Cacat chip utama Intel masih belum diperbaiki

Laporan dari The New York Times mengklaim bahwa Intel telah berulang kali meminta sekelompok peneliti Belanda untuk tetap bungkam mengenai kerentanan dalam chipnya, meskipun ada beberapa kali tambalan Intel yang belum memperbaiki masalah secara keseluruhan.

Kerentanan pada dasarnya didasarkan pada fakta bahwa chip Intel sering melakukan fungsi tertentu untuk mengantisipasi kebutuhan pemrosesan untuk mempercepat kinerja. Namun, jika fungsi-fungsi itu dibatalkan, data yang dibuat tetap berada di sistem untuk waktu yang singkat, sementara data ini sedang diproses atau disimpan, hal itu rentan terhadap ekstraksi oleh peretas.

Peneliti di Vrije Universiteit Amsterdam menemukan dan melaporkan kerentanan di prosesor Intel pada September 2018. Menurut laporan tersebut, tambalan Intel yang dirilis untuk memperbaiki masalah pada bulan Mei tidak sepenuhnya mengatasi masalah tersebut. Dengan demikian, patch kedua dirilis pada hari Selasa, 12 November 2019, yang tampaknya akan memperbaiki semua masalah. Setidaknya itu, menurut para peneliti. Laporan itu mencatat:

Itu akan menjadi enam bulan lagi sebelum patch kedua, yang diungkapkan kepada publik oleh perusahaan pada hari Selasa, akan memperbaiki semua kerentanan yang ditunjukkan Intel telah diperbaiki pada bulan Mei, kata para peneliti baru-baru ini wawancara.

Pesan publik dari Intel adalah "semuanya sudah diperbaiki," kata Cristiano Giuffrida, seorang profesor ilmu komputer di Vrije Universiteit Amsterdam dan salah satu peneliti yang melaporkan kerentanan. "Dan kami tahu itu tidak akurat."

Ketidakakuratan yang dimaksud oleh Giuffrida, adalah fakta bahwa tambalan yang disediakan pada hari Selasa tidak memperbaiki cacat lain yang dikatakan telah mereka katakan kepada Intel pada bulan Mei:

Kini peneliti Belanda mengklaim Intel melakukan hal yang sama lagi. Mereka mengatakan tambalan baru yang dikeluarkan pada hari Selasa masih tidak memperbaiki cacat lain yang mereka berikan kepada Intel pada bulan Mei.

Intel mengakui bahwa patch bulan Mei tidak memperbaiki semua yang diajukan para peneliti, begitu juga dengan perbaikan hari Selasa. Tapi mereka "sangat mengurangi" risiko serangan, kata Leigh Rosenwald, juru bicara perusahaan.

Laporan tersebut mencatat praktik industri standar seputar hal semacam ini, di mana perusahaan keamanan yang menemukannya kerentanan dan melaporkan mereka sering setuju untuk tidak mempublikasikan temuan mereka sampai perusahaan dapat merilis tambalan untuk memperbaiki masalah. Inilah sebabnya mengapa Anda tidak mendengar tentang sebagian besar kerentanan keamanan sampai mereka diperbaiki. Para peneliti Belanda mengklaim mereka tetap diam selama delapan bulan setelah laporan awal ke Intel. Ketika Intel merilis perbaikan pada bulan Mei, mereka menyadari bahwa tambalan tidak menyertakan semua eksploitasi yang telah mereka ceritakan kepada Intel dan diminta untuk tetap diam selama enam bulan berikutnya. Mereka juga tampaknya diminta untuk mengubah makalah yang telah mereka rencanakan untuk disajikan ke konferensi keamanan.

Laporan tersebut mengklaim bahwa setelah rilis hari Selasa, kelompok itu kembali diminta untuk tetap diam, namun, mereka menolak, karena itulah cerita ini:

"Kami pikir sudah waktunya untuk memberi tahu dunia bahwa bahkan sekarang Intel belum menyelesaikan masalah," kata Herbert Bos, kolega Tuan Giuffrida dan Tuan Razavi di Vrije Universiteit Amsterdam

Laporan tersebut selanjutnya menyarankan bahwa Intel mungkin telah mengabaikan beberapa eksploitasi "bukti-konsep" yang disediakan oleh grup dan yang di melakukan hal itu gagal mengungkap kerentanan tambahan apa pun, itulah sebabnya Intel belum dapat menambal semua kerentanan di dalamnya sekali jalan:

"Masih banyak kerentanan yang tersisa, kami yakin," kata Bos. "Dan mereka tidak berniat melakukan rekayasa keamanan yang tepat sampai reputasi mereka dipertaruhkan... Banyak dari serangan yang mereka lewatkan adalah beberapa baris kode yang berbeda dari yang lain. Terkadang satu baris kode, "kata Tuan Giuffrida. Implikasi dari hal ini tentu saja mengkhawatirkan. Artinya sampai kami memberikan semua kemungkinan variasi masalah, mereka tidak akan benar-benar memperbaiki masalah. "

Seorang juru bicara Intel mengatakan bahwa perusahaan telah "sangat mengurangi" risiko serangan. Dia juga mengatakan telah mengatasi masalah inti melalui perbaikan perangkat keras di beberapa chipnya dan berencana melakukan hal yang sama untuk yang lain.

Alasan lain mengapa kelompok tersebut memutuskan untuk go public dalam hal ini adalah kenyataan bahwa kerentanan sudah mulai bocor, sampai-sampai informasi tersebut berputar kembali kepada mereka dari sumber lain. Sekarang mereka khawatir bahwa orang mungkin dapat menggunakan kerentanan terhadap orang yang tidak dilindungi. Masih belum jelas pada tahap ini kerentanan mana yang sebenarnya tetap ada, dan berapa lama waktu yang dibutuhkan Intel untuk memperbaikinya. Anda bisa membaca cerita lengkapnya sini.