Sikkerhedsfolk finder sårbarhed i AMD-processorer: Ryzen og Epyc ramt - men passer det?

Et lille sikkerhedsfirma har fundet 13 sårbarheder i nogle af AMD’s mest udbredte processorer. Men har de selv rent mel i posen?

Det lille israelske it-sikkerhedsfirma CTS-Labs med blot seks medarbejdere hævder, at det har opdaget 13 sårbarheder i nogle af chip-giganten AMD’s mest udbredte processorer.

Opdagelsen har fået stor opmærksomhed i tech-medier over hele verden - ikke mindst fordi sårbarhederne ifølge CTS-Labs findes i blandt andet AMD’s Ryzen- og Epyc-processorer. Men samtidig bliver der sat spørgsmåltegn ved motiverne hos sikkerhedsfirmaet.

Sagen handler om AMDs populære processorer, som i dag anvendes i millioner af enheder verden over: Ryzen i pc’er og Epyc i servere.

Det israelske selskab har angiveligt opdaget fire mulige angreb med kodenavnene Masterkey, Ryzenfall, Fallout og Chimera.

Det skriver CTS-Labs i denne bulletin: Severe security advisory on AMD-processors.

Normalt regnes hovedproblemet for sårbarheder at findes i software, men hardware-sårbarheder er for alvor kommet i fokus med opdagelsen af Spectre- og Meltdown-sårbarhederne i januar.

AMD: For lidt tid
AMD bekræfter, at det har modtaget en henvendelse fra selskabet om mulige sårbarheder. Normalt giver sikkerhedsfirmaerne de ramte producenter 90 dage til at reagere, inden de offentliggør deres opdagelser.

Men AMD meddeler, at selskabet ‘netop’ har modtaget oplysninger om disse sårbarheder.

“Sikkerhed har topprioritet hos AMD, og vi undersøger nu disse meldinger, som vi lige har modtaget, for at forstå metodologi og oplysningernes grundlag,” lyder det fra AMD.

“Dette selskab [CTS Labs, red] har indtil nu ikke været kendt af AMD, og det er usædvanligt for et sikkerhedsfirma at publicere opdagelser til pressen uden at give det ramte selskab en rimelig tidsfrist til at undersøge og adressere opdagelserne,” lyder det fra AMD.

ArsTechinca har også påpeget, at der er lidt sære omstændigheder ved CTS-afsløringen. Blandt andet nævnes det, at der er tilføjet en disclaimer til sikkerhedsrapporten, hvor der står:

"You are advised that we may have, either directly or indirectly, an economic interest in the performance of the securities of the companies whose products are the subject of our reports."

Det vil sige, at CTS kan have interesse i at AMDs klarer sig dårligt.

Og i disclaimeren nævnens det ligeledes, at afsløringen af sårbarhederne ikke er "statements of fact," men i stedet er holdningsbaserede.

Ifølge ArsTechica er en disclaimer af denne karakter højest usædvanlig. Derfor maner det amerikanske medie til besindighed, men understreger dog samtidig, at der kan være noget om snakken:

"People who rely on AMD chips shouldn't panic, but they also shouldn't discount the warnings contained in the report, despite the questionable motivations for its release."

Opdatering: Der er tilsyneladende noget om snakken siger de eksperter, som Computerworld har talt med


mest debatterede artikler

Premium
Grundfos fyrer to-cifret antal it-medarbejdere i stor omstrukturering
Den store fyringsrunde i Grundfos i september har fået konsekvenser for selskabets it-afdeling, der bliver beskåret. Et to-cifret antal it-medarbejdere er blevet opsagt.
Computerworld
Stein Bagger gør comeback i ny branche: "De lignede et mafiahold, førte sig frem som nyrige og plaprede løs om urealistiske drømme"
Stein Bagger har skiftet navn og fører sig nu frem i store biler i en helt ny branche, skriver en dansk avis.
CIO
Podcast: Her er seks gode råd om ledelse og digitalisering fra danske top-CIO'er
The Digital Edge: Vi har talt med 17 af Danmarks dygtigste digitale ledere - og samlet deres seks bedste råd om digitalisering og ledelse. Få alle rådene på 26 minutter i denne episode af podcasten The Digital Edge.
Job & Karriere
Se Waoos forklaring: Derfor har selskabet fyret topchef Jørgen Stensgaard med omgående virkning
Waaos bestyrelse opsiger fiberselskabets topchef, Jørgen Stensgaard, der fratræder med omgående virkning. Se hele forklaringen fra Waao her.
White paper
Sådan outsourcer du effektivt – og undgår fælderne
Nogle outsourcer for at minimere omkostningsniveauet, andre for at skaffe ressourcer og spidskompetencer, der er svære at skaffe lokalt – eller af en helt tredje årsag. Der er dog talrige forhold, der er gode at afdække, før man overhovedet begynder at lede en outsourcingudbyder. Man skal klarlægge egne projektbehov samt de spørgsmål og krav, man vil stille samt indsamle viden og erfaringer om, hvordan samarbejdet indledes, drives og styres optimalt. Dertil skal man kende til de hyppigste faldgruber, der kan få et ellers lovende outsourcingsamarbejde til at køre i grøften.