Eind vorige week schreven we over onderzoekers van de Universiteit van Virginia, Californië en San Diego, die een processorbug met erg veel potentie hebben ontdekt. Het Spectre-achtige beveiligingsprobleem, dat 'I see dead µops' is gedoopt, moet aanwezig zijn op praktisch alle moderne processors van AMD en Intel, maar laatstgenoemde denkt niet dat het risico zo groot is als wordt verwacht.
Dat schrijft TechSpot, die een statement van Intel heeft ontvangen: 'Intel heeft het onderzoek gelezen en informeerde de onderzoekers dat de bestaande beveiligingsmaatregelen niet worden omzeild, en dat het scenario in acht wordt genomen door Intels beveiligingsrichtlijnen. Software die hierop gebaseerd is hebben hier al beveiligingen voor, waaronder voor de micro-op-cache-methode. Nieuwe patches en hulp is niet nodig'.
De conclusie van de onderzoekers was dat de cpu's vanaf de Sandy Bridge-generatie tot en met Skylake kwetsbaar waren. Intel-chips vanaf Sandy Bridge hebben immers de micro-op-cache die misbruikt zou kunnen worden. TechSpot heeft met hoofdonderzoeker Ashish Venkat gesproken. Hij verklaart dat Intel het voor sommige maatregelen bij het rechte eind heeft.
Intels Secure Coding-richtlijnen hebben het over drie beginselen om aanvallen van het Spectre-type te voorkomen: de runtime, de toegangspatronen tot de instructies en de toegangspatronen tot het memory access pattern moeten alle drie ongelijk zijn aan de privacygevoelige waarden.
De chipbakker bevestigt dat het lastig kan zijn om ze te implementeren. Venkats team vindt het echter een probleem dat Intel op software-ingenieurs vertrouwt om de kwetsbaarheden op te lossen, omdat het om een hardwarematig probleem gaat. Het constant time programming-principe dat het bedrijf implementeert kost immers niet alleen veel tijd en moeite om te ontwikkelen, het heeft ook een prestatie-impact en het kan lastig zijn om bestaande systemen te updaten. Volgens Venkat zou Intel zich moeten richten op de aspecten waar ze het meest kwetsbaar zijn, en dat vereist een vernieuwde focus op hardwarematige beveiligingen.
Bron: TechSpot
