इंटेल ने अमेरिकी सरकार से पहले मेल्टडाउन और स्पेक्टर वल्नरेबिलिटी के चीनी आपूर्तिकर्ताओं को चेतावनी दी

3 जनवरी, 2018 को, इंटेल ने सार्वजनिक रूप से मेल्टडाउन और स्पेक्टर की गंभीर कमजोरियों के बारे में जानकारी की घोषणा की, जो वर्तमान में डेस्कटॉप कंप्यूटर, सर्वर, टैबलेट, स्मार्टफोन और इतने पर उपयोग किए जाने वाले लगभग सभी प्रोसेसर विभिन्न कमजोरियों के लिए कमजोर पड़ते हैं। कमजोरियां निर्देशों के सट्टा निष्पादन के तंत्र से जुड़ी होती हैं। आधुनिक प्रोसेसर में - और यह हाल के वर्षों में पाया गया सबसे गंभीर सीपीयू सुरक्षा बग है।

प्रेस रिलीज को 9 जनवरी को प्रकाशित करने की योजना बनाई गई थी, लेकिन 2 जनवरी को द रजिस्टर द्वारा जनता को जानकारी लीक कर दी गई ।

बेशक, इंटेल आम जनता की घोषणा से बहुत पहले ही भेद्यता से अवगत हो गया था (वास्तव में, जून 2017 में बग्स को Google प्रोजेक्ट ज़ीरो सुरक्षा विभाग के एक सदस्य द्वारा पाया गया था)। पहले, क्लाउड स्टोरेज डेटा सेंटरों में पैच विकसित करना, उपकरण निर्माताओं को सूचित करना और सिस्टम को अपग्रेड करना आवश्यक था। सबसे दिलचस्प बात यह है कि जानकार सूत्रों के अनुसार, इंटेल ने अपने चीनी भागीदारों को कमजोरियों के बारे में सूचित किया, इससे पहले कि वे उन्हें अमेरिकी सरकारी एजेंसियों को रिपोर्ट करते, द वॉल स्ट्रीट जर्नल लिखते हैं ।

एक ओर, यह क्रम पैच विकास के दृष्टिकोण से उचित लगता है। लेकिन कुछ विशेषज्ञ चिंता व्यक्त करते हैं कि इंटेल की ऐसी नीति के कारण, चीनी खुफिया सेवाएं अमेरिकी लोगों की तुलना में पहले कमजोरियों के बारे में पता लगा सकती हैं और पैच जारी होने से पहले उनका उपयोग कर सकती हैं।

शोधकर्ताओं ने ध्यान दिया कि ये सिर्फ अटकलें हैं। वास्तव में, इस बात का कोई सबूत सामने नहीं आया है कि ऐसे हमले वास्तव में हुए थे। लेकिन विशिष्ट लक्ष्यों पर लक्षित हमलों के मामले में, उनके बारे में जानकारी सतह पर नहीं आ सकती है - या हमला किसी का ध्यान नहीं जा सकता है, या पीड़ित घटना के बारे में चुप रहना पसंद करता है। तो इस समय निशान की कमी की गारंटी नहीं है कि चीनी हैकर्स ने प्राप्त जानकारी का लाभ नहीं लिया।

डिपार्टमेंट ऑफ होमलैंड सिक्योरिटी (डीएचएस) के एक प्रवक्ता ने कहा कि उसके कर्मचारियों ने 3 जनवरी की खबरों की कमजोरियों के बारे में सीखा।

एनएसए प्रतिनिधि ने यह भी स्वीकार किया कि उन्हें बग के बारे में कुछ नहीं पता था और वे उनका शोषण नहीं कर सकते थे। हालाँकि उन्होंने एक आरक्षण किया, लेकिन उन्होंने समझा कि हर कोई उनकी बातों पर विश्वास नहीं करेगा।


फिर भी, भेद्यताएं बहुत गंभीर हैं और इतने सारे प्रोसेसर (लगभग सभी कंप्यूटर) के अधीन हैं कि दुनिया की कोई भी खुफिया एजेंसी पिछले साल कमजोरियों के बारे में जानकारी के लिए भुगतान करेगी। पूर्व एनएसए कर्मचारी जेक विलियम्स "लगभग निश्चित" है कि चीनी सरकारी एजेंसियों ने मेलडाउन और स्पेक्टर के बारे में अग्रिम रूप से जानकारी प्राप्त की, क्योंकि वे हार्डवेयर निर्माताओं और क्लाउड होस्टिंग कंपनियों सहित इंटेल और चीनी कंपनियों के बीच संचार को ट्रैक करते हैं।

विशेषज्ञों की असाधारण भावना काफी हद तक उचित है, क्योंकि अतीत में पहले से ही 0day सॉफ्टवेयर कमजोरियों का उपयोग करते हुए विदेशी लक्ष्यों पर कारनामों और हमलों के विकास में चीनी "राज्य" हैकर्स की भागीदारी का सबूत था। अब स्थिति बहुत अलग नहीं है, सिवाय इसके कि कमजोरियां अधिक गंभीर हैं।

इंटेल के प्रतिनिधियों ने उन कंपनियों की एक सूची प्रदान करने से इनकार कर दिया, जिन्हें प्रोसेसर में 0day के बारे में अग्रिम जानकारी दी गई थी और जिन्होंने परिणामों को हल करने के लिए अग्रिम में उनके साथ काम किया था। स्वाभाविक रूप से, Google उनमें से एक है (वास्तव में, इसके कर्मचारियों को बग मिला)। इंटेल का कहना है कि उनमें से "प्रमुख" कंप्यूटर निर्माता भी हैं। यह ज्ञात है कि लेनोवो उनमें से एक है, क्योंकि उसने 3 जनवरी को एक प्रेस विज्ञप्ति में स्वीकार किया था कि उसने कीड़े को ठीक करने के लिए अग्रिम रूप से काम किया था। क्लाउड होस्टिंग सेवाओं की घोषणा पहले से की गई थी (माइक्रोसॉफ्ट, अमेज़ॅन, चीनी अलीबाबा ग्रुप होल्डिंग, पहले दो ने विपणन उद्देश्यों के लिए इस तथ्य की सूचना दी), एआरएम होल्डिंग्स और कुछ अन्य।

इंटेल ने कहा कि यह अमेरिकी खुफिया एजेंसियों सहित हर किसी को सूचित करने में असमर्थ था, क्योंकि यह योजना (9 जनवरी के बजाय 2 जनवरी) से पहले सार्वजनिक हो गई थी, लेकिन बहाना कमजोर लगता है।

जैसा कि यह हो सकता है, इंटेल की पहचान कीड़ों के अग्रिम में केवल सबसे बड़े भागीदारों को सूचित करने की नीति हर किसी को असुविधाजनक स्थिति में रखती है। यह अनुचित प्रतिस्पर्धा सहित है। उदाहरण के लिए, क्लाउड प्रदाता जॉयलेंट और डिजिटलऑइन अभी भी कमजोरियों को ठीक करने पर काम कर रहे हैं , जबकि बड़ी क्लाउड होस्टिंग कंपनियां - उनके प्रतिस्पर्धियों - के पास आधे साल की बाधा थी। और यह स्पष्ट नहीं है कि इंटेल ने पहले नेशनल सेंटर फॉर कंप्यूटर इमरजेंसी रिस्पांस (सीईआरटी) को अधिसूचित क्यों नहीं किया।