Исследователи сообщают об обнаружении 13 недостатков в безопасности в чипах AMD Ryzen и EPYC, которые могут позволить злоумышленникам установить вредоносную программу на строго защищенные части процессора.
По словам специалистов, эти критические уязвимости открывают доступ к конфиденциальным данным на миллионах устройств. Особенно тревожным является тот факт, что бреши нашли там, где повышенный уровень безопасности важнее всего — обычно в этой области хранятся конфиденциальные данные, такие как пароли и ключи шифрования.
Большинство этих дыр в безопасности для эксплуатации требуют прав администратора, это значит, что сначала злоумышленник должен будет получить контроль над целевым устройством при помощи какой-либо вредоносной программы.
О наличии 13 уязвимостей стало известно благодаря исследователям из израильской компании CTS-Labs. По словам специалистов, недостатки затрагивают чипы Ryzen и EPYC, напомним, что Ryzen используются в настольных компьютерах и ноутбуках, а EPYC обычно питают серверы.
Эксперты опубликовали видео, в котором подробно рассматриваются эти уязвимости:
«В AMD безопасность является главным приоритетом, мы постоянно работаем над обеспечением безопасности наших пользователей, поскольку постоянно возникают новые киберриски», — заявил представитель AMD. — «В настоящее время мы исследуем этот отчет об обнаруженных уязвимостях, чтобы дать ему соответствующую оценку».
Исследователи предоставили AMD 24 часа на изучение обнаруженных недостатков и вынесение соответствующего вердикта по ним. Это довольно странный поступок, учитывая, что обычно у компаний есть стандартные 90 дней, в течение которых они могут устранить найденные бреши. Например, специалисты Google дали Intel шесть месяцев на устранение проблем, связанных со Spectre и Meltdown.
Некоторые независимые специалисты раскритиковали отчет CTS-Labs за отсутствие каких-либо технических подробностей уязвимостей. Однако на данный момент есть краткое описание четырех обнаруженных брешей.
Первая из них — Master Key. Уязвимость Master Key обходим процесс проверки безопасной загрузки «secure boot», устанавливая вредоносную программу непосредственно в BIOS. После этого этапа Master Key позволяет злоумышленнику установить зловред на сам защищенный процессор, что даст полный контроль над тем, какие программы могут запускаться во время загрузки системы.
Вторая — Ryzenfall. Эта брешь затрагивает чипы AMD Ryzen, предоставляя атакующему доступ к защищенным данным, включая ключи шифрования и пароли. По словам экспертов, обычно в эти области процессора доступ надежно закрыт.
Следующая — Fallout. Fallout действует по подобию Ryzenfall — позволяет злоумышленникам получить доступ к разделам, где хранятся защищенные данные.
И, наконец, Chimera. Эта брешь существует из-за двух разных уязвимостей, одна из котрых находится в прошивке, а другая в аппаратном обеспечении.
Роскомнадзор совместно с маркетплейсами обсуждает возможность внедрения механизмов проверки сим-карт на предмет их использования мигрантами. По мнению ведомства, это может затруднить использование чужих номеров в мошеннических схемах.
Как сообщил источник ТАСС, соответствующая инициатива обсуждалась на совещании в Роскомнадзоре с участием представителей крупных маркетплейсов. Одной из ключевых тем стала проверка сим-карт, которые используются иностранными гражданами.
«Как показывает практика, иностранные граждане при устройстве на работу нередко используют сим-карты, зарегистрированные на других лиц. Нововведение поможет решить, в том числе, проблему мошенничества с использованием чужих номеров», — отметил источник агентства.
На совещании рассматривались возможные варианты реализации такого контроля. В частности, работодателей, нанимающих мигрантов, могут обязать проверять, кому принадлежат номера, указанные в анкетных данных при приёме на работу. В случае нарушений ответственность будет нести работодатель.
Представители маркетплейсов предложили создать единую систему, с помощью которой можно было бы проверять принадлежность телефонных номеров. По их мнению, только такой централизованный подход может обеспечить эффективность механизма.
В свою очередь, представители Роскомнадзора рекомендовали тем отраслям, где доля мигрантов особенно высока, разработать меры контроля в рамках саморегулирования.
Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
