VU: Intel probeerde ernst van nieuw CPU-lek te bagatelliseren
Chipgigant Intel heeft geprobeerd om de ernst van nieuwe kwetsbaarheden in de processoren te bagatelliseren, zo laat de Vrije Universiteit (VU) tegenover NRC weten. Onderzoekers van de universiteit ontdekten de beveiligingslekken waardoor aanvallers vertrouwelijke data van systemen kunnen stelen.
Alleen het uitvoeren van JavaScript in de browser van een slachtoffer is al voldoende om bijvoorbeeld wachtwoorden te stelen. De aanvallen worden ZombieLoad, RIDL en Fallout genoemd en zijn uit te voeren tegen alle Intel-processoren die vanaf 2008 zijn gemaakt. De aanvallen maken misbruik van in totaal vier kwetsbaarheden.
Intel heeft een beloningsprogramma voor onderzoekers die kwetsbaarheden in producten rapporten. Hoewel de kwetsbaarheden door teams van verschillende universiteiten waren ontdekt, was de Vrije Universiteit de enige die een beloning ontving, namelijk 100.000 dollar. Volgens de VU probeerde Intel de ernst van de kwetsbaarheden echter te bagatelliseren.
De chipgigant wilde namelijk een beloning van 40.000 dollar geven en daarnaast nog eens 80.000 dollar 'los'. Intel betaalt lagere beloningen voor kwetsbaarheden waarvan de impact kleiner is. De 100.000 dollar wordt uitgekeerd voor kwetsbaarheden die als ernstig zijn bestempeld. 30.000 dollar is er voor beveiligingslekken die in de categorie "high" vallen. Intel heeft de vier kwetsbaarheden zelf als "medium" en "low" beoordeeld, met een maximale impactscore van 6,5.
Volgens Herbert Bos, hoogleraar systeem- en netwerkveiligheid aan de VU, wilde Intel nog een half jaar met de publicatie wachten. De universiteit dwong echter af dat de details deze maand openbaar zouden worden gemaakt. Verder meldt NRC dat Intel in eerste instantie had verzuimd om Google en Mozilla over de kwetsbaarheden te informeren. Bij het CPU-lek Spectre kwamen de browserontwikkelaars met updates om internetgebruikers tegen aanvallen te beschermen.
100.000 dollar is wat we wil, en no dollarcent minder." ;P
100.000 dollar is wat we wil, en no dollarcent minder." ;P
Intel moet slimmere en snellere chipsets maken,het is"Onveilig"en "domme hardware"
daar willen ze van af.
Slimmere devices en chipsets en Cpu's,algoritmes,de infra-structuur moet
sneller worden en wereldwijd worden aangelegd,inclusief 5G
100.000 dollar is wat we wil, en no dollarcent minder." ;P
Wellicht net het verschil tussen een wetenschapper en de rest van de mensheid...
Iedereen blij.
Wellicht enig zins vertraging voor de productie maar Imagoschade zit je ook niet op te wachten.
Maar ja eventueel toekomstig onderzoek zal dan weer door andere onderzoekers geverifieerd moeten worden om belangen verstrengeling te voorkomen. Zover die niet al aanwezig is.
Toverwoorden; Rapid-development, Build-To-Order.... Innovatieve ideeën zonder enig besef waarom goed testen en inzicht hebben wat je ontwerpt met eventuele gevolgen. Complexiteit vraagt aandacht en zorg,
Was AMD nu dan echt zo slecht? Dacht het niet.
Toverwoorden; Rapid-development, Build-To-Order.... Innovatieve ideeën zonder enig besef waarom goed testen en inzicht hebben wat je ontwerpt met eventuele gevolgen. Complexiteit vraagt aandacht en zorg,
Na jarenlang ervaring bij veel verschillende vendoren moet ik je compleet gelijk geven.
Wordt het niet tijd dat vendoren deugelijke producten leveren en anders opdraaien voor de kosten?
Dat is voor ieder ander product normaal
Was AMD nu dan echt zo slecht? Dacht het niet.
Ja en Nee. AMD was niet slecht zeker niet, maar door de keuze van een bepaalde architectuur sommige zaken langzamer en andere wat sneller. Gelukkig kunnen ze op het moment goed meekomen. Intel werd wel erg lui.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
