El pasado mes de mayo Intel publicó una serie de parches que solucionaba algunas vulnerabilidades de seguridad que varios expertos habían desvelado seis meses antes al describir una serie de vulnerabilidades llamadas ZombieLoad, Fallout y RIDL que funcionaban de forma similar a como lo habían hecho previamente Meltdown y Spectre.
Esa solución era incompleta entonces y ha vuelto a serlo ahora tras una segunda publicación de parches según los investigadores de la Vrije Universiteit Amsterdam. Estos expertos también han criticado la forma de actuar de Intel, que según ellos abusa de los acuerdos de publicación responsable de fallos de seguridad.
Los ataques MDS siguen afectando a procesadores de Intel
En Intel se refieren a este tipo de ataques como MDS (Microarchitectural Data Sampling), y todos ellos permiten a un hacker lograr ejecutar código en el ordenador de la víctima con el que es posible recopilar datos sensibles.
El grupo de expertos que ha descubierto el problema está formado porinvestigadores de la Vrije Universiteit Amsterdam, de la KU Leuven en Bélgica, del German Helmholtz Center for Information Security, y de la Graz University of Technology en Austria. Desde la Vrije Universiteit destacan que aquellos parches de mayo "no eran efectivos", y que esas formas de mitigar el problema podrían saltarse por parte del os hackers.
De hecho, afirma Raveh Razavi, uno de esos investigadores "no tuvieron nada en cuenta una variante de nuestro ataque: la más peligrosa". Desde que comunicaron el problema a Intel por primera vez han logrado confeccionar una prueba de concepto que podría robar datos sensibles en segundos, y no en horas o días como se creía previamente que sería necesario al explotar estas vulnerabilidades.
Esa variante, llamada TAA (TSX Asynchronous Abort) permite actuar incluso en procesadores teóricamente invulnerables (incluso con mitigaciones hardware). Los investigadores no pudieron descubrirla hasta que Intel no publicó las actualizaciones de microcódigo en mayo de 2019 que teóricamente corregían los problemas descubiertos en septiembre de 2018.
Estos investigadores avisaron a Intel de que sus parches no eran completos, e Intel pidió que no mencionaran el problema en el informe sobre ataques MDS que publicaron en mayo. En lugar de eso tuvieron que esperar a ayer para hablar del tema, justo después de que Intel publicase sus nuevos (y de nuevo, incompletos según estos investigadores) parches para corregir el problema.
Como indican en Wired, la actitud de Intel es según preocupante en otros apartados como el pago de recompensas por la detección de fallos. Intel ofrece un pago de hasta 100.000 dólares si se detectan vulnerabilidades graves en sus productos, pero cuando los investigadores de VUSec notificaron el problema en septiembre de 2018 Intel quiso pagar solo 40.000 dólares.
Luego sugirieron subir la cantidad a 80.000 dólares "pero los investigadores rechazaron la oferta argumentando que Intel estaba tratando de hacer que la vulnerabildad pareciera menos grave". Finalmente Intel acabó pagando la recompensa de 100.000 dólares.
Intel reconoce que el problema no está solucionado del todo
El anuncio oficial de Intel confirma que el problema existe y muestra una tabla con las vulnerabilidades detectadas, el nivel de riesgo que conllevan y cuántas han corregido.
Sin embargo, también admiten que el problema no está totalmente solucionado al indicar que creen que "las mitigaciones para TAA y MDS reducen de forma sustancial los potenciales ataques", para luego indicar que tras publicar ese anuncio confirmaban que existía "la posibilidad de que cierta parte de datos puedan ser inferidos a través de un canal paralelo usando estas técnicas (para TAA, solo si TSX está habilitado) y serán corregidas en futuras actualizaciones del microcódigo".
Según Wired, los investigadores volvieron a recibir la petición de no desvelar esta última información, pero esta vez dichos expertos rechazaron esa posibilidad. Cristiano Giuffrida, del VUSec, explicaba que "sabemos que esto es complejo, pero estamos extremadamente decepcionados con Intel. Nuestra queja con el proceso en general es la falta de ingenería de seguridad que observamos. Nuestra impresión es que contemplan una variante cada vez, pero no son capaces de atajar la fuente del problema".
Ver todos los comentarios en https://www.xataka.com
VER 15 Comentarios