GÜNCELLENMİŞ Raporun sonunda, ilgili güvenlik araştırmacılarının etiği hakkında sorulan sorular ve CTS-Labs'tan yapılan açıklama. Bu yazı ilk olarak 12:34'te yayınlandı. 13 Mart ve o zamandan beri güncellendi.
Araştırmacılar, AMD'nin Ryzen ve EPYC işlemcilerinde PC'lere kötü amaçlı yazılım bulaştırabilen, saldırganların önemli verilere erişmesine, dosyaları okuyup yazmasına ve yonga setlerini tamamen ele geçirmesine neden olabilecek 13 kritik güvenlik açığı buldu. CNET önce sorunları bildirdi.
Güvenlik açıkları, AMD'ye CTS-Labs'ın sorunları açıklamasından 24 saatten daha kısa bir süre önce haber veren İsrail güvenlik firması CTS-Labs tarafından keşfedildi. (Standart güvenlik araştırması uygulaması, satıcıya 90 gün önceden bildirimde bulunmaktır.) Bununla birlikte, CTS-Labs, kusurlardan yararlanan saldırıların yeniden üretilmesini zorlaştırabilecek teknik ayrıntılar konusunda ketumdur.
Kusurlar ve bunlarla ilgili saldırılar, CTS-Labs'ın Masterkey, Ryzenfall, Chimera ve Fallout olarak adlandırdığı dört kampa ayrılıyor.
Bir AMD sözcüsü, ReviewsExpert.net'e verdiği demeçte, "AMD'de güvenlik en büyük önceliktir ve yeni riskler ortaya çıktıkça kullanıcılarımızın güvenliğini sağlamak için sürekli çalışıyoruz." "Az önce aldığımız bu raporu, bulguların metodolojisini ve esasını anlamak için araştırıyoruz."
Bir blog gönderisinde AMD, rapor hakkında şüphe uyandırdı:
"CTS Labs adlı bir şirketten, bazı işlemcilerimizle ilgili potansiyel güvenlik açıkları olduğunu iddia eden bir rapor aldık. Bulgularını aktif olarak araştırıyor ve analiz ediyoruz. Bu şirket daha önce AMD tarafından bilinmiyordu ve bir güvenlik için olağandışı buluyoruz. Firmanın bulgularını araştırması ve ele alması için makul bir süre vermeden araştırmasını basına yayınlamak AMD'de güvenlik birinci önceliktir ve potansiyel yeni riskler ortaya çıktıkça kullanıcılarımızın güvenliğini sağlamak için sürekli çalışıyoruz . Gelişmeler oldukça bu blogu güncelleyeceğiz."
Masterkey, dizüstü bilgisayarlar (Ryzen Mobile çalıştıran), güçlü yaratıcı makineler (Ryzen Pro ile) ve iş istasyonları ve sunucular (sırasıyla Ryzen Workstation ve EPYC Server yongaları çalıştıran) dahil olmak üzere en geniş makine alanını etkileyebilir. Saldırı, kötü amaçlı yazılım bulaşması yoluyla yapılabilecek BIOS'un yeniden başlatılmasını içerir. Kusurun başarılı bir şekilde kullanılması, saldırganların güvenlik özelliklerini devre dışı bırakmasına ve hatta başlangıçta istenmeyen programları başlatmasına izin verir.
Ryzenfall, Chimera ve Fallout daha az doğrudan tehdit oluşturuyor, çünkü her biri bir saldırganın "yerel makinede yükseltilmiş yönetici ayrıcalıklarına sahip bir program çalıştırabilmesi" ve "satıcı tarafından dijital olarak imzalanmış bir sürücü" sağlaması gerektiğini gerektiriyor. araştırmacıların beyaz kağıdına. (Daha basit açıklamalar, kusurları tanıtmaya adanmış yeni web sitesinde, AMDFlaws.com'da.)
Kötü aktörler, hatta doğrudan fiziksel erişimi olmayanlar bile bir makinede bu tür bir güce sahip olsalardı, yine de istediklerini yapabilirlerdi. Sahte bir dijital imza sağlamak, çoğu sıradan siber suçlunun becerileri arasında değildir.
Ryzenfall, saldırganların herhangi bir Ryzen tabanlı makineyi hedef almasına ve işlemciyi tamamen ele geçirmek için kötü amaçlı kod kullanmasına olanak tanır; bu, parolalar da dahil olmak üzere her türlü korunan veriye erişime izin verir. Araştırmacılar, CPU'nun Ryzenfall'ın önceki saldırıların ulaşamadığı kısımlara erişebileceğini öne sürüyorlar.
Ryzen Workstation ve Ryzen Pro makinelerini etkileyen Chimera'nın iki çeşidi vardır: donanım ve bellenim. Donanım sitesinde, yonga seti kötü amaçlı yazılımın çalıştırılmasına izin verir, böylece Wi-Fi, Bluetooth veya diğer kablosuz trafik yoluyla bulaşabilir. Ürün yazılımı tarafında, kötü amaçlı yazılımın doğrudan CPU'ya yüklenebileceği sorunlar var. Ama önce Chimera saldırısı ile işlemciyi zayıflatmanız gerekiyor.
Fallout, EPYC sunucu çipleriyle sınırlı olduğu için yalnızca işletmeleri etkilemesi muhtemeldir. Saldırganların verileri işletim sisteminin ayrı bir bölümünde depolayan Windows Defender Credential Guard dahil olmak üzere korumalı bellek alanlarından hem okumasına hem de yazmasına olanak tanır.
Bir Microsoft sözcüsü, "Yakın zamanda bu rapordan haberdar olduk ve bilgileri gözden geçiriyoruz" dedi.
Araştırmacılar, AMD'nin henüz bir zaman çizelgesi sunmamasına rağmen, CNET'e bu kusurların düzeltilmesinin birkaç ay sürebileceğini söyledi. Şu anda en iyi seçenek, işletim sisteminizi her zaman güncel tutmak ve mümkün olduğunda, makinenizin satıcısından veya AMD'den en son yamaları yüklemektir. Bunlar, makineniz Intel, AMD ve ARM İşlemcileri etkileyen Spectre veya Meltdown'dan etkileniyorsa izlenecek ipuçlarıyla aynıdır.
GÜNCELLEMELER 13 Mart: AMDFlaws.com sitesinde "Yasal Sorumluluk Reddi"ne yol açan küçük harflerle yazılmış bir bağlantı fark etmedik. Feragatname metni, CTS'nin etik uygulamaları hakkında bazı endişeler uyandırmaktadır.
Sorumluluk reddi beyanı, "Analizimize iyi niyetli bir inancımız olmasına ve bunun nesnel ve tarafsız olduğuna inanmamıza rağmen" diyor. "Ürünleri raporlarımıza konu olan şirketlerin menkul kıymetlerinin performansında doğrudan veya dolaylı olarak ekonomik bir çıkarımız olabileceği konusunda bilgilendiriliyorsunuz."
Sorumluluk reddi beyanı, "CTS, hatalar veya eksiklikler için sorumluluk kabul etmez" diye ekliyor. "CTS, bu web sitesinin içeriğini ve kullanımına ilişkin kısıtlamaları bildirimde bulunarak veya bulunmadan değiştirme hakkını saklı tutar ve CTS, güncelliğini yitirmiş veya hatalı olsa dahi bu web sitesini güncellemekten kaçınma hakkını saklı tutar."
Basit bir İngilizceyle, sorumluluk reddi beyanı, CTS'nin, raporunun yayınlanmasından önce AMD hissesi üzerinde kısa bir pozisyon almış olsaydı, varsayımsal olarak bunu etik dışı olarak görmeyeceğini söylüyor. Ayrıca, rapordaki herhangi bir şey yanlışsa, bunun CTS'nin hatası olmadığını söylüyor.
CTS, raporunu Salı günü Doğu saatiyle 10.00'da yayınladıktan kısa bir süre sonra, Viceroy Research adlı bir pazar araştırma firması, CTS raporuna dayanan ve AMD için "ölüm ilanını" ilan eden kendi 25 sayfalık PDF'sini yayınladı. Viceroy, gizli kusurları olduğunu beyan ettiği şirketlerin açığa satış hisselerinde uzmanlaşmıştır.
Söylemeye gerek yok ki, bu tür feragatnameler güvenlik araştırmaları topluluğu içinde oldukça sıra dışıdır ve Viceroy raporunun zamanlaması ve uzunluğu, pazar araştırma firmasının CTS'nin raporunu önceden bildirdiğini göstermektedir.
Yine de bazı uzmanlar, gerekçelere rağmen kusurların gerçek olabileceğini düşünüyor.
Sürümün etrafındaki hype ne olursa olsun, hatalar gerçektir, teknik raporlarında (herkese açık olmayan) doğru bir şekilde açıklanmıştır ve açıklardan yararlanma kodları çalışır. - Dan Guido (@dguido) 13,2022-2023 Mart
Hâlâ CTS'nin güvenlik araştırması raporunun koku testini geçtiğini düşünüyoruz, ancak bunu yakından izleyeceğiz.
GÜNCELLEME 14 Mart: CTS-Labs'ın kurucu ortağı olan Yaron Luk, bir temsilci aracılığıyla bize bir açıklama yaptı.
Açıklamada kısmen Dan Guido'nun şirketine atıfta bulunarak, "Sonuçlarımızı hem dahili olarak hem de üçüncü taraf bir doğrulayıcı olan Trail of Bits ile dikkatlice doğruladık" dedi. "AMD, Microsoft, Dell, HP, Symantec ve diğer güvenlik şirketlerine güvenlik açıklarının tam bir teknik açıklamasını ve kavram kanıtını sunduk.
"Teknik ayrıntıların tamamının açıklanması kullanıcıları riske atabilir. AMD'nin bulgularımıza vereceği yanıtı sabırsızlıkla bekliyoruz."
Resim: AMD
Windows 10 Güvenlik ve Ağ İletişimi
- Önceki İpucu
- Sonraki İpucu
- Windows 10 Ebeveyn Denetimlerini kullanın
- MAC Adresinizi Bulun
- Windows PC'nizi bir Wi-Fi Hotspot'a dönüştürün
- Bir Klasörü Parolayla Koruma
- Windows 10'da Misafir Hesabı Oluşturun
- Windows Hello Parmak İzi Girişini Etkinleştir
- Windows Hello Yüz Tanıma'yı Ayarlayın
- Windows 10'da Cortana'nın Her Zaman Mevcut Dinlemesini Kısıtlama
- Bilgisayarınızı Dinamik Kilitle Otomatik Olarak Kilitleyin
- Windows Mağazası Olmayan Uygulamaları Kara Listeye Alın
- Kaydedilmiş Wi-Fi Şifrelerini Bul
- Ölçülü İnternet Bağlantısı Kurun
- Cihazımı Bul'u kullanın
- Xbox One Oyunlarını Yayınlayın
- Tüm Windows 10 İpuçları
- Bir Ağ Sürücüsünü Eşleyin
- Sınırlı Kullanıcı Hesapları Oluşturun
- Çocuklar için Zaman Sınırları Belirleyin
- Kişileri Görev Çubuğuna Sabitle