Исследователи сообщают об обнаружении 13 недостатков в безопасности в чипах AMD Ryzen и EPYC, которые могут позволить злоумышленникам установить вредоносную программу на строго защищенные части процессора.
По словам специалистов, эти критические уязвимости открывают доступ к конфиденциальным данным на миллионах устройств. Особенно тревожным является тот факт, что бреши нашли там, где повышенный уровень безопасности важнее всего — обычно в этой области хранятся конфиденциальные данные, такие как пароли и ключи шифрования.
Большинство этих дыр в безопасности для эксплуатации требуют прав администратора, это значит, что сначала злоумышленник должен будет получить контроль над целевым устройством при помощи какой-либо вредоносной программы.
О наличии 13 уязвимостей стало известно благодаря исследователям из израильской компании CTS-Labs. По словам специалистов, недостатки затрагивают чипы Ryzen и EPYC, напомним, что Ryzen используются в настольных компьютерах и ноутбуках, а EPYC обычно питают серверы.
Эксперты опубликовали видео, в котором подробно рассматриваются эти уязвимости:
«В AMD безопасность является главным приоритетом, мы постоянно работаем над обеспечением безопасности наших пользователей, поскольку постоянно возникают новые киберриски», — заявил представитель AMD. — «В настоящее время мы исследуем этот отчет об обнаруженных уязвимостях, чтобы дать ему соответствующую оценку».
Исследователи предоставили AMD 24 часа на изучение обнаруженных недостатков и вынесение соответствующего вердикта по ним. Это довольно странный поступок, учитывая, что обычно у компаний есть стандартные 90 дней, в течение которых они могут устранить найденные бреши. Например, специалисты Google дали Intel шесть месяцев на устранение проблем, связанных со Spectre и Meltdown.
Некоторые независимые специалисты раскритиковали отчет CTS-Labs за отсутствие каких-либо технических подробностей уязвимостей. Однако на данный момент есть краткое описание четырех обнаруженных брешей.
Первая из них — Master Key. Уязвимость Master Key обходим процесс проверки безопасной загрузки «secure boot», устанавливая вредоносную программу непосредственно в BIOS. После этого этапа Master Key позволяет злоумышленнику установить зловред на сам защищенный процессор, что даст полный контроль над тем, какие программы могут запускаться во время загрузки системы.
Вторая — Ryzenfall. Эта брешь затрагивает чипы AMD Ryzen, предоставляя атакующему доступ к защищенным данным, включая ключи шифрования и пароли. По словам экспертов, обычно в эти области процессора доступ надежно закрыт.
Следующая — Fallout. Fallout действует по подобию Ryzenfall — позволяет злоумышленникам получить доступ к разделам, где хранятся защищенные данные.
И, наконец, Chimera. Эта брешь существует из-за двух разных уязвимостей, одна из котрых находится в прошивке, а другая в аппаратном обеспечении.
Процедура получения льгот, вводимых российским ретейлом для людей преклонного возраста, скоро упростится. Таким покупателям достаточно будет зайти в MAX и предъявить на кассе QR-код, сгенерированный на основе цифрового ID.
Сервис подтверждения статуса пенсионера через MAX уже запущен в пилотном режиме компанией X5.
В настоящее время нововведение доступно лишь москвичам — посетителям ряда «Перекрестков» и «Пятерочек», освоившим самообслуживание. В следующем месяце планируется распространить его на все торговые точки этих сетей.
«Каждый месяц в наши магазины приходят около 20 млн покупателей пенсионного возраста, — отметил Александр Костин, управляющий директор Х5 Tech. — Мы последовательно развиваем цифровые сервисы, которые делают покупки для клиентов любого возраста быстрее и удобнее, а процессы в магазинах — более эффективными».
Воспользоваться новой функцией несложно. На кассе самообслуживания нужно отсканировать товар, открыть раздел «Скидки пенсионерам и другие», выбрать из списка «Скидка пенсионерам» и поднести к считывателю смартфон с QR-кодом в профиле MAX (в мессенджере на такие случаи предусмотрена опция «Показать ID»).
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
