Ampliar AMD
Los enclaves seguros como el que se encuentra en los iPhones están destinados a ser fortalezas impenetrables que manejan tareas demasiado sensibles para el CPU principales con las que trabajan. La versión de AMD de ese coprocesador contiene una serie de fallas críticas que los atacantes podrían explotar para ejecutar malware que es casi imposible de detectar y tiene acceso a los secretos más sensibles de una computadora vulnerable, un informe publicado el martes advirtió. Los chips también contienen lo que el informe llamados “puertas traseras” que los hackers pueden explotar para obtener acceso.
Los defectos: en EPYC, Ryzen, Ryzen Pro y Ryzen Mobile de AMD líneas de procesadores: requieren que los atacantes primero obtengan derechos en una red o computadora específica, lo cual es un obstáculo difícil pero de ninguna manera imposible de borrar. Desde allí, los atacantes pueden explotar las vulnerabilidades para lograr una variedad de hazañas extraordinarias que serían catastróficas para los propietarios seguridad a largo plazo. Entre otras cosas, las hazañas incluyen:
- Ejecutar malware persistente dentro del procesador seguro AMD eso es imposible, o casi imposible, detectar
- Sin pasar por protecciones avanzadas como el cifrado seguro de AMD Virtualización, Firmware Trusted Platform Module y otros características de seguridad, que están destinadas a proteger los sistemas y datos confidenciales en caso de que el malware infecte la computadora sistema operativo
- Robar credenciales que usa una computadora vulnerable para acceder redes
- Destrucción física de hardware por parte de atacantes en hardware escenarios de “ransomware”
“Todas estas cosas son reales”
Las cuatro clases de vulnerabilidades: denominadas Masterkey, Ryzenfall, Fallout y Chimera: se describieron en un informe de 20 páginas titulado “Aviso de seguridad severa en procesadores AMD”. Vino el aviso con su propio descargo de responsabilidad que CTS, la organización de investigación israelí que publicó el informe: “puede tener, directa o indirectamente, un interés económico en el rendimiento “de las acciones de AMD o otras compañías. También revela que todo su contenido era declaraciones de opinión y “no declaraciones de hecho”. Los críticos tienen dijo que las renuncias, que son muy inusuales en los informes de seguridad, son signos de que el informe está exagerando la gravedad de la vulnerabilidades en un intento descarado de influir en el precio de las acciones de AMD y posiblemente otras compañías. Los críticos también criticaron el investigadores por dar AMD solo 24 horas para revisar el informe antes de que se hiciera público y usar un sitio web dedicado para traer Atención a los defectos.
Los funcionarios de AMD publicaron una declaración que decía: “En AMD, la seguridad es una prioridad y estamos trabajando continuamente para garantizar seguridad de nuestros usuarios a medida que surgen nuevos riesgos. Estamos investigando esto informe, que acabamos de recibir, para comprender la metodología y mérito de los resultados “.
Aún así, Dan Guido, un experto en seguridad de chips y el CEO de seguridad firme Trail of Bits, le dijo a Ars que cualesquiera que sean los motivos ocultos que pueda tener, el documento describe con precisión una amenaza real. Después de gastar Gran parte de la semana pasada analizando las hazañas de prueba de concepto discutidas en el periódico, dijo, ha determinado que las vulnerabilidades ellos explotan son reales.
“Todas las hazañas funcionan como se describe”, dijo. “El paquete que fue compartido conmigo tenía escritos bien documentados y bien descritos para cada error individual. No son falsos Todas estas cosas son real. Estoy tratando de ser una voz mesurada. No los estoy promocionando. estoy no descartarlos “.
Una vez que los hackers obtienen acceso de bajo nivel a una red específica, ellos normalmente recopilan tantos datos como pueden tan rápido como pueden con la esperanza de elevar sus privilegios. Todo lo que se requiere para explotar las vulnerabilidades del chip AMD, dijo Guido, es un solo credencial de administrador dentro de la red.
“Una vez que tienes derechos administrativos, explotar los errores es desafortunadamente no es tan complicado “, dijo.
Omitir cheques de firma
Si bien se supone que los chips AMD requieren el firmware que se ejecuta sobre ellos para ser firmados digitalmente, Guido dijo que las hazañas masajean el código de una manera que permita que el firmware cargado pase la validación cheques sin una firma válida. Una vez que el atacante es malicioso el firmware se ejecuta en el procesador, es casi imposible detectar usando las herramientas de hoy. Además, el firmware tiene directo acceso a memoria protegida, discos duros, dispositivos de entrada / salida y otros componentes de la computadora que podrían estar fuera de límites para más malware tradicional
“Ejecuté el código de explotación que me permitió obtener proyectiles”, dijo Guido. “Hacen un mal compromiso significativamente peor. No hay herramientas para ayudarlo a encontrar si estos problemas han sido explotados “. las vulnerabilidades, dijo, no están relacionadas con una falla de ejecución de código divulgado en enero en el módulo de plataforma confiable de AMD.
No tan rapido
Otros investigadores minimizaron la gravedad de los defectos y cuestionó la veracidad del informe, que fue publicado el mismo día en que el vendedor en corto Viceroy Research emitió un informe diciendo AMD las acciones pueden perder todo su valor. Las acciones de AMD cayeron inicialmente después de la publicación de los informes, pero finalmente se cerraron mayor. Los críticos del informe, mientras tanto, dijeron que el requisito de un atacante ya tiene derechos administrativos significaba el las vulnerabilidades no fueron tan graves como las retratadas.
“Todos los exploits requieren acceso de root”, dijo David Kanter, un experto en chips que es fundador de Real World Technologies. “Si alguien ya tiene acceso de root a su sistema, ya está comprometido. Esto es como si alguien irrumpiera en su casa y llegara a instalar cámaras de video para espiarlo “.
Aún así, Kanter estuvo de acuerdo con Guido en que las vulnerabilidades eran mayor vergüenza para AMD, particularmente porque la mayoría de ellos residir en Platform Secure Processor, que es la versión de AMD de El enclave seguro en el iPhone. A diferencia de Apple, que diseñado a medida de su enclave seguro, AMD se basa en un Cortex de 32 bits Procesador A5 diseñado por ARM.
Agrandar / Una descripción general básica de la arquitectura Zen de AMD que describe el Secure Procesador AMD
El procesador seguro de AMD, dijo Guido, “está destinado a ser el único parte defendible del procesador. El hecho de que puedes subir código sin firmar y hacer que pase la validación y el hecho de que puede manipular todos los controladores de ranura de correo no es lo que haría esperar como alguien que necesita confiar en este componente “.
En una serie de tuits, Gadi Evron, un veterano investigador de seguridad. y el CEO y fundador de la firma de seguridad Cymmetria, también confirmó la precisión de los hallazgos incluso cuando se negó a defender el camino fueron revelados
Primero, los hallazgos de https://t.co/YHJ4rWFLvN son reales. yo puedo confirmar que tienen un PoC en todo. Más específicamente: 1. Todas las vulnerabilidades no requieren acceso físico (necesitan capacidad para ejecutarse exe como administrador) 2. Fallout no requiere actualización del BIOS, usted solo puede ejecutarlo [2/3]
– Gadi Evron (@gadievron) 13 de marzo de 2018
Preguntado por qué importa la vuln si necesitan privilegios de administrador, su respuesta: 1. Omita la protección de credenciales (Windows). 2. Ocultar en PSP (AMD procesador seguro, se vuelve increíblemente persistente). 3. cargar antes de la CPU (evitar cualquier actualización de BIOS, lo que sea, y potencialmente bloquear el placa base, etc.). [1/2]
– Gadi Evron (@gadievron) 13 de marzo de 2018
Otras vulnerabilidades fueron el resultado de lo que el aviso del martes dijo que eran “puertas traseras” del fabricante que se integraron en un conjunto de chips que conecta los procesadores Ryzen y Ryzen Pro a dispositivos de hardware como chips de Wi-Fi y tarjetas de red. Una de las puertas traseras es integrado en el firmware, sostuvo el informe, mientras que el otro reside en el hardware. El socio de AMD para los chips, el informe dicho, es ASMedia. En 2016, la empresa matriz de ASMedia ASUSTeK Computer cargos liquidados presentados por la Comisión Federal de Comercio que alegó que descuidó las vulnerabilidades de seguridad. El asentamiento requiere que ASUSTek se someta a auditorías de seguridad externas durante 20 años.
El informe del martes advirtió que la Quimera las vulnerabilidades resultantes de las supuestas puertas traseras pueden ser imposible de arreglar
Como se explicó anteriormente, los hallazgos del informe tienen muchos matices porque se basan en un compromiso ya serio que permite a los atacantes obtener el control administrativo de una computadora ejecutando uno de los procesadores AMD vulnerables. Esa barra empinada es contrarrestado por un logro que no es posible con la mayoría de las hazañas Específicamente:
- La capacidad de tomar el control completo sobre la máquina afectada, incluyendo partes que normalmente están aisladas del malware
- La capacidad de ejecutar código malicioso antes del sistema operativo botas y para que las infecciones persistan incluso después del sistema operativo se reinstala
- La capacidad de evitar protecciones avanzadas como Windows 10 Guardia credencial
Las personas que confían en los chips AMD no deberían entrar en pánico, pero también no debe descartar las advertencias contenidas en el informe, a pesar de Las motivaciones cuestionables para su lanzamiento.
Esta publicación se actualizó para agregar el tuit de Gadi Evron.
