Sicherheitsprobleme bei AMD Ryzen: CTS Labs veröffentlichen Stellungnahme, ignorieren Vorwürfe der Aktienmanipulation
Ilia Luk-Zilberman, seines Zeichens CTO der CTS Labs, hat eine Stellungnahme veröffentlicht, mit der Ungereimtheiten rund um die Veröffentlichung von amdflaws.com aus der Welt geschafft werden sollen. Die Schilderungen werfen allerdings noch mehr Fragen auf, denn zahlreiche Asmedia-USB-Controller, die auf Hunderten von Intel-Mainboard-Modellen stecken, seien ebenfalls betroffen. Zudem werden die Vorwürfe der Aktienmanipulation ignoriert.
Vor wenigen Tagen haben die CTS Labs auf insgesamt 13 angebliche Sicherheitslücken aufmerksam gemacht, die AMDs Zen-basierten Prozessoren Ryzen (Summit Ridge, Raven Ridge) und Epyc betreffen sollen. Die Aufmachung ließ jedoch Zweifel an den Intentionen aufkommen. AMD hat keine nennenswerte Vorlaufzeit bekommen, stattdessen wurden die Ergebnisse auf einer eigens eingerichteten Webseite schick aufbereitet. Spätestens durch die Verbindung mit Viceroy Research und Finanzberatungsfirmen kam schnell der Verdacht der Aktienmanipulation auf. Darüber hinaus wurde die Relevanz der Sicherheitslücken angezweifelt, weil sie Administratorrechte erfordern und damit nicht unbedingt praktikabel sind.
Mit einer Stellungnahme möchte CTS Labs' Chief Technical Officer, Ilia Luk-Zilberman, die Zweifel beiseite räumen. Er entschuldigt sich zunächst schon im Vorfeld für den Stil der Stellungnahme. Er selbst sei ein "Techniktyp". Die "Welt der PR" sei zu "chaotisch" für ihn. Im ersten Teil schildert Luk-Zilberman, wie es zur Entdeckung der Sicherheitslücken gekommen sein soll. Ursprünglich hätten die CTS Labs Unzulänglichkeiten in den USB-Controllern von Asmedia entdeckt, genauer in den Modellen ASM1042, ASM1142 und ASM1143. Weil Asmedia die Promontory genannten I/O-Hubs ("Chipsätze") X370, B350 und A320 für AMD fertigt, habe man die Proofs of Concept auch an diesen Plattformen ausprobiert und sofort Erfolg gehabt. Einige der genannten Angriffe sollen über das BIOS erfolgen, indem die Kommunikation zum I/O-Hub ausgenutzt werde.
Die Schilderung wirft jedoch viele weitere Fragen auf. Die genannten Asmedia-Controller sitzen auf hunderten Mainboard-Modellen - sowohl mit AMD- als auch mit Intel-Sockeln. Alle müssten angreifbar sein, die CTS Labs haben diesen Umstand jedoch mit keiner Silbe erwähnt. Aufgrund der Ähnlichkeiten bei Firm- und Hardware müssten zudem auch die neueren Asmedia-Controller betroffen und damit so gut wie alle aktuellen Mainboards angreifbar sein. Intels Platform Controller Hubs (PCHs) beherrschen noch kein USB 3.1 nativ, sodass die Hersteller fast durchgehend auf den ASM3142, ASM2142 und auch noch den ASM1142 von Asmedia setzen.
Zu der Herangehensweise der Veröffentlichung merkt Luk-Zilberman an, dass er die Disclosure-Praktiken für unzulänglich halte, weil die Nutzer unwissend ungeschützt wären. Er halte es für angebrachter, mit Sicherheitsrisiken sofort an die Öffentlichkeit zu gehen, ohne die Lücken im Detail zu beschreiben, um den Missbrauch nicht zu erleichtern. Im Falle des Whitepapers auf amdflaws.com wurde die Absenz technischer Ausführungen vermisst. Auf die Vorwürfe der Aktienmanipulation geht der CTS-Labs-Mitarbeiter gar nicht ein.
Also wenn jetzt noch heraus kommt, dass die sich abends vorher nen Haufen Intel-Aktien gekauft haben, na dann sollte man die aber mal für ein paar Jahre in den Bau stecken.
Und die Ausgleichszahlungen für den Abrutsch der AMD-Kurse sollte man denen am besten auch gleich mit aufbrummen.
Alles in allem war es pure Absicht oder absolute Dummheit.
Letzteres sollte man aber aufgrund ihrer Tätigkeit ausschließen dürfen.
Also: Strafzahlungen und einbuchten!
Sonst macht das in Zukunft jeder, der mal 15 Minuten Rum ernten möchte!
Die müssen aber nen komischen Auftraggeber haben.
na die Israelis wissen halt wie man sich beliebt macht... ;D
Der vielzitierte Dan Guido ist ziemlich darüber verärgert, daß er von CTS absichtlich falsch wiedergegeben worden ist. Er schreibt folgendes dazu:
Die angegebene Quelle enthält das Zitat nicht (auch wenn der aus dem Januar 2014 stammende Artikel durchaus spaßig zu lesen war
).Ooops, das war ein Teil des Zitats aus dem letztgenannten Link "AMD Flaws” Technical Summary | Trail of Bits Blog", nevermind.