Intel ha permesso a Google Cloud di violare i suoi nuovi chip sicuri e ha trovato 10 bug

Google Cloud e Intel hanno rilasciato oggi i risultati di un audit di nove mesi del nuovo prodotto di sicurezza hardware di Intel: Trust Domain Extensions (TDX). L’analisi ha rivelato 10 vulnerabilità confermate, incluse due che i ricercatori di entrambe le società hanno segnalato come significative, nonché cinque risultati che hanno portato a modifiche proattive per rafforzare ulteriormente le difese di TDX. La revisione e le correzioni sono state tutte completate prima della produzione dei processori Intel Xeon di quarta generazione di Intel, noti come “Sapphire Rapids”, che incorporano TDX.

I ricercatori di sicurezza di Google Cloud Security e il team di caccia ai bug di Project Zero di Google hanno collaborato con gli ingegneri Intel alla valutazione, che inizialmente ha rivelato 81 potenziali problemi di sicurezza che il gruppo ha esaminato più a fondo. Il progetto fa parte dell’iniziativa Confidential Computing di Google Cloud, un insieme di funzionalità tecniche per mantenere i dati dei clienti crittografati in ogni momento e garantire che abbiano controlli di accesso completi.

La posta in gioco per la sicurezza è incredibilmente alta per i grandi fornitori di servizi cloud che gestiscono gran parte dell’infrastruttura digitale mondiale. E mentre possono perfezionare i sistemi che costruiscono, le aziende cloud si affidano ancora all’hardware proprietario dei produttori di chip per la loro potenza di calcolo sottostante. Per ottenere informazioni più approfondite sui processori da cui dipendono, Google Cloud ha collaborato con AMD a un audit simile l’anno scorso e si è appoggiato alla relazione di fiducia di lunga data tra Intel e Google per lanciare l’iniziativa per TDX. L’obiettivo è aiutare i produttori di chip a trovare e correggere le vulnerabilità prima che creino una potenziale esposizione per i clienti di Google Cloud o chiunque altro.

“Non è banale perché le aziende, tutti noi abbiamo la nostra proprietà intellettuale. E in particolare, Intel disponeva di un sacco di proprietà intellettuale nelle tecnologie che stavano portando a questo”, afferma Nelly Porter, product manager del gruppo di Google Cloud. “Per noi essere in grado di essere incredibilmente aperti e fidarci l’uno dell’altro è prezioso. La ricerca che stiamo svolgendo aiuterà tutti perché la tecnologia Intel Trusted Domain Extension verrà utilizzata non solo in Google, ma anche in qualsiasi altro luogo”.

I ricercatori e gli hacker possono sempre lavorare sull’attacco di hardware e sistemi online dall’esterno e questi esercizi sono preziosi perché simulano le condizioni in cui gli aggressori normalmente cercherebbero punti deboli da sfruttare. Ma collaborazioni come quella tra Google Cloud e Intel hanno il vantaggio di consentire a ricercatori esterni di condurre test su scatole nere e quindi collaborare con ingegneri che hanno una profonda conoscenza di come un prodotto è progettato per scoprire potenzialmente ancora di più su come un prodotto potrebbe essere protetto meglio .

Dopo anni di rimescolamento per rimediare alle ricadute sulla sicurezza dovute a difetti di progettazione nella funzionalità del processore nota come “esecuzione speculativa”, i produttori di chip hanno investito di più in test di sicurezza avanzati. Per TDX, gli hacker interni di Intel hanno condotto i propri audit e la società ha anche messo alla prova TDX con i suoi ritmi di sicurezza invitando i ricercatori a controllare l’hardware come parte del programma di bug bounty di Intel.

Anil Rao, vicepresidente e direttore generale dell’architettura e dell’ingegneria dei sistemi di Intel, afferma che l’opportunità per gli ingegneri di Intel e Google di lavorare in squadra è stata particolarmente fruttuosa. Il gruppo ha tenuto riunioni regolari, ha collaborato per tenere traccia dei risultati insieme e ha sviluppato un cameratismo che li ha motivati ​​a scavare ancora più a fondo in TDX.