AMD Ryzenfall-ის უსაფრთხოების ხარვეზი ანადგურებს უკანასკნელ უსაფრთხო ნავსადგურს

(არასაიმედო არის ყოველკვირეული რუბრიკა, რომელიც იკვლევს კიბერუსაფრთხოების სწრაფად მზარდ თემას.

სამშაბათს, 13 მარტს, უსაფრთხოების ფირმა CTS Labs გამოაცხადა 13 ხარვეზის აღმოჩენა AMD-ის Ryzen და Epyc პროცესორებში. საკითხები მოიცავს დაუცველობის ოთხ კლასს, რომლებიც მოიცავს რამდენიმე ძირითად საკითხს, როგორიცაა ტექნიკის უკანა კარი. Ryzen-ის ჩიპსეტი და ხარვეზები, რომლებმაც შეიძლება მთლიანად დათრგუნონ AMD-ის უსაფრთხო პროცესორი, ჩიპი, რომელიც უნდა იმოქმედოს როგორც “უსაფრთხო სამყარო” სადაც მგრძნობიარე ამოცანები შეიძლება დაცული იყოს მავნე პროგრამების მიუწვდომელ ადგილას.

ეს გამოცხადება გამოვლინებიდან რამდენიმე თვის შემდეგ მოდის Meltdown და Spectre ხარვეზები, რომლებიც გავლენას ახდენდა AMD-ის, Intel-ის, Qualcomm-ის და სხვების ჩიპებზე. AMD, რომლის ჩიპები კომპრომეტირებული იყო Specter-ის გარკვეული ხარვეზებით, ფიასკოდან შედარებით უვნებელი გამოვიდა. ენთუზიასტებმა თავიანთი რისხვა Intel-ზე გაამახვილეს. თუმცა ა

რამდენიმე კლასობრივი სარჩელი იყო წარდგენილი AMD-ის წინააღმდეგ, ისინი არაფერია მასთან შედარებით ადვოკატთა განძი შეიქმნა Intel-ის წინააღმდეგ. Intel-თან შედარებით, AMD ჩანდა ჭკვიანი, უსაფრთხო არჩევანი.

ამან კიდევ უფრო ფეთქებადი გახადა სამშაბათის განცხადება AMD აპარატურის ხარვეზების შესახებ. Twitter-ის ქარიშხალი ატყდა, როდესაც უსაფრთხოების მკვლევარები და კომპიუტერის ენთუზიასტები კამათობდნენ დასკვნების მართებულობაზე. მიუხედავად ამისა, CTS Labs-ის მიერ მოწოდებული ინფორმაცია დამოუკიდებლად გადაამოწმა სხვა ფირმამ, ბიტების ბილიკი, დაარსდა 2012 წელს. პრობლემების სიმძიმე შეიძლება კამათი იყოს, მაგრამ ისინი არსებობენ და კომპრომისზე აყენებენ იმას, რასაც კომპიუტერის ზოგიერთი მომხმარებელი ბოლო უსაფრთხო ნავსადგურად თვლიდა.

გამჟღავნების ველური დასავლეთი

CTS Labs-ის კვლევის შინაარსი ნებისმიერ შემთხვევაში გამოიწვევდა სათაურებს, მაგრამ გამოვლენის დარტყმა გაძლიერდა მისი გაკვირვებით. როგორც ჩანს, AMD-ს მიეცა პასუხისთვის 24 საათზე ნაკლები დრო, სანამ CTS Labs საჯარო გახდებოდა, და CTS Labs არ გამოსულა საჯაროდ. ყველა ტექნიკური დეტალი, ნაცვლად იმისა, რომ ავირჩიოთ მათი გაზიარება მხოლოდ AMD-თან, Microsoft-თან, HP-თან, Dell-თან და რამდენიმე სხვა დიდთან კომპანიები.

ბევრი უსაფრთხოების მკვლევარი ტიროდა სასტიკად. ხარვეზების უმეტესობა კომპანიებს ადრე ეცნობება, რეაგირების ვადასთან ერთად. მაგალითად, Meltdown and Spectre, Intel-ს, AMD-სა და ARM-ს გააცნო 2017 წლის 1 ივნისს. Google-ის Project Zero გუნდი. პრობლემების გამოსწორების საწყისი 90-დღიანი ფანჯარა მოგვიანებით გაგრძელდა 180 დღემდე, მაგრამ დასრულდა ვადაზე ადრე, როდესაც რეესტრმა პირველად გამოაქვეყნა ამბავი ინტელის პროცესორის ხარვეზზე. CTS Labs-ის გადაწყვეტილებამ არ შესთავაზოს წინასწარი გამჟღავნება, გამოიწვია ვარაუდი, რომ მას ჰქონდა სხვა, უფრო მავნე მოტივი.

CTS Labs თავს იცავდა ილია ლუკ-ზილბერმანის წერილში, კომპანიის CTO, გამოქვეყნებული AMDflaws.com ვებსაიტზე. ლუკ-ზილბერმანი ეჭვქვეშ აყენებს წინასწარი გამჟღავნების კონცეფციას და ამბობს, რომ „მომწოდებლის გადასაწყვეტია, თუ მას სურს გააფრთხილოს კლიენტებს, რომ არის პრობლემა. ” ამიტომაც იშვიათად გესმით უსაფრთხოების ხარვეზის შესახებ რამდენიმე თვის შემდეგ დაუფარავი.

უფრო უარესი, ამბობს ლუკ-ზილბერმანი, ეს აიძულებს მკვლევარსა და კომპანიას შორის ზღვარზე თამაშს. შესაძლოა კომპანიამ არ უპასუხოს. თუ ეს მოხდება, მკვლევარი მძიმე არჩევანის წინაშე დგას; გაჩუმდი და იმედი გქონდეს, რომ სხვა ვერავინ იპოვის ხარვეზს, ან გაავრცელე ინფორმაცია ხარვეზის შესახებ, რომელსაც არ აქვს ხელმისაწვდომი პაჩი. თანამშრომლობა არის მიზანი, მაგრამ ფსონები როგორც მკვლევარისთვის, ასევე კომპანიისთვის ხელს უწყობს თავდაცვას. კითხვა იმის შესახებ, თუ რა არის სწორი, პროფესიული და ეთიკური, ხშირად იშლება წვრილმან ტრიბალიზმში.

ქვედა სად არის?

ხარვეზის გამჟღავნების ინდუსტრიის სტანდარტი არ არსებობს და მისი არარსებობის შემთხვევაში ქაოსი სუფევს. მათაც კი, ვისაც სჯერა გამჟღავნების, არ ეთანხმებიან დეტალებს, მაგალითად, რამდენ ხანს უნდა მიეცეს კომპანიას პასუხის გასაცემად. შეთანხმების არარსებობა ნიშნავს, რომ არ არსებობს იმის ცოდნა, თუ როდის გამოაშკარავდება შემდეგი ძირითადი ხარვეზი, ვისგან იქნება ის ან როგორ იქნება მოხსენებული.

კიბერუსაფრთხოება არეულობაა და ეს არის არეულობა, რომელიც თითოეულ ჩვენგანს შეეწირა. მიუხედავად იმისა, რომ საგანგაშოა, AMD პროცესორების ახალი ხარვეზები - როგორიცაა Meltdown, Spectre, Heartbleed და მრავალი სხვა ადრე - მალე დაივიწყება. მათ უნდა იყოს დავიწყებული.

ბოლოს და ბოლოს, სხვა რა არჩევანი გვაქვს? კომპიუტერები და სმარტფონები სავალდებულო გახდა თანამედროვე საზოგადოებაში მონაწილეობისთვის. მათაც კი, ვინც მათ არ ფლობს, უნდა გამოიყენოს სერვისები, რომლებიც მათზეა დამოკიდებული.

პროგრამული უზრუნველყოფისა და ტექნიკის ყველა ნაწილი, რომელსაც ჩვენ ვიყენებთ, როგორც ჩანს, კრიტიკული ხარვეზებითაა დატვირთული. ასეც რომ იყოს, თუ არ გადაწყვეტთ საზოგადოების მიტოვებას და ტყეში სალონის აშენებას, თქვენ უნდა გამოიყენოთ ისინი.

ჩვეულებრივ, მსურს ეს სვეტი პრაქტიკული რჩევებით დასრულდეს. გამოიყენეთ ძლიერი პაროლები. არ დააწკაპუნოთ ბმულებზე, რომლებიც ჰპირდებიან უფასო iPad-ებს. ასეთი რამ. ასეთი რჩევა ჭეშმარიტად რჩება, მაგრამ ისეთი შეგრძნებაა, როგორც სამაშველო ჟილეტზე შემოჭერა, როცა გემი ცივ არქტიკულ წყლებში იძირება. რა თქმა უნდა. სამაშველო ჟილეტი კარგი იდეაა. თქვენ უფრო უსაფრთხო ხართ ამით, ვიდრე მის გარეშე - მაგრამ ეს საკმარისი აღარ არის თქვენი გადასარჩენად.

რედაქტორების რეკომენდაციები

• AMD Ryzen Master-ს აქვს ხარვეზი, რომელიც საშუალებას აძლევს ვინმეს აიღოს თქვენი კომპიუტერის სრული კონტროლი
• AMD-მ ახლახან გაავრცელა ოთხი საკუთარი მომავალი Ryzen 7000 CPU
• AMD-მ ახლახან მოიგო ძირითადი ომები და მას ჯერ კიდევ აქვს კოზირი თავის ყდის