Ora che sul fronte di Intel sembra essere tornata la calma, tocca a Amd finire sotto i riflettori.

I ricercatori di Cts Labs hanno infatti scoperto l'esistenza di ben 13 falle nei processori dell'azienda di Sunnyvale: nel problema sono coinvolte le Cpu delle serie Ryzen, Ryzen Pro, Ryzen Mobile e Epyc, presenti in desktop, workstation, laptop e server.

Gli scopritori hanno catalogato le vulnerabilità in quattro classi - RyzenFall, Fallout, Chimera e Masterkey - e possono essere usate per aggirare la tecnologia Secure Encrypted Virtualization di Amd, mettendo in grado chi le sfrutta di aggirare il sistema di protezione Windows Credential Guard per sottrarre le credenziali di rete.

Ti raccomandiamo anche:

Un intero sistema operativo nascosto nelle CPU

Bug nei processori AMD: a rischio password e crittografia

Processori AMD, breve guida alla nuova nomenclatura

AMD straccia Intel con i Ryzen 7000 e l'architettura Zen 4

A mitigare un po' la gravità della situazione c'è il fatto che, per approfittare delle falle, è necessario avere i diritti di amministratore sul computer preso a bersaglio. In ogni caso, sono comunque milioni i dispositivi potenzialmente a rischio.

C'è però un altro dettaglio da tenere in considerazione, un particolare che getta una luce dubbia sull'intera vicenda.

Sullo stesso tema:

AMD svela i Ryzen 7000, capaci di raggiungere i 5,5 GHz

Intel, le patch per le nuove falle danneggiano seriamente le prestazioni

Intel rilascia una nuova patch per Meltdown e Spectre, questa volta senza errori

Meltdown e Spectre, le cose da sapere e da fare (senza panico)

Innanzitutto la tempistica: sebbene le falle siano state scoperte non molto dopo Meltdown e Spectre, lo studio che le illustra è recentissimo, ed è stato pubblicato appena un giorno dopo la notifica dell'esistenza delle falle ad Amd.

Generalmente, l'azienda che ha creato i prodotti vulnerabili viene avvisata mesi prima del al disvelamento al grande pubblico, per darle modo di preparare delle patch.

C'è di più: alcuni esperti di sicurezza - come Arrigo Triulzi, di Google - hanno iniziato a sospettare che la serietà delle falle sia stata sopravvalutata.

Il motivo di tale comportamento non sarebbe soltanto creare allarme, ma ci sarebbero degli interessi economici. Non si tratta soltanto di un'ipotesi: nell'ultima pagina dello studio stesso si può leggere: «Vi informiamo del fatto che potremmo avere, direttamente o indirettamente, un interesse economico nelle prestazioni di sicurezza delle aziende i cui prodotti sono sottoposti ai nostri studi».

È questa strana situazione che ha spinto Ben Gras, ricercatore della Libera Università di Amsterdam, a dichiarare che «È un po' difficile prendere tutto ciò per buono, dato che non credo che siano in buona fede, e la mancanza di dettagli rende il tutto non verificabile. Mi fa sospettare che l'impatto [delle falle] sia stato esagerato».

Qualunque sia la gravità delle vulnerabilità scoperte, certo è che esse esistono, come ha anche confermato il ricercatore indipendente di Trail of Bits Dan Guido, il quale afferma di aver ricevuto un rapporto tecnico completo diverso da quello reso noto pubblicamente. Amd attualmente sta indagando.

Qui sotto, il video illustrativo pubblicato da Cts Labs.