Intel accusata di aver nascosto la vulnerabilità Downfall

Da quando, a inizio 2018, sono venuti a galla i primi esempi di vulnerabilità che sfruttano gli attacchi side-channel nei processori (si pensi alle storiche Spectre e Meltdown), i ricercatori di sicurezza hanno letteralmente fatto a gara per individuare problematiche simili. Rilevatesi una vera e propria spina nel fianco non sono per Intel ma anche per i suoi diretti concorrenti.

Tra le falle di sicurezza che hanno fatto discutere più di recente c’è sicuramente quella battezzata con l’appellativo di Downfall. Si tratta di una falla microarchitetturale che coinvolge l’istruzione AVX SIMD Gather e può essere sfruttata per leggere dati dalla memoria durante le operazioni di esecuzione speculativa. L’esecuzione speculativa è una modalità in cui i core della CPU anticipano le operazioni svolte dalle applicazioni seguendo i salti nel codice di programmazione (si pensi ai vari costrutti if o while…) che con maggiore probabilità potrebbero essere poi successivamente effettuati. Questo tipo di approccio mira a migliorare le prestazioni, ma può presentare dei rischi allorquando un aggressore provasse ad osservare a basso livello il comportamento della CPU.

Durante la fase di esecuzione speculativa, infatti, la CPU potrebbe accedere a dati personali e riservati, come informazioni di sicurezza o chiavi crittografiche, per anticipare il risultato di un’operazione. I cambiamenti nello stato della CPU possono influenzare elementi come la cache o i registri, creando un “canale laterale” attraverso il quale un aggressore può dedurre informazioni utili. In un altro articolo abbiamo chiarito il significato di CPU e cosa accade quando si esegue qualunque programma.

Intel chiamata in causa per Downfall: l’accusa è di non essersi attivata per tempo al fine di risolvere la vulnerabilità

Un gruppo di utenti ha avviato una vertenza legale nei confronti di Intel sostenendo che l’azienda guidata da Pat Gelsinger non si sarebbe correttamente attivata per correggere le problematiche alla base dell’attacco Downfall. L’accusa sostiene che Intel era a conoscenza delle vulnerabilità nel suo set di istruzioni AVX (Advanced Vector Extensions) fin dal 2018 ma non ha corretto il difetto segnalatole fino al 2023, quando la falla Downfall è effettivamente venuta a galla.

Sempre stando al reclamo presentato dai promotori della vertenza, che ambisce a diventare una class action, Intel avrebbe quindi consegnato alle aziende partner e agli utenti finali una patch che rallenta le prestazioni del sistema fino al 50%. Nel frattempo, “tra il 2018 e il 2023, Intel avrebbe venduto miliardi di chip non sicuri“, si legge nella contestazione formale.

Nel 2018, quando Intel stava affrontando le vulnerabilità Spectre e Meltdown, la stessa azienda avrebbe ricevuto due segnalazioni separate di vulnerabilità che mettevano in evidenza come il set di istruzioni AVX fosse vulnerabile a un attacco di tipo side channel molto simile.

Per tre generazioni di processori, Intel non avrebbe corretto le vulnerabilità alla base di Downfall

L’accusa ritiene che Intel avrebbe dovuto proteggere AVX già nel 2018 dopo i report ricevuti dai ricercatori. Certo, si sarebbe trattato di un impegno importante poiché l’azienda di Santa Clara avrebbe dovuto “ridisegnare” i suoi chip lato hardware per mitigare le vulnerabilità di esecuzione speculativa. Intel, tuttavia, per tre generazioni consecutive non ha rivisto il design dei processori al fine di garantire la sicurezza delle istruzioni AVX durante l’esecuzione speculativa.

I bug e le problematiche possono certamente esistere sia a livello hardware che software ma devono essere prese in considerazione dai rispettivi vendor e corrette, ove effettivamente necessario, nel più breve tempo possibile. La causa avviata contro la società di Gelsinger è in qualche modo storica perché mira a dimostrare un potenziale comportamento passivo da parte di Intel.