski okvir. Trenutno je najbolja opcija uvijek ažurirati svoj operacijski sustav i, kad je to moguće, instalirati najnovije zakrpe od dobavljača vašeg stroja ili od AMD -a. Ovo su isti savjeti koje treba slijediti ako na vaš stroj utječu Spectre ili Meltdown, koji su utjecali na procesore Intel, AMD i ARM.
AŽURIRANJA 13. ožujka: Na web stranici AMDFlaws.com nismo primijetili vezu u sitnom tisku koja vodi do "Pravne odgovornosti". Tekst odricanja od odgovornosti izaziva zabrinutost zbog etičke prakse CTS -a.
"Iako dobro vjerujemo u svoju analizu i vjerujemo da je objektivna i nepristrana", kaže se u izjavi o odricanju odgovornosti. "obaviješteni smo da možemo, izravno ili neizravno, imati gospodarski interes u obavljanju vrijednosnih papira tvrtki čiji su proizvodi predmet naših izvješća."
"CTS ne preuzima odgovornost za pogreške ili propuste", dodaje se odricanje odgovornosti. "CTS zadržava pravo izmjene sadržaja ove web stranice i ograničenja njegove uporabe, sa ili bez najave, a CTS zadržava pravo suzdržati se od ažuriranja ove web stranice čak i ako ona postane zastarjela ili netočna."
Na jednostavnom engleskom, odricanje od odgovornosti kaže da CTS to hipotetički ne bi smatrao neetičkim da je zauzeo kratak stav o dionicama AMD -a prije objavljivanja izvješća. Također kaže da ako bilo što u izvješću nije u redu, to nije krivica CTS -a.
Ubrzo nakon što je CTS objavio svoje izvješće u utorak u 10 sati po istočnom vremenu, tvrtka za istraživanje tržišta pod nazivom Viceroy Research objavila je vlastiti PDF od 25 stranica temeljen na izvješću CTS-a i proglasila "osmrtnicu" za AMD. Viceroy je specijaliziran za kratkoročno prodavane dionice tvrtki za koje izjavljuje da imaju skrivene nedostatke.
Nepotrebno je reći da su takva odricanja od odgovornosti vrlo neobična unutar sigurnosno-istraživačke zajednice, a vrijeme i duljina izvješća Viceroya sugeriraju da je tvrtka za istraživanje tržišta unaprijed obavijestila CTS-ovo izvješće.
Ipak, neki stručnjaci misle da bi unatoč motivima nedostaci mogli biti stvarni.
Bez obzira na buku oko izdanja, greške su stvarne, točno opisane u njihovom tehničkom izvješću (koje nije javni afaik), a njihov exploit kod radi. - Dan Guido (@dguido) 13. ožujka 20,20-2022
Još uvijek mislimo da je izvješće CTS-a o sigurnosnom istraživanju prošlo test mirisa, ali ovo ćemo pomno promatrati.
AŽURIRAJ 14. ožujka: Preko predstavnika, izjavu nam je dao Yaron Luk, suosnivač tvrtke CTS-Labs.
"Pažljivo smo provjerili naše rezultate i interno i sa validatorom treće strane, Trail of Bits", djelomično se navodi u izjavi, misleći na tvrtku Dan Guida. "Isporučili smo potpuni tehnički opis i dokaz koncepta ranjivosti AMD -u, Microsoft -u, Dell -u, HP -u, Symantecu i drugim sigurnosnim tvrtkama.
"Otkrivanje potpunih tehničkih detalja dovelo bi korisnike u opasnost. Veselimo se odgovoru AMD -a na naša otkrića."
Slika: AMD
Windows 10 Sigurnost i umrežavanje
- Prethodni savjet
- Sljedeći savjet
- Koristite roditeljski nadzor u sustavu Windows 10
- Pronađite svoju MAC adresu
- Pretvorite svoje Windows računalo u Wi-Fi žarišnu točku
- Mapa zaštićena lozinkom
- Izradite račun za goste u sustavu Windows 10
- Omogućite Windows Hello Hello Fingerprint Login
- Postavite Windows Hello prepoznavanje lica
- Kako ograničiti Cortanino stalno prisutno slušanje u sustavu Windows 10
- Automatski zaključajte svoje računalo pomoću dinamičkog zaključavanja
- Na crnom popisu aplikacije koje nisu u Windows trgovini
- Pronađite spremljene lozinke za Wi-Fi
- Postavite mjerljivu internetsku vezu
- Koristite Find My Device
- Stream XBox One igre
- Svi savjeti za Windows 10
- Mapirajte mrežni pogon
- Izradite ograničene korisničke račune
- Postavite vremenska ograničenja za djecu
- Prikvačite osobe na traku zadataka