Sikkerhedsfolk finder sårbarhed i AMD-processorer: Ryzen og Epyc ramt - men passer det?

Et lille sikkerhedsfirma har fundet 13 sårbarheder i nogle af AMD’s mest udbredte processorer. Men har de selv rent mel i posen?

Det lille israelske it-sikkerhedsfirma CTS-Labs med blot seks medarbejdere hævder, at det har opdaget 13 sårbarheder i nogle af chip-giganten AMD’s mest udbredte processorer.

Opdagelsen har fået stor opmærksomhed i tech-medier over hele verden - ikke mindst fordi sårbarhederne ifølge CTS-Labs findes i blandt andet AMD’s Ryzen- og Epyc-processorer. Men samtidig bliver der sat spørgsmåltegn ved motiverne hos sikkerhedsfirmaet.

Sagen handler om AMDs populære processorer, som i dag anvendes i millioner af enheder verden over: Ryzen i pc’er og Epyc i servere.

Det israelske selskab har angiveligt opdaget fire mulige angreb med kodenavnene Masterkey, Ryzenfall, Fallout og Chimera.

Det skriver CTS-Labs i denne bulletin: Severe security advisory on AMD-processors.

Normalt regnes hovedproblemet for sårbarheder at findes i software, men hardware-sårbarheder er for alvor kommet i fokus med opdagelsen af Spectre- og Meltdown-sårbarhederne i januar.

AMD: For lidt tid
AMD bekræfter, at det har modtaget en henvendelse fra selskabet om mulige sårbarheder. Normalt giver sikkerhedsfirmaerne de ramte producenter 90 dage til at reagere, inden de offentliggør deres opdagelser.

Men AMD meddeler, at selskabet ‘netop’ har modtaget oplysninger om disse sårbarheder.

“Sikkerhed har topprioritet hos AMD, og vi undersøger nu disse meldinger, som vi lige har modtaget, for at forstå metodologi og oplysningernes grundlag,” lyder det fra AMD.

“Dette selskab [CTS Labs, red] har indtil nu ikke været kendt af AMD, og det er usædvanligt for et sikkerhedsfirma at publicere opdagelser til pressen uden at give det ramte selskab en rimelig tidsfrist til at undersøge og adressere opdagelserne,” lyder det fra AMD.

ArsTechinca har også påpeget, at der er lidt sære omstændigheder ved CTS-afsløringen. Blandt andet nævnes det, at der er tilføjet en disclaimer til sikkerhedsrapporten, hvor der står:

"You are advised that we may have, either directly or indirectly, an economic interest in the performance of the securities of the companies whose products are the subject of our reports."

Det vil sige, at CTS kan have interesse i at AMDs klarer sig dårligt.

Og i disclaimeren nævnens det ligeledes, at afsløringen af sårbarhederne ikke er "statements of fact," men i stedet er holdningsbaserede.

Ifølge ArsTechica er en disclaimer af denne karakter højest usædvanlig. Derfor maner det amerikanske medie til besindighed, men understreger dog samtidig, at der kan være noget om snakken:

"People who rely on AMD chips shouldn't panic, but they also shouldn't discount the warnings contained in the report, despite the questionable motivations for its release."

Opdatering: Der er tilsyneladende noget om snakken siger de eksperter, som Computerworld har talt med



Ytringer på debatten er afsenders eget ansvar - læs debatreglerne
Indlæser debat...
mest debaterede artikler

Computerworld
Interneteksperternes mareridt er gået i opfyldelse: EU godkender omstridt direktiv, der "ødelægger internettet for altid"
EU's lovgivende udvalg har godkendt nye copyright-regler, som indeholder to kontroversielle paragraffer. Eksperter advarer imod, at artikel 11 og 13 kan ødelægge internettet for altid. Reglerne mangler stadig at blive endeligt vedtaget.
CIO
Henrik Jeberg om at arbejde i Silicon Valley: "Er du dygtig nok får du tilbud der får en til at falde ned af stolen."
Henrik Jeberg bor i San Francisco og er direktør i Hampleton Partners, der rådgiver om opkøb med særligt fokus på teknologi. Hør ham fortælle om forskellen på Danmark og Silicon Valley - og om nogle af de vilde forhold der hersker i verdens ubestridte tech-hovedstad.
Job & Karriere
KMD opsagde tryghedsaftaler med medarbejderne få måneder før 300 medarbejdere blev outsourcet til IBM
KMD har i løbet af foråret opsagt to såkaldte tryghedsaftaler med en del af selskabets medarbejdere. Når aftalerne stopper ved udgangen af 2018, er de pågældende medarbejdere ikke længere berettiget til særlig godtgørelse. Det kan få konsekvenser, hvis IBM som forventet skærer i antallet af de 300 KMD-medarbejdere, som selskabet overtager.
White paper
Sådan indfrier du virksomhedens digitale potentiale - og her giver det mest værdi at starte
Digitalisering er det altafgørende omdrejningspunkt for mange virksomheder. Men hvor tager man fat, så det giver mest værdi? EG har identificeret fem helt centrale områder, hvor der typisk er et perfekt match mellem virksomhedens behov og de teknologiske muligheder. Læs dette whitepaper og få indblik i, hvordan vidt forskellige virksomheder har grebet det an. 14 sider på dansk.