Cybersikkerhetsfeil i brikker tar fortsatt for lang tid å fikse

ERIK CARTER Erik Carter

Da Intel og en gruppe sikkerhetsforskere avslørte eksistensen av nye sikkerhetsfeil i eldre generasjoner av selskapets mikrobrikker i mai, kom nyheten med en spesielt urovekkende detalj: det tok over et år å få en løsning for en av feilene på plass. .

Forskere sier at de varslet Intel om sårbarheten, som de kalte ZombieLoad, i april 2018, men en løsning for det ble ikke rullet ut bredt før forrige måned. Til sammenligning bruker programvareselskaper vanligvis ikke mer enn 90 dager på å utstede patcher etter at en sårbarhet har blitt oppdaget i koden deres. Jo lenger en feil forblir uløst, jo større er sjansen for at en hacker finner den.

Daniel Gruss, professor ved Graz teknologiske universitet i Østerrike og en av forskerne som bidro til å bringe ZombieLoad frem i lyset , tror ting kan gå raskere. I en e-post til MIT Technology Review sier Gruss at da han og andre forskere varslet Intel om sårbarheten i april i fjor, ga de et uavhengig bekreftet proof of concept for å vise at det var et ekte problem. I mai 2018 ga de Intel ytterligere detaljer om feilen, som kan tillate hackere å få tak i sensitive data fra applikasjoner som kjører på maskiner.

Intel sier at de i utgangspunktet ikke kunne reprodusere sikkerhetshullet forskerne hadde flagget og derfor trengte mer bevis før de tok noen handling. Tidligere i år fastslo den endelig at det faktisk var en sårbarhet og rullet ut løsningen.

Spenningen understreker utfordringene ved å håndtere maskinvarefeil. Disse er ofte langt dyrere og vanskeligere å håndtere enn programvareproblemer, og åpner et sårbarhetsvindu som kan påvirke milliarder av sjetonger. Det setter alt fra servere i datasentre til nettbrett og mobiltelefoner i fare for å bli hacket.

Spectre og Meltdown

Presset for en raskere respons har vokst siden starten av 2018, da detaljer om et annet sett med chipfeil, kalt Spectre og Meltdown, lekket ut for tidlig. Kaos fulgte da bedrifter skyndte seg å finne ut hvor sårbare de var for å angripe, og chipselskaper forsøkte å utstede programvarefikser. Episoden ga mer prominens til chip-sårbarheter, og sannsynligvis oppmuntret hackere til å søke hardere etter dem.

Vanligvis, når forskere finner en sikkerhetsfeil i programvare eller maskinvare, rapporterer de det i fortrolighet til det aktuelle selskapet. Feilen holdes skjult mens virksomheten jobber med en løsning slik at skurkene ikke blir varslet om dens eksistens. Så, når en løsning er klar, lanserer selskapet en reklameblitz for å få folk til å bruke den så raskt som mulig.

Denne prosessen, kjent som koordinert sårbarhetsavsløring (CVD), fungerer ganske bra for oppdatering av programvare, som vanligvis ikke tar mer enn 90-dagers industritidsramme. Men det tar fortsatt bekymringsfullt lang tid for enkelte chip-relaterte risikoer.

De er riktignok mer komplekse å forholde seg til. En familie med brikker kan inneholde dusinvis av versjoner, hver av dem bruker operativ programvare kjent som mikrokode som er skreddersydd for den. Å fikse feil krever oppdatering av mikrokode for alle disse versjonene.

Løsninger på maskinvaresikkerhetshull kan også innebære oppdateringer av ting som operativsystemer, noe som betyr at brikkeprodusenter må jobbe tett med andre virksomheter i det skjulte for å sikre at deres reviderte mikrokode fortsatt fungerer i harmoni med annen programvare før en reparasjon rulles ut.

Tegn på fremgang

Siden Spectre og Meltdown har chipindustrien gjort noen kjærkomne forbedringer i CVD-prosessen. Bryan Jorgensen, Intels seniordirektør for produktsikkerhet og sikkerhet, sier at kommunikasjon mellom selskaper som er involvert i å hjelpe til med å rette opp sikkerhetshull i brikkene pleide å gå via Intel. Nå kan de ofte samarbeide direkte med hverandre for å bekrefte at en patch fungerer med deres sammenkoblede systemer.

Patcher for maskinvarefeil krever ofte at bedrifter oppdaterer både mikrokode og operativsystemprogramvare. Dette har vært separate operasjoner, som øker tiden det tar å få en fiksering på plass. Jorgensen sier at Intel nå har gjort det mulig å pakke oppdateringene sammen slik at begge kan gjøres samtidig.

Slike endringer er velkomne, men det er fortsatt mange andre områder hvor mer kan gjøres. De inkluderer:

• Forbedre forholdet til sikkerhetsforskere

Akademikere og industriforskere som finner og rapporterer brikkefeil sier at brikkeprodusenter fortsatt kan være for hemmelighetsfulle om hva de gjør for å løse dem. Det kan skape mistillit. Gruss sier at maskinvareselskaper ideelt sett bør gi daglige oppdateringer til forskere. Han foreslår også at en nøytral tredjepart overvåker håndteringen av cybersikkerhetshendelser.

• Enighet om å etablere en CVD-frist for maskinvare

En fersk rapport fra den ideelle organisasjonen Center for Cybersecurity Policy and Law (CCPL) advarer om at når en prosess for å fikse maskinvarefeil tar lengre tid enn normen for oppdatering av programvare, kan virksomheter som er involvert i CVD-prosessen bli fristet til å ta ensidige tiltak for å beskytte sine kunder og sine egne. interesser.

Det kan føre til at feil blir eksponert før lappene er fullstendig testet. Å godta en tidsramme for håndtering av maskinvaresikkerhetshull vil hjelpe. Halvlederindustrien kan nå forplikte seg til en tidsplan for å etablere en slik CVD-frist.

• Opplæring av folk om behovet for å håndtere maskinvarerelaterte risikoer

Å utvikle programvarefikser er ganske meningsløst hvis de ikke blir vant. Bruken er ikke bra for programvareoppdateringer, men for maskinvare er den virkelig dårlig, sier Ari Schwartz, den utøvende koordinatoren for CCPL og en tidligere seniordirektør for cybersikkerhet i staben til US National Security Council.

Enkle ting, som å få folk til å starte hjemmeruterne på nytt regelmessig slik at brikkene i dem mottar programvareoppdateringer, er fortsatt en utfordring. Intel og andre brikkeselskaper har lansert flere programmer for å utdanne folk om risikoene og hvordan de skal håndtere dem, men en enda større innsats vil være nødvendig.

• Jobber hardere for å eliminere sikkerhetsfeil i brikkedesign

De siste generasjonene av brikker som kommer på markedet fra Intel og andre er ikke lenger sårbare for angrep som ZombieLoad og Spectre, takket være endringer i måten de fungerer på. Men det er alltid en risiko for at nye typer sårbarheter vil dukke opp.

For å minimere det, vil brikkeprodusenter måtte bruke mer ressurser på å lete etter svakheter i nye generasjoner av silisiumbrikker og til å utvikle sikrere design for halvlederne deres. Å øke utgiftene på disse områdene vil være smertefullt for bedrifter som opererer i en intenst konkurranseutsatt bransje, men nå som brikker er innebygd i flere og flere enheter, fra autonome kjøretøy til smarte høyttalere i hjemmene, øker kostnadene for sikkerhetsfeil dramatisk.

gjemme seg