Intel ha permesso a Google Cloud di hackerare i suoi nuovi chip sicuri, è emersa una cosa assurda

Google si affida ai suoi legami con i produttori di chip per proteggere la sua infrastruttura cloud di Confidential Computing e raccogliere informazioni vitali sulla sicurezza e lo statodell’arte dei propri prodotti.

Oggi Google Cloud e Intel hanno reso pubblici i risultati di una verifica durata nove mesi della nuova soluzione di sicurezza hardware di Intel, Trust Domain Extensions (TDX). L’indagine ha rinvenuto e convalidato dieci vulnerabilità. Tra queste, due riconosciute come gravi dagli esperti di entrambe le aziende. Inoltre, cinque scoperte hanno richiesto modifiche proattive per rafforzare ulteriormente le difese di TDX. Prima della creazione dei processori Intel Xeon di quarta generazione, denominati “Sapphire Rapids”, che contengono TDX, la valutazione e le correzioni sono state completate.

Insieme agli ingegneri di Intel, i ricercatori di sicurezza di Google Cloud Security e del team di ricerca bug Project Zero di Google hanno eseguito la valutazione, che inizialmente ha identificato 81 possibili problemi di sicurezza che il team ha analizzato ulteriormente. Il progetto è un componente della strategia Confidential Computing di Google Cloud, una raccolta di strumenti tecnici progettati per mantenere i dati dei clienti al sicuro e fornire loro diritti di accesso completi.

La sicurezza dei chip è la chiave di volta dell’intero mondo digitale

I grandi fornitori di cloud, che alimentano la maggior parte dell’infrastruttura digitale globale, hanno una posta in gioco estremamente elevata in termini di sicurezza. Le aziende del cloud si affidano ancora all’hardware proprietario dei produttori di chip per la potenza di elaborazione sottostante. Nonostante possano migliorare i sistemi che creano. Per ottenere maggiori informazioni sui processori a cui si affidano, l’anno scorso Google Cloud ha collaborato con AMD per un audit comparabile. Per avviare il programma TDX, Google Cloud ha attinto alla partnership di lunga data e affidabile tra Intel e Google. L’obiettivo è quello di aiutare i produttori di chip a identificare e risolvere le vulnerabilità prima che queste mettano in pericolo gli utenti di Google Cloud o chiunque altro.

“Le aziende hanno tutte la loro proprietà intellettuale, quindi non è banale”

Nelly Porter, group product manager di Google Cloud, fa notare che Intel, in particolare, aveva una quantità significativa di proprietà intellettuale nella tecnologia che stava introducendo.

“È fondamentale per noi essere in grado di essere veramente aperti e di fidarci l’uno dell’altro. Poiché la tecnologia Intel Trusted Domain Extension sarà utilizzata ovunque, anche in Google, la ricerca che stiamo conducendo andrà a beneficio di tutti.”

Ricercatori e hacker possono sempre esercitarsi ad attaccare esternamente hardware e sistemi web. Questi esercizi sono utili perché imitano le circostanze in cui gli aggressori andrebbero generalmente a caccia di vulnerabilità da sfruttare. Tuttavia, partnership come quella tra Google Cloud e Intel hanno il vantaggio di consentire a ricercatori esterni di effettuare test black box. Oltre che di collaborare con ingegneri che hanno una conoscenza approfondita di come un prodotto è stato progettato per scoprire ancora di più su come un prodotto potrebbe essere meglio protetto.

Ingenti aumenti nei budget per la sicurezza da parte delle compagnie del settore

Le aziende produttrici di chip hanno aumentato i loro investimenti in test di sicurezza avanzati dopo anni di tentativi di risolvere le conseguenze sulla sicurezza delle vulnerabilità di progettazione nella funzione del processore nota come “esecuzione speculativa”. L’azienda ha anche messo alla prova il TDX consentendo ai ricercatori di testare l’hardware nell’ambito del programma di bug bounty di Intel. Per il TDX, gli hacker interni di Intel hanno condotto le proprie verifiche.

Secondo Anil Rao, vicepresidente e direttore generale dell’architettura e dell’ingegneria dei sistemi di Intel, è stata particolarmente gratificante la possibilità per i dipendenti di Intel e Google di collaborare come una squadra. Il gruppo ha instaurato un cameratismo che li ha incoraggiati a spingersi ancora più in là nel TDX. Inoltre, si sono incontrati regolarmente e hanno lavorato insieme per monitorare le scoperte.

Una delle due falle scoperte dai ricercatori e ritenute “critiche” da Rao comprendeva una funzione di integrità crittografica che era stata rimossa dal prodotto. “Si trattava di un residuo che non abbiamo colto noi, ma l’ha colto il team di Google”, sostiene Rao. Lo studio ha inoltre rilevato una falla significativa nei moduli di codice autenticato di Intel, che sono pezzi di codice firmati crittograficamente e progettati per essere eseguiti nella CPU in momenti specifici. La falla presentava una piccola apertura attraverso la quale un aggressore avrebbe potuto prendere il controllo del meccanismo ed eseguire codice dannoso.