حذرت إنتل الموردين الصينيين من الانهيارات ونقاط الضعف شبك أمام الحكومة الأمريكية

في 3 يناير 2018 ، أعلنت شركة Intel علناً عن معلومات حول نقاط الضعف الخطيرة لـ Meltdown و Specter ، والتي تكون فيها جميع المعالجات المستخدمة حاليًا على أجهزة الكمبيوتر المكتبية والخوادم والأجهزة اللوحية والهواتف الذكية وما إلى ذلك ، عرضة لثغرات مختلفة. ترتبط الثغرات بآلية التنفيذ التخميني للتعليمات في المعالجات الحديثة - وهذا هو خطأ الأمان CPU الأكثر خطورة الذي تم العثور عليه في السنوات الأخيرة.

كان من المقرر نشر البيان الصحفي في 9 يناير ، ولكن في 2 يناير ، تم تسريب المعلومات للجمهور من قبل السجل .

بالطبع ، أصبحت Intel على دراية بالضعف في وقت أبكر بكثير مما أعلنته للجمهور العام (في الواقع ، تم العثور على أخطاء في يونيو 2017 من قبل أحد أعضاء قسم الأمن في Google Project Zero). في السابق ، كان من الضروري تطوير التصحيحات وإخطار مصنعي المعدات وتحديث الأنظمة في مراكز بيانات التخزين السحابي. والأكثر إثارة للاهتمام ، وفقًا لمصادر مطلعة ، أن شركة Intel أبلغت شركائها الصينيين بشأن نقاط الضعف قبل إبلاغهم إلى الوكالات الحكومية الأمريكية ، كما كتبت صحيفة وول ستريت جورنال .

من ناحية ، يبدو هذا التسلسل معقولًا من وجهة نظر تطوير التصحيح. لكن بعض الخبراء يعربون عن قلقهم من أنه بسبب سياسة إنتل من هذا القبيل ، يمكن لأجهزة الاستخبارات الصينية معرفة نقاط الضعف في وقت أبكر من نقاط الضعف الأمريكية واستخدامها قبل إصدار التصحيحات.

لاحظ الباحثون أن هذه مجرد افتراضات مضاربة. في الواقع ، لم يتم الكشف عن أي دليل على وقوع مثل هذه الهجمات بالفعل. ولكن في حالة الهجمات المستهدفة على أهداف محددة ، قد لا تظهر معلومات عنها - أو قد يمر الهجوم دون أن يلاحظها أحد ، أو يفضل الضحية أن يبقى صامتًا بشأن الحادث. لذا فإن عدم وجود آثار في الوقت الحالي لا يضمن عدم استفادة المتسللين الصينيين من المعلومات الواردة.

وقال متحدث باسم وزارة الأمن الداخلي (DHS) موظفيها علموا نقاط الضعف من أخبار 3 يناير.

اعترف ممثل وكالة الأمن القومي أيضًا أنهم لا يعرفون شيئًا عن الأخطاء ولا يمكنهم استغلالها. على الرغم من أنه أبدى تحفظًا ، فقد فهم أنه لن يصدق الجميع كلماته.


ومع ذلك ، فإن الثغرات خطيرة للغاية وخاضعة للعديد من المعالجات (جميع أجهزة الكمبيوتر تقريبًا) لدرجة أن أي وكالة استخبارات في العالم ستدفع ثمناً باهظًا للحصول على معلومات حول الثغرات في العام الماضي. الموظف السابق بوكالة الأمن القومي جيك ويليامز "متأكد تقريبًا" من أن الوكالات الحكومية الصينية تلقت معلومات حول Meltdown و Specter مقدمًا لأنها تتبع بشكل روتيني الاتصالات بين Intel والشركات الصينية ، بما في ذلك الشركات المصنعة للأجهزة وشركات استضافة السحابة.

إن شعور الخبراء بجنون العظمة له ما يبرره تمامًا ، لأنه في الماضي كان هناك بالفعل دليل على مشاركة قراصنة "الدولة" الصينيين في تطوير مآثر وهجمات على أهداف أجنبية باستخدام ثغرات برامج يومية. الآن الوضع ليس مختلفًا كثيرًا ، باستثناء أن نقاط الضعف أكثر خطورة.

رفض ممثلو Intel تقديم قائمة بالشركات التي تم إعطاؤها معلومات مسبقة حول 0day في المعالجات والذين عملوا معهم مقدمًا لحل العواقب. بطبيعة الحال ، فإن Google من بينهم (في الواقع ، وجد موظفوها أخطاء). وتقول شركة إنتل إن من بينها شركات تصنيع أجهزة كمبيوتر "رئيسية". من المعروف أن لينوفو من بينها ، لأنها اعترفت في بيان صحفي في 3 يناير بأنها عملت مسبقًا لإصلاح الخلل. تم الإعلان عن خدمات الاستضافة السحابية مسبقًا (Microsoft و Amazon و Chinese Alibaba Group Holding ، وقد أبلغت الأولين عن هذه الحقيقة لأغراض التسويق) و ARM Holdings وغيرها.

قالت إنتل إنها غير قادرة على إبلاغ كل شخص تريده ، بما في ذلك أجهزة المخابرات الأمريكية ، لأن المعلومات أصبحت علنية قبل أن يتم التخطيط لها (2 يناير بدلاً من 9 يناير) ، لكن العذر يبدو ضعيفًا.

مع ذلك ، فإن سياسة Intel لإخطار أكبر الشركاء فقط مسبقًا بالأخطاء المحددة تضع الجميع في وضع غير مريح. وهذا يشمل المنافسة غير العادلة. على سبيل المثال ، لا يزال مزوّدو الخدمات السحابية Joylent و DigitalOcean يعملون على إصلاح الثغرات الأمنية ، في حين أن شركات الاستضافة السحابية الكبيرة - منافسيها - كانت تعاني من إعاقة لمدة نصف عام. وليس من الواضح لماذا لم تقم Intel أولاً بإبلاغ المركز الوطني للاستجابة لحالات الطوارئ الحاسوبية (CERT).