Attacchi alle CPU: il problema esiste davvero?

Le CPU Intel conterrebbero serie falle che potrebbero essere sfruttate da remoto per causare crash del sistema o per guadagnarne pieno controllo. Sono queste le conclusioni di uno studio condotto da un ricercatore indipendente che prevede di rilasciare il codice “proof-of-concept”, in grado di far leva sulla lacuna di sicurezza, tra qualche mese.

Kris Kaspersky, questo il nome dell’esperto (che non ha nulla a che fare con la software house, attiva nel campo della sicurezza informatica, Kaspersky Labs), presenterà i risultati della sua scoperta in occasione della conferenza “Hack In The Box” di Kuala Lumpur (Malaysia) prevista per il prossimo Ottobre.

Poiché le vulnerabilità in questione risiede all’interno del processore stesso, gli attacchi possono essere posti in atto, potenzialmente, su qualunque piattaforma – indipendentemente dal sistema operativo impiegato -.

“Si tratta solamente di tempo. Presto vedremo i primi attacchi in grado di sfruttare i bug rilevati nelle CPU Intel”, ha affermato Kaspersky.

Analizziamo il problema più nel dettaglio. Kaspersky ha dichiarato di essere stato in grado di iniettare del codice maligno mandandolo in esecuzione e ciò “scavalcando” di fatto le misure di sicurezza integrate nel sistema operativo adottato.

Secondo Marco Giuliani, ricercatore PrevX (ved. questo articolo), è ancora troppo presto per valutare la gravità del problema. In occasione di ogni conferenza dedicata al tema della sicurezza, infatti, vengono messe in programma conferenze e dimostrazioni pubbliche relative ad argomenti di notevole importanza. Non è però detto che un codice “proof-of-concept” possa necessariamente diventare una seria minaccia.
Alcuni “proof-of-concept”, spiega Giuliani, richiedono competenze tecniche molto elevate che la maggior marte degli sviluppatori di malware non possiede.
E’ bene evitare di essere preoccupati per un problema che è ben lontano dal diventare una reale minaccia nella “vita reale”. E, soprattutto, non si tralasci di guardare con attenzione ai tanti aspetti che invece, oggi, permettono di evitare di correre rischi, sia in ambiente domestico che in ambito aziendale.

Tali considerazioni non appaiono comunque voler sminuire in alcun modo la portata della scoperta di Kaspersky. Lo scorso Giugno lo stesso Theo de Raadt, fondatore dei progetti OpenBSD ed OpenSSH, aveva pubblicamente confermato la gravità dei bug presenti nelle CPU osservando come i “workaround” proposti da Intel venissero implementati a livello BIOS, dai vari produttori hardware, con un discreto ritardo. Alcuni problemi inoltre, sempre secono de Raadt, non sarebbero risolvibili.

“Tutti i processori, di qualsiasi produttore contengono bug ed Intel usa comunicarlo tempestivamente ai propri clienti ed al pubblico in generale”, ha dichiarato un portavoce Intel. Fu infatti la stessa società, lo scorso Aprile, a rendere noti alcuni dettagli riguardanti le specifiche tecniche delle sue CPU Core 2.
In quell’occasione Intel spiegò come i bug (detti “errata”) nelle CPU Core 2 (serie T, E, Q, QX e Xeon 5000) possano presentarsi solamente in casi molto rari. Risultato: un sistema che si rifiuta di ricevere i dati in ingresso provenienti da mouse e tastiera. In Windows potrebbe venire visualizzato un errore “Blue Screen of Death” mentre in Linux un messaggio di “kernel panic”.
Intel ha pubblicato un aggiornamento per la risoluzione del problema sul sito developer.intel.com.