AMD fik kun et døgn til at rette nyopdagede, alvorlige processorsårbarheder

Illustration: garloon/Bigstock
... det var selvfølgelig ikke nok.

Det israelske it-sikkerhedsselskab CTS Labs skal have fundet 13 kritiske sårbarheder, inklusive bagdøre, i AMD's Ryzen- og Epyc-processorer. Det oplyser selskabet på deres eget website, som er oprettet for at præsentere disse sårbarheder. Sårbarhederne kan inddeles i fire klasser, som har fået navnene Ryzenfall, Fallout, Masterkey og Chimera.

Fuld kontrol

Ifølge CTS Labs kan angribere, som udnytter sårbarhederne, få fuld kontrol over AMD's sikkerhedsprocessor, som er inkluderet i mange Ryzen- og Epoc-systemer.

Det skal også være muligt at tage kontrol over Ryzen-chips-sæt, inficere chipsene med malware, stjæle logininformation i virksomhedsnetværk med høj sikkerhed, omgå omtrent alt, hvad der findes af løsninger for endpointsikkerhed samt forårsage fysisk skade på hardwaren.

Læs også: Her er Intels nyeste tidsplan for at fjerne Meltdown- og Spectre-sårbarhederne

Det er ikke sådan, at sårbarhederne berører alle systemer baseret på Ryzen eller Epyc. Flere af sårbarhederne findes kun i visse udgaver af processorene. En foreløbig oversigt findes på det nævnte website. Men både pc'er og servere med disse processorer er i større eller mindre grad berørt, oplyser CTS Labs.

Bagdøre

Chimera-kategorien skiller sig ud ved, at det ikke er sårbarheder, som skyldes fejl, men slet og ret bagdøre, som er blevet implementeret med den hensigt. Det skulle dreje sig om et chipssæt, som er leveret af taiwanske ASMedia, som AMD bruger til at håndtere eksterne enheder.

Sårbarhederne skal være blevet bekræftet af et eksternt selskab, Trail of Bits, forud for gårsdagens publicering.

Læs også: Nu kommer Spectre-søgsmålene mod AMD

En mere detaljeret rapport om sårbarhederne findes her (pdf).

Fik meget lidt tid

Ifølge Wired har AMD først fået viden om sårbarheden et døgn før offentliggørelsen. I en udtalelse skriver AMD, at selskabet finder det usædvanligt, at nogen går til pressen med sådanne oplysninger uden at give selskabet rimelig tid til at undersøge og adressere fundene. AMD oplyser også, at selskabet ikke har haft kendskab til CTS Labs før.

Uanset hvad er AMD nu i gang med undersøgelserne. Men selskabet har i hvert fald foreløbig ikke bekræftet, at sårbarhederne eksisterer.

Denne artikel er fra digi.no.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (16)
Dave Pencroof

Med mulige heftige konspirationsteoretikkere briller
Så kunne CTS labs, som er oprettet ret kort efter at AMD's Ryzen viser at i høj grad at kunne hamle op med Intel's bedste gamer cpu'er i i7 rækken , firmaet kunne så teoretisk være oprettet af strå-Intel personer, for at miskrediterer Ryzen og dette er oven i at Intel er blevet opdaget til at have voldsomme problemer på egne cpu'er, Meltdown, spectre og at de med microkoder ændre på cpu'er som "kunne for meget" ift det de var specificeret til, bla cpu'er uden K'et der alligevel kunne OC'es !
Jeg er ikke en konspirationstænker, men alligevel ligger dette så fornemt sammen, uden dog at nogen af os har den mindste mulighed for at bevise eller modbevise, og virksomheds konstruktioner af den type har været brugt i både store virksomheder til at bekæmpe potentielle rivaler og ny teknologi som kan kaste de store nær ruin, i masser af ejendoms spekulationer og masser af hvidvaskning i den kriminelle verden, der er eksempler over alt !

Please giv mig valide modargumenter båret af fakta, for der er rigeligt med råddenskab i denne verden som det er !

Hav en god dag alle !

Kenn Nielsen

...kunne CTS labs, som er oprettet ret kort efter at AMD's Ryzen viser at i høj grad at kunne hamle op med Intel's bedste gamer cpu'er i i7 rækken , firmaet kunne så teoretisk være oprettet af strå-Intel personer, for at miskrediterer Ryzen og dette er oven i at Intel er blevet opdaget til at have voldsomme problemer på egne cpu'er, Meltdown, spectre og at de med microkoder ændre på cpu'er som "kunne for meget" ift det de var specificeret til, bla cpu'er uden K'et der alligevel kunne OC'es !..<Kliip>...

Please giv mig valide modargumenter båret af fakta, for der er rigeligt med råddenskab i denne verden som det er !

Jeg har selv tænkt det samme....
Og stillet mig selv det samme spørgsmål, ie.:"Er det ikke lidt langt ude?"

Men jeg kan ikke finde nogen åbenlys grund, og jeg har været spændt på hvad Intel's modtræk til Epyc/Ryzen ville være.
Men jeg har ikke kunnet 'se' noget væsentligt modtræk.
Så er der de sædvanlige konkurrencemæssige 'trics' som Intel plejer at praktisere - dem opdager jeg naturligvis ikke.

Så kom "Meltdown & Co" , der - i det væsentlige - hovedsageligt ramte Intel
Nu var jeg rigtigt spændt....Men intet skete....Men JO !

Nu sker dette, - og det rammer kun AMD...
Så er jeg sidder tilbage med dén dér følelse af "Hvad skete der lige dér ?"

K

Ronnie Danmark

.. at AMD bygger bagdøre i deres mikrokode til deres CPU'er.
I øvrigt er der intet "intel" stråmandsarbejde bag CTSlabs.
CTSlabs er højtagtet og højtrespekteret for deres komptenceniveau.
I forhold til Intels' meltdown, og AMDs' spectre fik de respektive producenter 200 dage til at afklare sikkerhedsbristen - og dermed løsningen.

Isoleret set, er Meltdown og Spectre heller ikke på nogen måde ligeså grælle som det vi så for 2 dage siden!
Det der er kommet frem i lyset vedrørende Ryzen og Epyc, er aldeles alvorligt, særligt når vi nu ved at AMD forsætteligt har kodet bagdøre ind de respektive CPU'ers mikrokode. Mine tanker går på ingen måde mod Meltdown og Spectre - jeg sidder blot nu og tænker tilbage på NSA og AMD påstandene, som indtil flere IT sikkerhedseksperter bragte frem i lyset for nogle år tilbage!

CTS udtaler selv, at der i dette tilfælde er tale om så alvorlige "sikkerhedshuller", der er så komplekse at patche, at det vurderes at det vil tage op mod flere år, at få gennemført. Derfor har CTS udmeldt, at deres undersøgelser ligeså godt kunne blive offentliggjort nu, da en løsning - UANSET - AMD's interne undersøgelser og svar, som før nævnt vil tage for lang tid.

Jeg kan kun opfordrer til, at dem der sidder bag deres skærme og opfinder/spekulerer i aktiefaldsterioer, at man i stedet forholder sig til CTS' bevæggrunde, som jeg i øvrigt respekterer, og til fulde forstår, og værdsætter.

CTS har modsat dem der tænker i aktiekonspirationsterioer, jo netop bevist sikkerhedsmanglerne, samt de placerede bagdøre.
Jeg mangler at se beviset for aktiemanipulation - og det bevis vil aldrig se dagens lys - ikke fordi at det vil blive holdt hen og skjult, men simpelthen fordi at det ikke eksisterer.

Kort sagt - AMD har fejl i deres systemer. Det vurderes - på godt og solidt teknisk grundlag - at AMD ikke kan udbedre disse fejl indenfor en overskuelig tidsperiode (måneder), og derfor fik AMD 24 timer.

  • Men der er vel heller ikke nogen, på Version2 der alligevel benytter Ryzen processorer fra AMD, til professionel datadrift i et datacenter? Eller?
Joe Sørensen

Det lyder som om du kender nogle rigtig interessante kilder for dine påstande. Måske du vil dele dem?

Jeg tænker dog alligevel på de der 6 måneders frist. Nå har Intel næsten lovet at der vil komme en ny version uden allerede fundet sikkerhedsproblemer. De er der ikke endnu, men de er tættere på end de var for 6 måneder siden.

Dette betyder at hvis man gerne vil have CPUer uden kendte fejl, så skal man vente 6 måneder længere, hvis de er lige hurtige til at rette fejlen. Det lyder næsten som om at du påstår at AMD både at indført fejlen med vilje og har nægtet at rette dem og stadig ikke vil være begyndt på at udvikle nye CPUer uden allerede fundne fejl on 6 måneder. Og at dette er i modsætning til Intel.

Ellers kan det vel ikke ses som retfærdig at Intel skal have en frist, men AMD ikke skal. Selv hvis de er kodet ind ved vilje, kan de jo pludselig have fortrudt at de skal være der.

Anders Cold

CTSlabs er højtagtet og højtrespekteret for deres komptenceniveau.


Vrøvl. CTS Labs har bogstaveligt talt ikke fandtes før denne påståede sikkerhedsbrist. De har mindre end 9 mdr. på bagen iflg. domæneregistrering. Slå det eventuelt op.

CTS har modsat dem der tænker i aktiekonspirationsterioer, jo netop bevist sikkerhedsmanglerne, samt de placerede bagdøre.


Du kan selv spore CTS Labs' forbindelse tilbage til Viceroy Research, som tidligere har orkestreret ganske ekstensiv shorting/aktiekursmanipulation – lige her og nu.

Hans Nielsen

Ronnie Danmark du vil jeg gerne blive lidt personligt. Har du lidt kendsgerning og henvisninger ?

Hvor har du de fantastik kendsgerninger fra. Som du påstår. I en helt ny oprettet, tydeligt falsk oprettet profil.

Nu vil jeg anmelde din profil , og igen bede Version 2 om at fjerne eller ændre indhold* , i deres artikel, som tydeligvis er videre bragt, falske beskyldninger i forbindelse med enten aktiemanipulation eller tilsvining af AMD. da Intel ikke harnoget, der bare kommer i nærheden af noget, der kan stå den sidste Ryzen CPU serie fra AMD. (+vega)

Min forudsigelse er, at AMD og Intel inden længe igen, kommer til at dele fifty fifty om CPU marked og især for første gang også på mobil markedet.
Da grafikkort i dag er dyre på grund af mining. Så er især deres billige 2200G** og 2400G hvor du får både CPU og Grafikkort samlet, og deres ditto 2300U og 2500U til mobil . Kraftigere og billigere end muligt med Intel, noget der hurtigt vil koste Intel.

  • Kan version som det mindste ikke skrive, en ny artikel om svindel og tvivl, og angive dette i starten af artiklen. Det kræver så lidt mere arbejde end at maskin oversætte en artikel. Men de fleste seriøse steder som Toms Hardware og selv Thorvald Linux har taget stærkt afstand fra indhold og måden, og sår stærkt tvivl om CTS Lab.
    De kan jo tage Ronnie Danmark indlæg med, som viser at der er nogle som arbejder meget stærkt på at svindlen ikke skal afdække. mere end de åbenbart arbejder seriøst med sikkerhedsspørgsmål. Deres gøren og laden viser tydeligvis at det forholder sig sådan. De har vis ikke vist eller bevist deres "huller" til AMD, som jeg forstår det.

**Har lige selv købt og brugt en 2200G (750 incl moms) til test. Eneste minus er de noget dyre priser for hurtigt ram, som er meget vigtigt for Ryzen. husk 2 styk og kun 2 styks. gerne mindst 300 MHz. Køre afspilning af 4K video, spil 720p (rimeligt) og med underclokning, siger den ikke et dyt, den bruger kun 20 Watt standby. Motherboard er også billig og under 400 kr. Du får en fornuftigt CPU køler med. Og du kan med AMD, sikkert bruge de samme bundkort og CPU/GPU de næste 8-10 år.

Disclaimer... Har altid været glad for AMD siden Athlon. På grund af deres status som Underdog, og Intels ulovlige opførelse. Godt der igen er rigtigt konkurrence. Den gang fører AMD dog med flere længder i forhold til Intel. Der ikke har ville levere flere kerne til "masserne" til en fornuftigt pris. Og slet ikke har noget der modsvare Vega i grafikdelen.

Nå vi ser nok snart en anden artikel, kilden til meget af jeres indhold er komme videre.

https://www.digi.no/artikler/flere-stiller-seg-svaert-tvilende-til-avslo...

"Men der er vel heller ikke nogen, på Version2 der alligevel benytter Ryzen processorer fra AMD, til professionel datadrift i et datacenter? Eller?" Jo de er stærkt på vej.. Deres server CPU koster under 1/3 af Intels. Et godt salgsaument, når også mobo og andet er billigere og flere ting er gratis i forhold til Intel.

Hans Nielsen

Sikkert billigere i stumper og CPU end hvad en Intel CPU koster.

Også er den også yderst egnet til gaming, hvis det er det man vil.
Prøv det på en Xeon cpu.

https://www.pcper.com/reviews/General-Tech/Building-Our-Kick-Ass-Plex-Se...

Men du har da ret, vi venter på en rigtigt server udgave af RYZEN, men AMD har sikkert besluttet sig at tage det segment de var sikker på først.

Med så mange kerne og tråde som Ryzen Threadripper har, er det måske heller ikke så vigtigt med support for flere CPU. Men helt at slå Intel på specifikation på en CPU til 4 gange prisen, kan den ikke. Til gengæld koster det heller ikke penge, ved AMD at få adgang til software og "extra" feature. Og alle chip er som standard ikke låst, og mange kan Overclockes voldsomt.

Som svar til "Men der er vel heller ikke nogen, på Version2 der alligevel benytter Ryzen processorer fra AMD, til professionel datadrift i et datacenter? Eller?"

Så jeg tror at når først at AMD har leveret til Mobil og desktop marked, så ser vi endnu bedre og billigere mere server egnet cpu. Hvis vi taler ydelse/pris, fuldt og helt adgang til chip og software, så har AMD RYZEN allerede leveret.

" at AMD bygger bagdøre i deres mikrokode til deres CPU'er."
Men det er bevist at Intel gør det.

Ronnie Danmark

Lad os få nogle fakta på bordet:
Ido Li On grundlagde NorthBit i 2011. NorthBit blev i 2017 købt af Magic Leap. NorthBit stod blandt andet påvisningen af stagebright Android exploiten, og NorthBit havde, så vidt jeg ved på salgstidspunktet til MagicLeap over 20 ansatte. Northbit lavede avanceret sikkerheds software, men de lavede i lige så høj grad også avanceret software research på stort set alle platforme. NorthBit havde blandt andet HP, AMD, Qualcomm m.fl som kunder. Alle fra NorthBit var software og sikkerhedsspecialister fra det israelske efterretningsvæsen - hver som en! Derfor er CTSlabs i min optik en virksomhed med kompetencerne i orden.

I 2017 grundlægger Ido Li On og hans kammerater fra NorthBit et nyt firma - måske med kapitalen fra salget af NorthBit????? Hvad er der så forfærdeligt underligt, i at bygge et nyt firma, efter at have solgt sit gamle? Blot fordi at et domænenavn er 7 måneder gammelt, gør det jo ikke folkene bag til idioter, eller mindre kompetente til det de laver!
AMD.com var også engang et domæne, der var 7 måneder gammelt!

Jeg kan fint følge deres begrundelse for at smide det hele ud til offentligt skue - og hvorfor skulle de ikke gøre det? Hvem skal diktere at nogen skal have 90 dage til at rydde op i deres rod? Eller 200 dage for den sags skyld. Det er en industristandard der hovedsageligt er sat producenterne imellem, og kun til gavn for producenterne selv , men det betyder langt fra, at det er en standard som skal følges.

Med tesen om, at fordi at "det er standard så skal de gøre det", så kunne retailkæderne jo så lave en standard om 365 dages frist til at fjerne livsfarlige varer fra hylderne? Det her med standarder - det er i øvrigt en tankevirksomhed som MANGE virksomheder skal til at gøre op med, som befinder sig i vores branche, og her mener jeg helt specifikt ny EU GPDR! Der skal IKKE gives tid til "dit og dat" og fejl/mangler skal offentliggøres omgående, og bødestraffene taler vidst helt for sig selv på det område.

Tillige er jeg personligt fortaler for, at man skal gøre op med disse "standarder", og gøre præcis som CTSlabs har gjort i dette tilfælde.
Netop det, at man fortæller offentligheden og medierne hvad man har opdaget, og KUN tilvejebringer metodikkerne man har benyttet til selve producenten og enkelte andre sikkerhedsspecialister.
Hverken DU eller JEG har behov for at vide, præcist hvordan det er gjort! Det er også tilfældet her, og alt hvad CTSlabs har fremstillet offentligt, er på nuværende tidspunkt bekræftet af både Dan Guido og Alex Ionescu! I kan selv google overstående navne!
Derfor vil jeg nu komme med ordsproget "lad ikke motivet stå i vejen for budskabet" og motivet i dette tilfælde er INTET andet end spekulation i, at Ido Li On og Co, MÅSKE har relationer til en virksomhed der vil føre AMD konkurs på grund af overstående - og helt ærligt.. Hvis nogen tror på, at nogen tror på at nogen kan få AMD konkursbegæret fordi man finder mikrokode sikkerhedshuller.. Så er "nogen" idiot!

Og nej, man skal IKKE være fysisk ved en server/pc, for at gennemføre disse exploits, som mange siger! Man skal blot have fuld administrationsrettigheder i operativ systemet - og det er voldsomt let at få, og der er millioner af kompromitterede maskiner på verdensplan, så derfor er disse exploits noget som skal tages ganske alvorligt!

Desuden kan jeg ikke forholde mig praktisk til nogen (Hans Nielsen), på version2, der kun kan argumentere ved at "være lidt personlig".
Det har jeg ingen kommentarer og meninger om.

Rene Andersen

Kan man flashe en modded BIOS på et Intel motherboard ? (Ja)
- Hvorfor er det så kun AMD der bliver nævnt ?

Kan man manipulere med en signed driver på et system, der kører med en Intel processor ? (Ja)
- Hvorfor er det så kun AMD, der bliver nævnt ?

Hvorfor er domænerne registrerede igennem domainsbyproxy.com ?
Hvis man er et velrespekteret firma er det vel ikke nødvendigt ?

Virksomhedens officielle youtube kanal er lavet i marts måned i år !!
2 timer efter offentliggørelsen af kampagnen, sender Viceroy research (https://www.moneyweb.co.za/in-depth/investigations/viceroy-unmasked/) et 32 siders dokument ud, hvor i de hævder at dette er enden for AMD.

Det lugter langt væk af forsøg på kursmanipulation.

Ronnie Danmark

Kan man flashe en modded BIOS på et Intel motherboard ? (Ja)
- Hvorfor er det så kun AMD der bliver nævnt ?


Forskellen, så at sige er, at Intel ikke lægger skjul på muligheden for det i deres chipsæt. Meningen er faktisk at du kan benytte API, og i stærk kontrast kan du med de rette bundkort, deaktivere muligheden på Intels chipset - det kan du ikke på Ryzen mikrokoden!
Desuden, giver det aboslut heller ingen mening, at nævne Intel, når det er AMDs produkter, der er blevet sikkerhedsanalyseret.
Måske skulle jeg spørge dig, hvad Intel overhovedet skal blandes ind i debatten for?

Hvorfor er domænerne registrerede igennem domainsbyproxy.com ?
Hvis man er et velrespekteret firma er det vel ikke nødvendigt ?

Skriv en email og spørg dem - hvor i alverden skulle jeg vide det fra?
Reporten er lavet af CTSlabs og deres domæne er købt ved godaddy.com - men det er måske ikke professionelt nok til dig, eller andre spekulanter?

Virksomhedens officielle youtube kanal er lavet i marts måned i år !!


Igen kan jeg kun sige "Hvad er der så forfærdeligt underligt, i at bygge et nyt firma, efter at have solgt sit gamle? Blot fordi at et domænenavn er 7 måneder gammelt, gør det jo ikke folkene bag til idioter, eller mindre kompetente til det de laver!" Dette er deres første offentlige udmeldelse og analyse. Noget skal jo "for fa'en" være et firmas første, og det samme må da også gælde for en oprettelse af en hjemmeside, en blog, en youtube kanal eller en twitter konto.

2 timer efter offentliggørelsen af kampagnen, sender Viceroy research (https://www.moneyweb.co.za/in-depth/investigations/viceroy-unmasked/) et 32 siders dokument ud, hvor i de hævder at dette er enden for AMD.


Og hvad har det med CTSlabs at gøre? Det er jo lige præcis det alle (og dig måske?) spekulerer i - og min holding er min holdning indtil spekulationer er bevist. Spekulationer og konspirationsteorier er nu altså ikke, og har aldrig været, holdbart i retten, for hvis der ER tale om kursmanipulation, så er straffen voldsomt hård, og hvad har det igen, med CTSlabs' konklusioner at gøre, som i ØVRIGT tidligere nævnt, er bekræftet af både Dan Guido og Alex Ionescu.

Det forekommer mig lidt som om, at mange af her er fuldstændigt faktaresistente!

Nikolaj Brinch Jørgensen

Desuden, giver det aboslut heller ingen mening, at nævne Intel, når det er AMDs produkter, der er blevet sikkerhedsanalyseret.
Måske skulle jeg spørge dig, hvad Intel overhovedet skal blandes ind i debatten for?


Måske fordi det ikke er særlig seriøst af pågældende virksomhed at råbe op om helt indlysende veje til at smadre en computer. De "sikkerhedsbrister" som firmaet hævder at have fundet, er jo at du skal have fysisk adgang til maskinen, hackede drivers og priviligeret adgang. Det er ingenlunde særligt for AMD, det gælder muligvis alle x86 processorer (og flere til). Derfor skal man enten undlade at nævne nogen, elle nævne alle. At kune hænge een leverandør ud (i det her tilfælde AMD) er klart et udtryk for et ønske om at skade denne leverandør og ikke et udtryk for at gøre opmærksom på sikkerhedsbrister som det vil være pragmatisk at kunne udnytte. Men det virker som om du skøjter lidt let hen over indholdet af hvad Intel bristerne går ud på, kontra AMD bristerne. Intels er langt mere alvorlige, dog forsøger du at få det til at se anderledes ud, nøjagtigt som CTSLabs. Derfor er det helt naturligt at stille spørgsmål ved dine og CTSLabs hensigter.

At give 90 dage, er ikke som du tror, et udtryk for at "hjælpe" en leverandør. Det er netop for at sørge for at leverandøren har mulighed for at fikse problemet inden det bliver alment kendt, så ikke eventuelle brister vil blive udnyttet.
Ved at råbe op om hullerne for tidligt, giver det nemlig ondsindede mulighed for at benytte dem langt tidligere og dermed påføre samfundet større skade.
CTSLabs handlinger giver derfor kun mening i lyset af at ville skade leverandøren, og ikke vise samfundet hensyn, hvad angår sikker.

Ovenstående viser tydeligt at CTSLabs ikke går sikkerhedens ærinde, og det derfor er ganske vanskeligt at betegne dem som et seriøst sikkerhedsfirma.
Det rejser så spørgsmålet om hvorfor CTSLabs ønsker at skade specifikt AMD?

Hvem har interesse heri?
1. Intel - da de er i seriøs modvind. Sikkerhedshuller som har været i deres CPU'er i over 20 år, og det problem at AMDs CPU er mere sikre, bedre og hurtigere.
2. CTSLabs/Viceroy Research - der laver shorting spekulationer i lige præcist AMD.

Inden du en anden gang beskylder andre for faktaresistens, så ville det hjælpe noget hvis du kiggede lidt indad først, eller blot eventuelt tjekkede fakta, og måske lige overvejede kendsgerningerne.

PS: At tage dig seriøst er ligeså svært, med din falske profil. Hvis du virkelig mener du har andet end trolling af fremføre, og at du står ved dine holdninger, så deltag på lige fod med andre seriøse debattører.

Log ind eller Opret konto for at kommentere
Pressemeddelelser

Welcome to the Cloud Integration Enablement Day (Bring your own laptop)

On this track, we will give you the chance to become a "Cloud First" data integration specialist.
15. nov 2017

Silicom i Søborg har fået stærk vind i sejlene…

Silicom Denmark arbejder med cutting-edge teknologier og er helt fremme hvad angår FPGA teknologien, som har eksisteret i over 20 år.
22. sep 2017

Conference: How AI and Machine Learning can accelerate your business growth

Can Artificial Intelligence (AI) and Machine Learning bring actual value to your business? Will it supercharge growth? How do other businesses leverage AI and Machine Learning?
13. sep 2017