इंटेल ने छह महीने पहले एक सुरक्षा छेद को बंद कर दिया

चिप निर्माता ने मई में कई चिप मुद्दे तय किए। अब वह एक और सुधार जारी कर रहा है, लेकिन तीसरे पक्ष के विश्लेषकों का कहना है कि कंपनी अपनी समस्याओं के बारे में पूरी सच्चाई नहीं बता रही है।

मई में, जब इंटेल ने कंपनी के प्रोसेसर में शोधकर्ताओं द्वारा पाए गए सुरक्षा छेदों के एक समूह के लिए एक पैच जारी किया, तो यह स्पष्ट कर दिया कि सभी समस्याओं का समाधान किया गया था।

हालाँकि, यह पूरी सच्चाई नहीं थी, एम्स्टर्डम फ्री यूनिवर्सिटी के डच शोधकर्ताओं के अनुसार, जिन्होंने कमजोरियों की खोज की और सितंबर 2018 में टेक दिग्गज को इसकी सूचना दी। प्रोसेसर की समस्या को ठीक करने के लिए जो सॉफ्टवेयर पैच चाहिए था, वह केवल शोधकर्ताओं द्वारा खोजे गए कुछ समस्याओं को ठीक करता है।

और 6 महीने के बाद ही दूसरा पैच जारी किया गया था, नवंबर की शुरुआत में कंपनी द्वारा सार्वजनिक रूप से प्रस्तुत किया गया था, जिसमें इंटेल ने मई में वापस रिपोर्ट की गई सभी समस्याएं वास्तव में तय की थीं, जैसा कि शोधकर्ताओं ने अपने साक्षात्कार में कहा है।

इंटेल ने सार्वजनिक रूप से घोषणा की कि "सब कुछ तय हो गया है," क्रिस्टियानो जुफ्रिडा ने नि: शुल्क विश्वविद्यालय एम्स्टर्डम में एक कंप्यूटर विज्ञान के प्रोफेसर ने शोधकर्ताओं में से एक है, जिन्होंने कमजोरियों की सूचना दी। "और हम जानते थे कि ऐसा नहीं था।"

इन कमजोरियों के साथ, कंप्यूटर चिप्स में अन्य गंभीर सुरक्षा छेदों के साथ, हाल ही में सुरक्षा समुदाय द्वारा खोजा गया, हमलावरों को पासवर्ड, एन्क्रिप्शन कुंजी और डेस्कटॉप प्रोसेसर, लैपटॉप और क्लाउड सर्वर से अन्य संवेदनशील डेटा निकालने की अनुमति दी।

शोधकर्ताओं द्वारा किए गए बयान, प्रौद्योगिकी कंपनियों और सुरक्षा विशेषज्ञों के बीच समय-समय पर कंघी करने वाली कंपनियों के उत्पादों के बीच एक विशेषता तनाव प्रदर्शित करते हैं जो कंप्यूटर सिस्टम को हमलों के लिए असुरक्षित बनाते हैं।

और जबकि कई शोधकर्ता कंपनियों को आम जनता के लिए इन कमजोरियों को प्रकट करने से पहले समस्याओं को ठीक करने के लिए समय देते हैं, प्रौद्योगिकी कंपनियां गलतियों को सुधारने के लिए समय ले सकती हैं और सुरक्षा के मुद्दों के बारे में जनता को सूचित करने की मांग करने वाले शोधकर्ताओं के मुंह को बंद करने का प्रयास कर सकती हैं।

शोधकर्ता अक्सर कंपनियों के लिए भेद्यता की जानकारी का खुलासा करने के लिए सहमत होते हैं, न कि उन्हें किसी और को तब तक प्रकट करने के लिए जब तक कि कंपनी एक पैच जारी नहीं कर सकती। शोधकर्ता आमतौर पर कंपनियों के साथ एक फिक्स की सार्वजनिक घोषणा के विवरण के बारे में बातचीत करते हैं। हालांकि, डच शोधकर्ताओं का कहना है कि इंटेल ने इस प्रक्रिया का दुरुपयोग किया।

अब वे दावा करते हैं कि इंटेल ने फिर से पुराने को ले लिया है। उन्होंने कहा कि नया पैच, जो नवंबर में जारी किया गया था, अभी भी मई में इंटेल को बताई गई समस्याओं में से एक को ठीक नहीं करता है।

इंटेल ने स्वीकार किया कि मई पैच शोधकर्ताओं द्वारा खोजी गई सभी समस्याओं को ठीक नहीं करता है, साथ ही साथ नवंबर फिक्स भी करता है। हालांकि, वे "बेहद" हमले के जोखिम को कम करते हैं, कंपनी के प्रवक्ता लेई रोसेनवॉल्ड ने कहा।

रोसेनवॉल्ड ने कहा कि इंटेल, नवंबर पैच के साथ, पैच के लिए एक कार्य अनुसूची प्रकाशित कर रहा है - शोधकर्ताओं से शिकायतों के लिए एक सीधी प्रतिक्रिया के रूप में नहीं, बल्कि पारदर्शिता के लिए।

"हम आमतौर पर ऐसा नहीं करते हैं, लेकिन यह हमारे लिए स्पष्ट हो गया है कि यह एक मुश्किल मुद्दा है। हमें निश्चित रूप से इसे पारदर्शी तरीके से अपनाना चाहिए। "हम शोधकर्ताओं की कुछ टिप्पणियों से सहमत नहीं हो सकते हैं, लेकिन इसके बावजूद, हम उनके साथ अपने रिश्ते को महत्व देते हैं।"

डच शोधकर्ता उन समस्याओं के बारे में आठ महीने तक चुप रहे हैं जब उन्होंने पाया कि इंटेल मई में जारी पैच पर काम कर रहा था। फिर, जब इंटेल ने महसूस किया कि पैच ने सभी समस्याओं को ठीक नहीं किया है, और शोधकर्ताओं को एक और छह महीने तक चुप रहने के लिए कहा, तो उन्हें कंप्यूटर सुरक्षा सम्मेलन में पेश किए जाने वाले काम को बदलने के लिए भी कहा गया, जिसमें सभी कमजोरियों को दूर किया गया। शोधकर्ताओं का कहना है कि वे इस बात से सहमत होने के लिए अनिच्छुक थे, क्योंकि वे नहीं चाहते थे कि इन भेद्यताओं को जनता को तब तक पता चले जब तक कि उन्हें पैच न कर दिया जाए।

भेद्यता रिपोर्टिंग टीम के एक सदस्य, फ्री यूनिवर्सिटी ऑफ एम्स्टर्डम के एक अन्य कंप्यूटर साइंस प्रोफेसर, गुफा रज़वी ने कहा, "हमें उनके लिए काम संपादित करना था ताकि दुनिया को यह पता न चले कि सब कुछ कितना असुरक्षित है।"


एम्स्टर्डम के फ्री यूनिवर्सिटी के शोधकर्ताओं की एक टीम, बाएं से दाएं: हर्बर्ट बॉश, क्रिस्टियानो जुफ्रिडा, सेबेस्टियन ओस्टरलुंड, पिएत्रो फ्रिगो, एलिस मिलबर्न और केव रज़वी।

शोधकर्ताओं के अनुसार, नवंबर पैच जारी होने से पहले उन्होंने कंपनी को अचूक त्रुटियों के बारे में सूचित करने के बाद, इंटेल ने शोधकर्ताओं से इसके बारे में कुछ भी नहीं कहने को कहा जब तक कि कंपनी ने अगला पैच तैयार नहीं किया। हालांकि, इस बार, शोधकर्ताओं ने मानने से इनकार कर दिया।

"हमें लगता है कि यह दुनिया को बताने का समय है कि अभी भी इंटेल ने समस्या को ठीक नहीं किया है," हर्बर्ट बोस ने कहा, एम्स्टर्डम के मुक्त विश्वविद्यालय के प्रोफेसरों के एक सहकर्मी

पहली कमजोरियों की खोज की गई, जिसमें वुशेक विश्वविद्यालय समूह भी शामिल है, जिसमें जुफ्रिड, बोस, रज़वी और उनके चार स्नातक छात्र शामिल हैं: स्टीफन वैन शेइक, ऐलिस मिलबर्न, सेबेस्टियन ओस्टरलंड और पिएटस फ्रिगो। ऑस्ट्रिया के ग्राज़ विश्वविद्यालय और फ्रांज के एक दूसरे समूह ने स्वतंत्र रूप से उनमें से कुछ समस्याओं की खोज की, और उन्हें अप्रैल में इंटेल को रिपोर्ट किया।

और ये सभी कमजोरियां इंटेल प्रोसेसर द्वारा डाटा प्रोसेसिंग से संबंधित एक समस्या से उत्पन्न होती हैं।

पैसे बचाने के लिए, प्रोसेसर कुछ कार्य करते हैं, जिसकी आवश्यकता वे पहले से अनुमान लगाते हैं और संसाधित डेटा संग्रहीत करते हैं। यदि यह फ़ंक्शन रद्द कर दिया गया है और डेटा की आवश्यकता नहीं है, तो वे कुछ समय के लिए सिस्टम में बने रहते हैं।

भेद्यता प्रसंस्करण या भंडारण के दौरान तीसरे पक्ष को डेटा निकालने की अनुमति देती है। शोधकर्ताओं द्वारा खोजे गए प्रत्येक विकल्प में हमलावर द्वारा इस डेटा को निकालने का अपना तरीका बताया गया है।

"एक वास्तविक समस्या है और कई विकल्प हैं," बोस ने कहा।

जब इंटेल ने मई में सुधार जारी किया, तो उसने इस मुद्दे को "मध्यम गंभीरता से कम" बताया। शोधकर्ताओं ने कहा कि कंपनी ने कमजोरियों की खोज और रिपोर्टिंग के लिए उन्हें 120,000 डॉलर का इनाम दिया। समस्याओं की रिपोर्टिंग के लिए पुरस्कार नियमित रूप से दिए जाते हैं, लेकिन कम से मध्यम त्रुटि खोजने के लिए यह राशि बहुत अधिक लगती है।

जब शोधकर्ताओं ने सितंबर 2018 में इंटेल में पहली कमजोरियों की सूचना दी, तो उन्होंने संदेश में इन छेदों के सफल दोहन के उदाहरणों को जोड़ दिया - दुर्भावनापूर्ण कोड जो प्रत्येक कमजोरियों के लिए सफल हमले के उदाहरणों को प्रदर्शित करता है।

अगले आठ महीनों में, इंटेल की सुरक्षा टीम ने इन निष्कर्षों का जवाब दिया और 11 मई की रिलीज़ की तारीख के साथ एक पैच बनाया। रिलीज से चार दिन पहले, जब कंपनी ने शोधकर्ताओं को इस फिक्स का विवरण दिया, तो उन्होंने जल्दी से महसूस किया कि पैच ने सभी कमजोरियों को ठीक नहीं किया।

इंटेल इंजीनियरों ने शोधकर्ताओं द्वारा प्रदान किए गए कुछ उपयोग मामलों को देखा। लेकिन शोधकर्ताओं का कहना है कि इंटेल विशेषज्ञों को इन सामग्रियों को देखे बिना भी स्वतंत्र रूप से ज्ञात डेटा के आधार पर अतिरिक्त भेद्यता की खोज करनी थी।

शोधकर्ताओं का कहना है कि चिप की भेद्यता से निपटने के लिए इंटेल ने एक अक्षम तरीका चुना है। मुख्य समस्या को ठीक करने के बजाय, जिसे प्रोसेसर को फिर से डिज़ाइन करने की आवश्यकता हो सकती है, कंपनी ने समस्याओं के प्रत्येक संस्करण को व्यक्तिगत रूप से निर्धारित किया।

"हमें यकीन है कि अभी भी कमजोरियों का एक गुच्छा बचा हुआ है," बोस ने कहा। "और वे तब तक इंजीनियरिंग का काम ठीक से नहीं करेंगे, जब तक उनकी प्रतिष्ठा दांव पर न हो।"

जब कमजोरियों के एक नए वर्ग का पता लगाने की बात आती है, तो कोड के सही इंजीनियरों के लिए यह समस्या का अतिरिक्त रूप देखने के लिए मानक अभ्यास है, सिवाय उन लोगों के जो पहले ही खोजे जा चुके हैं और उन्हें सूचना दी गई है।

डच शोधकर्ताओं का दावा है कि इंटेल में उनके द्वारा प्रदान किए गए हमले के विकल्पों में से कोई भी मूल रूप से उन लोगों से भिन्न नहीं है जिन्हें कंपनी ने तय किया था, इसलिए उन्हें अपने आप ही शेष सभी विकल्पों को ढूंढना पड़ा।

“कोड में कुछ लाइनों में वे कई हमलों में दूसरों से चूक गए। कभी-कभी कोड की एक पंक्ति के साथ भी, ”जुफ्रिड ने कहा। - इस घटना के परिणाम हमें उत्साहित करते हैं। इसका मतलब है कि जब तक हम उन्हें समस्या के सभी संभावित समाधान नहीं देंगे, वे इसे ठीक नहीं करेंगे। ”

इंटेल के रोसेनवॉल्ड ने कहा कि कंपनी ने कुछ चिप्स को बदलकर मुख्य समस्या को ठीक कर दिया है, और इसके अन्य चिप्स के समान सुधार करेंगे।

इस तथ्य के बावजूद कि शोधकर्ताओं ने विवरण का खुलासा करने के लिए मना किया गया था, इन कमजोरियों के बारे में विवादों को बाहर करना शुरू कर दिया। इसके बारे में जानकारी इतनी स्वतंत्र रूप से एक-दूसरे को प्रेषित की गई कि यह अंततः शोधकर्ताओं के पास खुद लौट आए।

"अधिक से अधिक लोग इस भेद्यता के बारे में सीख रहे थे, इस हद तक कि अंत में यह जानकारी हमारे पास वापस आ गई," बोस ने कहा। - वे भ्रम पैदा करते हैं कि सूचना प्रकटीकरण की पूरी प्रक्रिया उनके नियंत्रण में है। लेकिन कोई भी इसे नियंत्रित नहीं करता है, और जानकारी लीक हो जाती है। ”

इसका मतलब यह है कि जब शोधकर्ता चुप थे, अन्य लोग जो कमजोरियों का लाभ उठाना चाहते थे, वे संभवतः उनके बारे में पहले से ही जान सकते थे। “कोई भी इसे हथियार में बदल सकता है। जब आप जनता को इसके बारे में सूचित नहीं करते हैं, तो यह और भी बुरा है, क्योंकि ऐसे लोग होंगे जो असुरक्षित उपयोगकर्ताओं के खिलाफ इस जानकारी का उपयोग कर सकते हैं, ”राजवी ने कहा।