Abo
  • Services:

Ryzenfall: Unbekannte Sicherheitsfirma veröffentlicht Quatsch zu AMD

Eine Firma aus Israel will spektakuläre Informationen zu Sicherheitslücken bei AMD veröffentlicht haben. Doch bei näherem Hinsehen erweist sich die Veröffentlichung selbst als missratene Sprungvorhersage.

Eine Analyse von veröffentlicht am
Die aktuellen Ryzen- und Epyc-CPUs von AMD sind furchtbar unsicher - nicht.
Die aktuellen Ryzen- und Epyc-CPUs von AMD sind furchtbar unsicher - nicht. (Bild: Marc Sauter/Golem.de)

Nach der großen Aufregung um die Sicherheitslücken Meltdown und Spectre folgt der nächste große Coup: Die aktuellen Ryzen- und Epyc-CPUs von AMD sind furchtbar unsicher - das jedenfalls will eine bislang vollkommen unbekannte Sicherheitsfirma aus Israel der Welt weismachen. Dabei trägt sie aber viel zu dick auf. Hinzu tritt eine Analystenfirma, die schon in der Vergangenheit mit zweifelhaften Veröffentlichungen auf sich aufmerksam gemacht hat und die deswegen bereits von der Deutschen Finanzaufsicht ermahnt wurde.

Inhalt:
  1. Ryzenfall: Unbekannte Sicherheitsfirma veröffentlicht Quatsch zu AMD
  2. Whitepaper von der Qualität eines ICO

Auf der Webseite AMDflaws.com listet das Unternehmen CTS-Labs 13 Schwachstellen mit 4 verschiedenen Namen auf. Alle mit eigenem Logo und für mediale Wahrnehmung hervorragend aufbereitet. Dieser Eindruck hält aber nur, bis man sich das Security-Whitepaper auf der Webseite herunterlädt und anschaut. Das Papier enthält tatsächlich sehr wenige technische Details und ist in keiner Weise mit den Untersuchungen zu Meltdown oder Spectre vergleichbar.

Die Webseite und auch der restliche Umfang der Veröffentlichungen lassen schnell Zweifel aufkommen. So wird in der gesamten Dokumentation keine einzige von MITRE vergebene CVE-Nummer erwähnt, außerdem hat offensichtlich kein Disclosure-Prozess stattgefunden - die Behauptungen, dass keine Patches oder Mitigationen für die Probleme bereitstehen, geht also voll auf das Konto der Entdecker. Hinter der Entdeckerfirma verbirgt sich neben einer Webseite nicht viel - auch bei LinkedIn finden sich nur drei Mitarbeiter. Die offensichtlichen Ungereimtheiten haben zahlreiche Medien allerdings nicht davon abgehalten, über die Webseite und das Unternehmen zu berichten.

Probleme sind nicht neu - oder werden übertrieben

Viele der dargestellten Probleme sind nicht neu - oder weniger kritisch, als beschrieben. Die Ryzenfall-Sicherheitslücke soll es einem Angreifer etwa ermöglichen, "die komplette Kontrolle" über AMDs Platform Security Prozessor (PSP) - vergleichbar mit Intels umstrittener Management Engine - zu erlangen. Außerdem sei es möglich, die Schutzmechanismen von Windows' Credential Guard zu umgehen.

Stellenmarkt
  1. Robert Bosch GmbH, Stuttgart
  2. SCHOTT AG, Mainz

Tatsächlich müsste ein Angreifer aber bereits über Root-Rechte verfügen, um den Angriff durchführen zu können. Ein vergleichbarer Angriff wurde außerdem bereits Anfang Januar dieses Jahres vorgestellt - schon damals rieten Experten, nicht in Panik zu verfallen. Vergleichbare Angriffe ohne Notwendigkeit für Root-Zugriff gibt es bereits gegen Intels ME.

Mit dem Codenamen Chimera werden in dem Whitepaper angebliche Backdoors in dem von AMD verwendeten Promontory-Chipsatz (also X370, B450 und A320) beschrieben. Die Kritik zielt vor allem auf den Auftragshersteller von AMD, denn die Promontory wurden von Asmedia entwickelt. Die verwendeten Chips haben angeblich keinen Schutz gegen Exploits. Außerdem kritisieren die selbsternannten Forscher, dass der Chipsatz mit einem vom Hersteller signierten Treiber angesprochen werden kann. Beweise für konkrete Angriffe (Proof of Concept, PoC) bleiben allerdings aus.

Als Beleg für die Kritikwürdigkeit von Asmedia wird ein Vergleich mit der US-Behörde FTC erwähnt, dem zufolge das Unternehmen 20 Jahre lang Sicherheitsaudits durchführen muss. Unerwähnt bleibt, dass es sich dabei um das Routergeschäft der Mutterfirma Asus und die Firmware für die Geräte handelt - und nicht um die Fertigung von Chips oder Prozessoren von Asmedia.

Whitepaper von der Qualität eines ICO 
  1. 1
  2. 2
  3.  


Anzeige
Hardware-Angebote
  1. und 25€ Steam-Gutschein erhalten
  2. bei Caseking kaufen
  3. (reduzierte Überstände, Restposten & Co.)
  4. beim Kauf ausgewählter Z370-Boards mit Intel Optane Speicher + Intel SSD

gadthrawn 23. Mär 2018

auch ohne CVE ist eine Lücke eine Lücke - die übrigens AMD selbst bestätigt hat und...

gadthrawn 23. Mär 2018

Mittlerweile veröffentlicht AMD erste Patches für die Lücken, die AMD selbst übrigens...

gadthrawn 23. Mär 2018

veröffentlicht AMD Sicherheitspatches für die Lücken, die der Autor hier als Quatsch...

Tuxgamer12 21. Mär 2018

Also einfach mal schnell Artikel raushauen, der völlig ungeprüft und unkritisch...

DY 15. Mär 2018

nicht verkehrt. Die die rumtönen haben es meist eh vor und viele andere nehmen die...


Folgen Sie uns
       


Electronic Arts E3 2018 Pressekonferenz - Live

Mit Command & Conquer Rivals wollte sich die Golem.de-Community so gar nicht anfreunden, da haben Anthem und Unraveled Two mehr überzeugt.

Electronic Arts E3 2018 Pressekonferenz - Live Video aufrufen
Mars: Die Staubstürme des roten Planeten
Mars
Die Staubstürme des roten Planeten

Der Mars-Rover Opportunity ist nicht die erste Mission, die unter Staubstürmen leidet. Aber zumindest sind sie inzwischen viel besser verstanden als in der Frühzeit der Marsforschung.
Von Frank Wunderlich-Pfeiffer

  1. Nasa Dunkle Nacht im Staubsturm auf dem Mars
  2. Mars Insight Ein Marslander ist nicht genug

Sun to Liquid: Wie mit Sonnenlicht sauberes Kerosin erzeugt wird
Sun to Liquid
Wie mit Sonnenlicht sauberes Kerosin erzeugt wird

Wasser, Kohlendioxid und Sonnenlicht ergeben: Treibstoff. In Spanien wird eine Anlage in Betrieb genommen, in der mit Hilfe von Sonnenlicht eine Vorstufe für synthetisches Kerosin erzeugt oder Wasserstoff gewonnen wird. Ein Projektverantwortlicher vom DLR hat uns erklärt, warum die Forschung an Brennstoffen trotz Energiewende sinnvoll ist.
Ein Bericht von Werner Pluta

  1. Deep Sea Mining Deep Green holte Manganknollen vom Meeresgrund
  2. Klimaschutz Unter der Erde ist das Kohlendioxid gut aufgehoben
  3. Physik Maserlicht aus Diamant

Jurassic World Evolution im Test: Das Leben findet einen Weg
Jurassic World Evolution im Test
Das Leben findet einen Weg

Ian Malcolm hatte recht: Das Leben wird ausgegraben und gebrütet, es frisst und stirbt oder es bricht aus und macht Jagd auf die Besucher. Nur leider haben die Entwickler von Jurassic World Evolution ein paar kleine Design-Fehler begangen, so wie Henry Wu bei der Dino-DNA.
Ein Test von Marc Sauter

  1. Vampyr im Test Zwischen Dracula und Doktor
  2. Fe im Test Fuchs im Farbenrausch
  3. Thaumistry: In Charm's Way im Test Text-Adventure der ganz alten Schule

    •  /