Det lille israelske it-sikkerhedsfirma CTS-Labs med blot seks medarbejdere hævder, at det har opdaget 13 sårbarheder i nogle af chip-giganten AMD’s mest udbredte processorer.
Opdagelsen har fået stor opmærksomhed i tech-medier over hele verden - ikke mindst fordi sårbarhederne ifølge CTS-Labs findes i blandt andet AMD’s Ryzen- og Epyc-processorer. Men samtidig bliver der sat spørgsmåltegn ved motiverne hos sikkerhedsfirmaet.
Sagen handler om AMDs populære processorer, som i dag anvendes i millioner af enheder verden over: Ryzen i pc’er og Epyc i servere.
Det israelske selskab har angiveligt opdaget fire mulige angreb med kodenavnene Masterkey, Ryzenfall, Fallout og Chimera.
Det skriver CTS-Labs i denne bulletin: Severe security advisory on AMD-processors.
Normalt regnes hovedproblemet for sårbarheder at findes i software, men hardware-sårbarheder er for alvor kommet i fokus med opdagelsen af Spectre- og Meltdown-sårbarhederne i januar.
AMD: For lidt tid
AMD bekræfter, at det har modtaget en henvendelse fra selskabet om mulige sårbarheder. Normalt giver sikkerhedsfirmaerne de ramte producenter 90 dage til at reagere, inden de offentliggør deres opdagelser.
Men AMD meddeler, at selskabet ‘netop’ har modtaget oplysninger om disse sårbarheder.
“Sikkerhed har topprioritet hos AMD, og vi undersøger nu disse meldinger, som vi lige har modtaget, for at forstå metodologi og oplysningernes grundlag,” lyder det fra AMD.
“Dette selskab [CTS Labs, red] har indtil nu ikke været kendt af AMD, og det er usædvanligt for et sikkerhedsfirma at publicere opdagelser til pressen uden at give det ramte selskab en rimelig tidsfrist til at undersøge og adressere opdagelserne,” lyder det fra AMD.
ArsTechinca har også påpeget, at der er lidt sære omstændigheder ved CTS-afsløringen. Blandt andet nævnes det, at der er tilføjet en disclaimer til sikkerhedsrapporten, hvor der står:
"You are advised that we may have, either directly or indirectly, an economic interest in the performance of the securities of the companies whose products are the subject of our reports."
Det vil sige, at CTS kan have interesse i at AMDs klarer sig dårligt.
Og i disclaimeren nævnens det ligeledes, at afsløringen af sårbarhederne ikke er "statements of fact," men i stedet er holdningsbaserede.
Ifølge ArsTechica er en disclaimer af denne karakter højest usædvanlig. Derfor maner det amerikanske medie til besindighed, men understreger dog samtidig, at der kan være noget om snakken:
"People who rely on AMD chips shouldn't panic, but they also shouldn't discount the warnings contained in the report, despite the questionable motivations for its release."
Opdatering: Der er tilsyneladende noget om snakken siger de eksperter, som Computerworld har talt med