Sikkerhedsfolk finder sårbarhed i AMD-processorer: Ryzen og Epyc ramt - men passer det?

Et lille sikkerhedsfirma har fundet 13 sårbarheder i nogle af AMD’s mest udbredte processorer. Men har de selv rent mel i posen?

Det lille israelske it-sikkerhedsfirma CTS-Labs med blot seks medarbejdere hævder, at det har opdaget 13 sårbarheder i nogle af chip-giganten AMD’s mest udbredte processorer.

Opdagelsen har fået stor opmærksomhed i tech-medier over hele verden - ikke mindst fordi sårbarhederne ifølge CTS-Labs findes i blandt andet AMD’s Ryzen- og Epyc-processorer. Men samtidig bliver der sat spørgsmåltegn ved motiverne hos sikkerhedsfirmaet.

Sagen handler om AMDs populære processorer, som i dag anvendes i millioner af enheder verden over: Ryzen i pc’er og Epyc i servere.

Det israelske selskab har angiveligt opdaget fire mulige angreb med kodenavnene Masterkey, Ryzenfall, Fallout og Chimera.

Det skriver CTS-Labs i denne bulletin: Severe security advisory on AMD-processors.

Normalt regnes hovedproblemet for sårbarheder at findes i software, men hardware-sårbarheder er for alvor kommet i fokus med opdagelsen af Spectre- og Meltdown-sårbarhederne i januar.

AMD: For lidt tid
AMD bekræfter, at det har modtaget en henvendelse fra selskabet om mulige sårbarheder. Normalt giver sikkerhedsfirmaerne de ramte producenter 90 dage til at reagere, inden de offentliggør deres opdagelser.

Men AMD meddeler, at selskabet ‘netop’ har modtaget oplysninger om disse sårbarheder.

“Sikkerhed har topprioritet hos AMD, og vi undersøger nu disse meldinger, som vi lige har modtaget, for at forstå metodologi og oplysningernes grundlag,” lyder det fra AMD.

“Dette selskab [CTS Labs, red] har indtil nu ikke været kendt af AMD, og det er usædvanligt for et sikkerhedsfirma at publicere opdagelser til pressen uden at give det ramte selskab en rimelig tidsfrist til at undersøge og adressere opdagelserne,” lyder det fra AMD.

ArsTechinca har også påpeget, at der er lidt sære omstændigheder ved CTS-afsløringen. Blandt andet nævnes det, at der er tilføjet en disclaimer til sikkerhedsrapporten, hvor der står:

"You are advised that we may have, either directly or indirectly, an economic interest in the performance of the securities of the companies whose products are the subject of our reports."

Det vil sige, at CTS kan have interesse i at AMDs klarer sig dårligt.

Og i disclaimeren nævnens det ligeledes, at afsløringen af sårbarhederne ikke er "statements of fact," men i stedet er holdningsbaserede.

Ifølge ArsTechica er en disclaimer af denne karakter højest usædvanlig. Derfor maner det amerikanske medie til besindighed, men understreger dog samtidig, at der kan være noget om snakken:

"People who rely on AMD chips shouldn't panic, but they also shouldn't discount the warnings contained in the report, despite the questionable motivations for its release."

Opdatering: Der er tilsyneladende noget om snakken siger de eksperter, som Computerworld har talt med



Ytringer på debatten er afsenders eget ansvar - læs debatreglerne
Indlæser debat...

Premium
C2IT opkøber dansk it-konsulenthus: Tidligere Sentia-boss med ledende roller i begge selskaber har forhandlet prisen
Interview: Michael Meister er del af ledelsen i både C2IT og Softhuset, som lægges sammen. Den tidligere Sentia-direktør har forhandlet prisen og varetaget Softhusets interesser i forhandlingerne, men fortsætter i C2IT efter handlen.
Computerworld
Her er de tre nye iPhones: Apple har netop præsenteret to frække topmodeller samt en helt ny "folketelefon"
Apple har netop løftet sløret for tre nye iPhones. Den ene af dem er måske det tætteste Apple kommer på en folketelefon
CIO
Machine learning og kunstig intelligens med Jesper Steen Møller "Der er rigtigt meget teknik som for nogen ser nærmest magisk ud"
Tech fra Toppen: Hvornår det giver mening at bruge machine learning - og hvordan du kommer bedst muligt i gang? Få svaret i den seneste udgave af Computerworlds podcast "Tech fra toppen" med datalog Jesper Steen Møller.
Job & Karriere
Her er syv job-annoncer der overrasker med helt usædvanlige overskrifter
Der er mange ledige it-job i øjeblikket. It-jobbank har her fundet syv spændende stillinger, der har det til fælles, at annoncen har en utraditionel overskrift.
White paper
NY 2018 it-survey: Hvad skaber arbejdsglæde for it-professionelle i Danmark?
IT-jobbank og Computerworld har i tæt samarbejde udarbejdet den seneste arbejdsglæderapport for it-professionelle i Danmark. Med mere end 3.000 respondenter får du og din virksomhed et unikt og fyldestgørende indblik i, hvad I skal fokusere på, når I skal rekruttere og ikke mindst fastholde jeres it-medarbejdere. Derudover viser rapporten overraskende, at mere end halvdelen af de adspurgte overvejer at skifte job i løbet af de de næste 24 måneder.