I difetti di sicurezza informatica nei chip richiedono ancora troppo tempo per essere risolti

ERIK CARTER Erik Carter

Quando a maggio Intel e un gruppo di ricercatori sulla sicurezza hanno rivelato l'esistenza di nuove falle di sicurezza nelle vecchie generazioni di microchip dell'azienda, la notizia è arrivata con un dettaglio particolarmente preoccupante: ci è voluto più di un anno per trovare una soluzione per una delle falle in atto .

I ricercatori affermano di aver avvisato Intel della vulnerabilità, che hanno soprannominato ZombieLoad, nell'aprile 2018, ma una soluzione non è stata implementata su larga scala fino al mese scorso. In confronto, le società di software in genere impiegano non più di 90 giorni per rilasciare le patch dopo che è stata scoperta una vulnerabilità nel loro codice. Più a lungo un difetto rimane non risolto, maggiori sono le possibilità che un hacker lo trovi.

Daniel Gruss, professore alla Graz University of Technology in Austria e uno dei ricercatori che ha contribuito a portare alla luce ZombieLoad , pensa che le cose potrebbero muoversi più velocemente. In un'e-mail al MIT Technology Review, Gruss afferma che quando lui e altri ricercatori hanno notificato a Intel la vulnerabilità lo scorso aprile, hanno fornito una prova di concetto verificata in modo indipendente per dimostrare che si trattava di un problema reale. Nel maggio 2018 hanno fornito a Intel ulteriori dettagli sul difetto, che potrebbe consentire agli hacker di entrare in possesso di dati sensibili dalle applicazioni in esecuzione sui computer.

Intel afferma che inizialmente non poteva riprodurre il buco di sicurezza segnalato dai ricercatori e quindi aveva bisogno di ulteriori prove prima di intraprendere qualsiasi azione. All'inizio di quest'anno, ha finalmente stabilito che c'era effettivamente una vulnerabilità e ha implementato la correzione.

La tensione sottolinea le sfide legate alla gestione dei difetti hardware. Questi sono spesso molto più costosi e difficili da affrontare rispetto ai problemi software, aprendo una finestra di vulnerabilità che può interessare miliardi di chip. Ciò mette a rischio di essere hackerato qualsiasi cosa, dai server nei data center ai tablet e ai telefoni cellulari.

Spettro e Meltdown

La pressione per una risposta più rapida è cresciuta dall'inizio del 2018, quando i dettagli di un'altra serie di difetti del chip, soprannominati Spectre e Meltdown, sono trapelati prematuramente. Il caos è seguito quando le aziende si sono affrettate a capire quanto fossero vulnerabili agli attacchi e le aziende di chip si sono affrettate a emettere correzioni software. L'episodio ha dato più risalto alle vulnerabilità dei chip, probabilmente incoraggiando gli hacker a cercarle più a fondo.

In genere, quando i ricercatori trovano un difetto di sicurezza nel software o nell'hardware, lo segnalano in via confidenziale all'azienda interessata. Il difetto viene tenuto nascosto mentre l'azienda lavora su una soluzione in modo che i cattivi non vengano avvisati della sua esistenza. Quindi, una volta che una soluzione è pronta, l'azienda lancia un blitz pubblicitario per convincere le persone ad applicarla il più rapidamente possibile.

Questo processo, noto come divulgazione coordinata delle vulnerabilità (CVD), funziona abbastanza bene per l'applicazione di patch al software, che in genere non richiede più di 90 giorni di tempo nel settore. Ma ci vuole ancora un tempo preoccupante per alcuni rischi legati ai chip.

Sono certamente più complessi da affrontare. Una famiglia di chip può contenere dozzine di versioni, ognuna delle quali utilizza un software operativo noto come microcodice appositamente progettato. La correzione dei difetti richiede l'aggiornamento del microcodice per tutte queste versioni.

Le soluzioni alle falle di sicurezza hardware possono anche comportare aggiornamenti a cose come i sistemi operativi, il che significa che i produttori di chip devono lavorare a stretto contatto con altre aziende in segreto per garantire che il loro microcodice rivisto funzioni ancora in armonia con altri software prima che venga implementata una correzione.

Segni di progresso

Dopo Spectre e Meltdown, l'industria dei chip ha apportato alcuni graditi miglioramenti al processo CVD. Bryan Jorgensen, Senior Director of Product Assurance and Security di Intel, afferma che le comunicazioni tra le aziende coinvolte nell'aiutare ad affrontare le falle di sicurezza nei suoi chip dovevano passare attraverso Intel. Ora possono spesso collaborare direttamente tra loro per verificare che una patch funzioni con i loro sistemi interconnessi.

Le patch per i difetti hardware spesso richiedono alle aziende di aggiornare sia il microcodice che il software del sistema operativo. Queste sono state operazioni separate, il che aumenta il tempo necessario per ottenere una soluzione. Jorgensen afferma che Intel ha ora reso possibile raggruppare gli aggiornamenti insieme in modo che entrambi possano essere eseguiti contemporaneamente.

Tali cambiamenti sono i benvenuti, ma ci sono ancora molte altre aree in cui si può fare di più. Loro includono:

• Migliorare le relazioni con i ricercatori sulla sicurezza

Gli accademici e i ricercatori del settore che scoprono e segnalano i difetti dei chip affermano che i produttori di chip possono ancora essere troppo riservati su ciò che stanno facendo per affrontarli. Questo può generare sfiducia. Gruss afferma che le aziende di hardware dovrebbero idealmente fornire aggiornamenti giornalieri ai ricercatori. Suggerisce anche che forse una terza parte neutrale controlli la gestione degli incidenti di sicurezza informatica.

• Accettare di stabilire una scadenza per CVD hardware

Un recente rapporto del Center for Cybersecurity Policy and Law (CCPL) senza scopo di lucro avverte che quando un processo per correggere i difetti hardware richiede più tempo della norma per l'applicazione di patch al software, le aziende coinvolte nel processo CVD potrebbero essere tentate di intraprendere un'azione unilaterale per proteggere i propri clienti e i propri interessi.

Ciò potrebbe comportare l'esposizione di difetti prima che le patch siano completamente testate. Sarebbe utile concordare un lasso di tempo per affrontare i buchi di sicurezza dell'hardware. L'industria dei semiconduttori potrebbe ora impegnarsi in un programma per stabilire tale scadenza CVD.

• Educare le persone sulla necessità di affrontare i rischi legati all'hardware

Lo sviluppo di correzioni software è piuttosto inutile se non vengono utilizzate. L'adozione non va bene per le patch software, ma per l'hardware [quelle] è davvero pessimo, afferma Ari Schwartz, il coordinatore esecutivo del CCPL ed ex direttore senior della sicurezza informatica nello staff del Consiglio di sicurezza nazionale degli Stati Uniti.

Cose semplici, come convincere le persone a riavviare regolarmente i loro router domestici in modo che i chip in essi contenuti ricevano aggiornamenti software, sono ancora una sfida. Intel e altre società di chip hanno lanciato più programmi per educare le persone sui rischi e su come affrontarli, ma sarà necessario uno sforzo ancora maggiore.

• Lavorare di più per eliminare i difetti di sicurezza nei progetti di chip

Le ultime generazioni di chip che arrivano sul mercato da Intel e altri non sono più vulnerabili ad attacchi come ZombieLoad e Spectre, grazie ai cambiamenti nel modo in cui funzionano. Ma c'è sempre il rischio che emergano nuovi tipi di vulnerabilità.

Per minimizzarlo, i produttori di chip dovranno dedicare più risorse alla ricerca dei punti deboli nelle nuove generazioni di chip di silicio e allo sviluppo di progetti più sicuri per i loro semiconduttori. Aumentare la spesa in queste aree sarà doloroso per le aziende che operano in un settore fortemente competitivo, ma ora che i chip sono incorporati in un numero sempre maggiore di dispositivi, dai veicoli autonomi agli altoparlanti intelligenti nelle case, il costo dei guasti alla sicurezza sta aumentando notevolmente.

nascondere