Błędy w cyberbezpieczeństwie w chipach wciąż trwają zbyt długo, aby je naprawić

ERIK CARTER Erik Carter

Kiedy Intel i grupa badaczy bezpieczeństwa ujawnili w maju istnienie nowych luk bezpieczeństwa w starszych generacjach mikrochipów firmy, wiadomość ta pojawiła się ze szczególnie niepokojącym szczegółem: znalezienie rozwiązania dla jednej z luk zajęło ponad rok .

Badacze twierdzą, że zaalarmowali Intela o luce, którą nazwali ZombieLoad, w kwietniu 2018 r., ale poprawka została wprowadzona dopiero w zeszłym miesiącu. Dla porównania, producenci oprogramowania zazwyczaj potrzebują nie więcej niż 90 dni na wydanie łatek po wykryciu luki w ich kodzie. Im dłużej usterka pozostaje nieusunięta, tym większa szansa, że ​​haker ją znajdzie.

Daniel Gruss, profesor na Politechnice w Graz w Austrii i jeden z badaczy kto pomógł wydobyć ZombieLoad na światło dzienne , uważa, że ​​sprawy mogą działać szybciej. W e-mailu do MIT Technology Review Gruss mówi, że kiedy on i inni badacze powiadomili firmę Intel o luce w kwietniu zeszłego roku, przedstawili niezależnie zweryfikowany dowód koncepcji, aby pokazać, że jest to prawdziwy problem. W maju 2018 r. przekazali Intelowi dalsze szczegóły dotyczące luki, co może umożliwić hakerom zdobycie poufnych danych z aplikacji uruchomionych na komputerach.

Intel twierdzi, że początkowo nie był w stanie odtworzyć luki bezpieczeństwa, którą oznaczyli badacze, i dlatego potrzebował więcej dowodów przed podjęciem jakichkolwiek działań. Na początku tego roku w końcu ustalono, że rzeczywiście istnieje luka w zabezpieczeniach i wdrożono poprawkę.

Napięcie podkreśla wyzwania związane z radzeniem z wadami sprzętu. Są one często znacznie droższe i trudniejsze do rozwiązania niż problemy z oprogramowaniem, otwierając okno podatności, które może mieć wpływ na miliardy chipów. Naraża to wszystko, od serwerów w centrach danych po tablety i telefony komórkowe, na ryzyko włamania.

Widmo i topnienie

Presja na szybszą reakcję wzrosła od początku 2018 r., kiedy to przedwcześnie ujawniły się szczegóły kolejnego zestawu wad chipa, nazwanego Spectre i Meltdown. Nastąpił chaos, gdy firmy pospieszyły, aby ustalić, jak bardzo są podatne na ataki, a firmy chipowe starały się wydać poprawki oprogramowania. Odcinek bardziej wyeksponował luki w zabezpieczeniach chipów, prawdopodobnie zachęcając hakerów do intensywniejszego ich wyszukiwania.

Zazwyczaj, gdy badacze wykryją lukę w zabezpieczeniach oprogramowania lub sprzętu, zgłaszają ją poufnie do zainteresowanej firmy. Błąd jest trzymany w tajemnicy, podczas gdy firma pracuje nad rozwiązaniem, więc źli ludzie nie są ostrzegani o jego istnieniu. Następnie, gdy poprawka jest gotowa, firma rozpoczyna błyskawiczną reklamę, aby skłonić ludzi do jej zastosowania tak szybko, jak to możliwe.

Ten proces, znany jako skoordynowane ujawnianie luk w zabezpieczeniach (CVD), działa całkiem dobrze w przypadku łatania oprogramowania, co zwykle zajmuje nie więcej niż 90 dni w branży. Ale nadal zajmuje to niepokojąco dużo czasu w przypadku niektórych zagrożeń związanych z chipami.

Trzeba przyznać, że jest to bardziej skomplikowane. Rodzina chipów może zawierać dziesiątki wersji, z których każda korzysta z oprogramowania operacyjnego znanego jako mikrokod, który został do tego dostosowany. Naprawienie błędów wymaga aktualizacji mikrokodu dla wszystkich tych wersji.

Rozwiązania luk w zabezpieczeniach sprzętu mogą również obejmować aktualizacje takich rzeczy, jak systemy operacyjne, co oznacza, że ​​producenci chipów muszą ściśle współpracować z innymi firmami w tajemnicy, aby zapewnić, że ich poprawiony mikrokod nadal będzie działał w harmonii z innym oprogramowaniem, zanim poprawka zostanie wdrożona.

Oznaki postępu

Od czasów Spectre i Meltdown przemysł chipowy wprowadził pewne pożądane ulepszenia w procesie CVD. Bryan Jorgensen, starszy dyrektor ds. zapewnienia produktów i bezpieczeństwa w firmie Intel, mówi, że komunikacja między firmami zaangażowanymi w pomoc w usuwaniu luk w zabezpieczeniach w ich chipach musiała przepływać przez firmę Intel. Teraz często mogą współpracować bezpośrednio ze sobą, aby sprawdzić, czy poprawka działa z ich połączonymi systemami.

Poprawki błędów sprzętowych często wymagają od firm aktualizacji zarówno mikrokodu, jak i oprogramowania systemu operacyjnego. Były to oddzielne operacje, co wydłuża czas potrzebny na wprowadzenie poprawki. Jorgensen mówi, że Intel umożliwił teraz łączenie aktualizacji razem, dzięki czemu oba mogą być wykonywane jednocześnie.

Takie zmiany są mile widziane, ale jest jeszcze wiele innych obszarów, w których można zrobić więcej. Zawierają:

• Poprawa relacji z badaczami bezpieczeństwa

Naukowcy akademiccy i przemysłowi, którzy znajdują i zgłaszają wady chipów, twierdzą, że producenci chipów mogą nadal zbyt skrywać, co robią, aby je rozwiązać. To może rodzić nieufność. Gruss twierdzi, że firmy produkujące sprzęt powinny dostarczać naukowcom codzienne aktualizacje. Sugeruje również, że być może neutralna strona trzecia monitoruje postępowanie w przypadku incydentów cyberbezpieczeństwa.

• Zgoda na ustalenie terminu wykonania CVD sprzętu

Ostatni raport z organizacji non-profit Center for Cybersecurity Policy and Law (CCPL) ostrzega, że ​​gdy proces naprawy usterek sprzętu trwa dłużej niż norma dotycząca łatania oprogramowania, firmy zaangażowane w proces CVD mogą ulec pokusie podjęcia jednostronnych działań w celu ochrony swoich klientów i własnych zainteresowania.

Może to prowadzić do ujawnienia wad, zanim poprawki zostaną w pełni przetestowane. Pomogłoby uzgodnienie ram czasowych na rozwiązanie problemu luk w zabezpieczeniach sprzętu. Przemysł półprzewodników mógłby teraz zobowiązać się do harmonogramu ustalenia takiego terminu CVD.

• Edukowanie ludzi o konieczności radzenia sobie z zagrożeniami związanymi ze sprzętem

Opracowywanie poprawek oprogramowania jest całkiem bezcelowe, jeśli się nie przyzwyczai. W przypadku poprawek do oprogramowania wzrost popularności nie jest dobry, ale w przypadku sprzętu jest naprawdę zły, mówi Ari Schwartz, koordynator wykonawczy CCPL i były starszy dyrektor ds. cyberbezpieczeństwa w Radzie Bezpieczeństwa Narodowego USA.

Proste rzeczy, takie jak regularne uruchamianie domowych routerów, aby chipy w nich otrzymywały aktualizacje oprogramowania, nadal stanowią wyzwanie. Intel i inne firmy produkujące chipy uruchomiły więcej programów, aby edukować ludzi o zagrożeniach i sposobach ich radzenia sobie, ale potrzebny będzie jeszcze większy wysiłek.

• Ciężko pracujemy, aby wyeliminować luki w zabezpieczeniach w projektach chipów

Najnowsze generacje chipów wprowadzanych na rynek przez firmę Intel i inne nie są już podatne na ataki takie jak ZombieLoad i Spectre, dzięki zmianom w sposobie ich działania. Ale zawsze istnieje ryzyko, że pojawią się nowe rodzaje luk w zabezpieczeniach.

Aby to zminimalizować, producenci chipów będą musieli poświęcić więcej zasobów na poszukiwanie słabych punktów w nowych generacjach chipów krzemowych i opracowywanie bezpieczniejszych projektów półprzewodników. Zwiększenie wydatków w tych obszarach będzie bolesne dla firm działających w bardzo konkurencyjnej branży, ale teraz, gdy chipy są osadzane w coraz większej liczbie urządzeń, od pojazdów autonomicznych po inteligentne głośniki w domach, koszty awarii zabezpieczeń dramatycznie rosną.

ukryć