Sikkerhedsfolk finder sårbarhed i AMD-processorer: Ryzen og Epyc ramt - men passer det?

Et lille sikkerhedsfirma har fundet 13 sårbarheder i nogle af AMD’s mest udbredte processorer. Men har de selv rent mel i posen?

Det lille israelske it-sikkerhedsfirma CTS-Labs med blot seks medarbejdere hævder, at det har opdaget 13 sårbarheder i nogle af chip-giganten AMD’s mest udbredte processorer.

Opdagelsen har fået stor opmærksomhed i tech-medier over hele verden - ikke mindst fordi sårbarhederne ifølge CTS-Labs findes i blandt andet AMD’s Ryzen- og Epyc-processorer. Men samtidig bliver der sat spørgsmåltegn ved motiverne hos sikkerhedsfirmaet.

Sagen handler om AMDs populære processorer, som i dag anvendes i millioner af enheder verden over: Ryzen i pc’er og Epyc i servere.

Det israelske selskab har angiveligt opdaget fire mulige angreb med kodenavnene Masterkey, Ryzenfall, Fallout og Chimera.

Det skriver CTS-Labs i denne bulletin: Severe security advisory on AMD-processors.

Normalt regnes hovedproblemet for sårbarheder at findes i software, men hardware-sårbarheder er for alvor kommet i fokus med opdagelsen af Spectre- og Meltdown-sårbarhederne i januar.

AMD: For lidt tid
AMD bekræfter, at det har modtaget en henvendelse fra selskabet om mulige sårbarheder. Normalt giver sikkerhedsfirmaerne de ramte producenter 90 dage til at reagere, inden de offentliggør deres opdagelser.

Men AMD meddeler, at selskabet ‘netop’ har modtaget oplysninger om disse sårbarheder.

“Sikkerhed har topprioritet hos AMD, og vi undersøger nu disse meldinger, som vi lige har modtaget, for at forstå metodologi og oplysningernes grundlag,” lyder det fra AMD.

“Dette selskab [CTS Labs, red] har indtil nu ikke været kendt af AMD, og det er usædvanligt for et sikkerhedsfirma at publicere opdagelser til pressen uden at give det ramte selskab en rimelig tidsfrist til at undersøge og adressere opdagelserne,” lyder det fra AMD.

ArsTechinca har også påpeget, at der er lidt sære omstændigheder ved CTS-afsløringen. Blandt andet nævnes det, at der er tilføjet en disclaimer til sikkerhedsrapporten, hvor der står:

"You are advised that we may have, either directly or indirectly, an economic interest in the performance of the securities of the companies whose products are the subject of our reports."

Det vil sige, at CTS kan have interesse i at AMDs klarer sig dårligt.

Og i disclaimeren nævnens det ligeledes, at afsløringen af sårbarhederne ikke er "statements of fact," men i stedet er holdningsbaserede.

Ifølge ArsTechica er en disclaimer af denne karakter højest usædvanlig. Derfor maner det amerikanske medie til besindighed, men understreger dog samtidig, at der kan være noget om snakken:

"People who rely on AMD chips shouldn't panic, but they also shouldn't discount the warnings contained in the report, despite the questionable motivations for its release."

Opdatering: Der er tilsyneladende noget om snakken siger de eksperter, som Computerworld har talt med



Ytringer på debatten er afsenders eget ansvar - læs debatreglerne
Indlæser debat...
mest debaterede artikler

Premium
Langt de fleste offentlige myndigheder halter bagefter med it-sikkerheden
Langt de fleste offentlige myndigheder er stadig ikke nået i mål med it-sikkerheden, viser en ny undersøgelse fra Digitaliseringsstyrelsen.
Computerworld
Gratis wifi på vej i 15 danske byer: Disse danske byer bliver del af europæisk wifi-initiativ
Femten danske byer er blevet udvalgt til at deltage i et EU-initiativ, der betyder, at borger og turister i byerne i løbet af de kommende år vil få adgang til gratis wifi.
CIO
Tag med på Computerworlds store lederkonference og mød de danske top-CIO'er, som bygger de nye it-afdelinger
Anvendelsen af digital teknologi og organiseringen af it-afdelinger er under radikal transformation. På konferencen Digitaliseringsledelse 2.0 kan du møde de CIO'er fra Bankdata, Adform og Rockwool, som står i spidsen for teknologi-adoptionen.
Job & Karriere
Efter blodrødt regnskab: Nu fyrer Atea 20 medarbejdere i Danmark
Atea fyrer nu 20 medarbejdere. Det sker som en direkte konsekvens af, at den danske forretning er under pres, oplyser selskabets direktør.
White paper
Kan du eliminere alle IT-truslerne på egen hånd?
Det er krævende at håndtere de mangeartede IT-sikkerhedstrusler på egen hånd – og trusselbilledet udvikler sig hele tiden. Denne hvidbog stiller skarpt på mulighederne for at løse nogle opgaver internt og håndtere andre i samspil med en ekstern udbyder af Managed Security Services.