Cybersikkerhedsfejl i chips tager stadig for lang tid at rette

ERIK CARTER Erik Carter

Da Intel og en gruppe sikkerhedsforskere afslørede eksistensen af ​​nye sikkerhedsfejl i ældre generationer af virksomhedens mikrochips i maj, kom nyheden med en særlig bekymrende detalje: Det tog over et år at få en løsning på en af ​​fejlene på plads. .

Forskere siger, at de advarede Intel om sårbarheden, som de døbte ZombieLoad, i april 2018, men en rettelse til det blev ikke udrullet bredt før i sidste måned. Til sammenligning tager softwarevirksomheder typisk ikke mere end 90 dage om at udstede patches, efter at en sårbarhed er blevet opdaget i deres kode. Jo længere en fejl forbliver urettet, jo større er chancen for, at en hacker finder den.

Daniel Gruss, professor ved Graz University of Technology i Østrig og en af ​​forskerne der hjalp med at bringe ZombieLoad frem i lyset , mener, at tingene kunne gå hurtigere. I en e-mail til MIT Technology Review siger Gruss, at da han og andre forskere underrettede Intel om sårbarheden i april sidste år, leverede de et uafhængigt verificeret proof of concept for at vise, at det var et ægte problem. I maj 2018 gav de Intel yderligere detaljer om fejlen, som kunne give hackere mulighed for at få fat i følsomme data fra applikationer, der kører på maskiner.

Intel siger, at det i første omgang ikke kunne reproducere det sikkerhedshul, forskerne havde markeret, og derfor havde brug for flere beviser, før de tog nogen handling. Tidligere i år fastslog den endelig, at der faktisk var en sårbarhed og udrullede rettelsen.

Spændingen understreger udfordringerne ved at håndtere hardwarefejl. Disse er ofte langt dyrere og sværere at løse end softwareproblemer, hvilket åbner et sårbarhedsvindue, der kan påvirke milliarder af chips. Det sætter alt fra servere i datacentre til tablet-computere og mobiltelefoner i risiko for at blive hacket.

Spectre og nedsmeltning

Presset for en hurtigere reaktion er vokset siden starten af ​​2018, hvor detaljer om et andet sæt chipfejl, kaldet Spectre og Meltdown, lækket ud for tidligt. Kaos opstod, da virksomheder skyndte sig at finde ud af, hvor sårbare de var over for angreb, og chipvirksomheder forsøgte at udstede softwarerettelser. Episoden gav mere fremtrædende plads til chip-sårbarheder, hvilket sandsynligvis tilskyndede hackere til at søge hårdere efter dem.

Typisk, når forskere finder en sikkerhedsfejl i software eller hardware, rapporterer de det i fortrolighed til den pågældende virksomhed. Fejlen holdes skjult, mens virksomheden arbejder på en løsning, så skurke ikke bliver advaret om dens eksistens. Så, når en rettelse er klar, lancerer virksomheden en reklameblitz for at få folk til at anvende den så hurtigt som muligt.

Denne proces, kendt som coordinated vulnerability disclosure (CVD), fungerer ret godt til patching af software, som typisk ikke tager mere end 90-dages industritidsramme. Men det tager stadig bekymrende lang tid for nogle chip-relaterede risici.

De er ganske vist mere komplekse at have med at gøre. En familie af chips kan indeholde snesevis af versioner, hver ved hjælp af operationssoftware kendt som mikrokode, der er skræddersyet til den. At rette fejl kræver opdatering af mikrokode for alle disse versioner.

Løsninger på hardwaresikkerhedshuller kan også involvere opdateringer til ting som operativsystemer, hvilket betyder, at chipproducenter skal arbejde tæt sammen med andre virksomheder i hemmelighed for at sikre, at deres reviderede mikrokode stadig fungerer i harmoni med anden software, før en rettelse udrulles.

Tegn på fremskridt

Siden Spectre og Meltdown har chipindustrien foretaget nogle kærkomne forbedringer af CVD-processen. Bryan Jorgensen, Intels seniordirektør for produktsikring og sikkerhed, siger, at kommunikation mellem virksomheder, der er involveret i at hjælpe med at løse sikkerhedshuller i deres chips, plejede at skulle flyde via Intel. Nu kan de ofte samarbejde direkte med hinanden for at verificere, at en patch fungerer med deres sammenkoblede systemer.

Patches til hardwarefejl kræver ofte, at virksomheder opdaterer både mikrokode og operativsystemsoftware. Det har været separate operationer, hvilket øger den tid, det tager at få en fix på plads. Jørgensen siger, at Intel nu har gjort det muligt at samle opdateringerne sammen, så begge dele kan udføres samtidigt.

Sådanne ændringer er velkomne, men der er stadig masser af andre områder, hvor der kan gøres mere. De omfatter:

• Forbedring af forholdet til sikkerhedsforskere

Akademikere og industriforskere, der finder og rapporterer chipfejl, siger, at chipproducenter stadig kan være for hemmelighedsfulde med hensyn til, hvad de gør for at løse dem. Det kan skabe mistillid. Gruss siger, at hardwarevirksomheder ideelt set bør levere daglige opdateringer til forskere. Han foreslår også måske at lade en neutral tredjepart overvåge håndteringen af ​​cybersikkerhedshændelser.

• Enighed om at etablere en hardware CVD deadline

En nylig rapport fra nonprofit Center for Cybersecurity Policy and Law (CCPL) advarer om, at når en proces til at rette hardwarefejl tager længere tid end normen for patching af software, kan virksomheder, der er involveret i CVD-processen, blive fristet til at tage ensidige foranstaltninger for at beskytte deres kunder og deres egne. interesser.

Det kan føre til, at fejl bliver afsløret, før plastrene er fuldt testet. At acceptere en tidsramme for håndtering af hardwaresikkerhedshuller ville hjælpe. Halvlederindustrien kunne nu forpligte sig til en tidsplan for etablering af en sådan CVD-deadline.

• At uddanne folk om behovet for at håndtere hardware-relaterede risici

Det er ret meningsløst at udvikle softwarerettelser, hvis de ikke bliver brugt. Udbredelsen er ikke god til softwarepatches, men for hardware [en] er den virkelig dårlig, siger Ari Schwartz, den administrerende koordinator for CCPL og en tidligere seniordirektør for cybersikkerhed i personalet i US National Security Council.

Simple ting, som at få folk til at genstarte deres hjemmeroutere regelmæssigt, så chips i dem modtager softwareopdateringer, er stadig en udfordring. Intel og andre chipvirksomheder har lanceret flere programmer for at oplyse folk om risiciene, og hvordan de kan håndtere dem, men der vil være behov for en endnu større indsats.

• Arbejder hårdere for at eliminere sikkerhedsfejl i chipdesign

De seneste generationer af chips, der kommer på markedet fra Intel og andre, er ikke længere sårbare over for angreb som ZombieLoad og Spectre, takket være ændringer i den måde, de fungerer på. Men der er altid en risiko for, at nye former for sårbarheder dukker op.

For at minimere det, bliver chipproducenter nødt til at bruge flere ressourcer på at søge efter svagheder i nye generationer af siliciumchips og til at udvikle mere sikre designs til deres halvledere. At øge udgifterne til disse områder vil være smertefuldt for virksomheder, der opererer i en stærkt konkurrencepræget industri, men nu hvor chips er indlejret i flere og flere enheder, fra autonome køretøjer til smarte højttalere i hjemmet, stiger omkostningerne ved sikkerhedsfejl dramatisk.

skjule