Een internationaal team van onderzoekers van KU Leuven en de universiteiten van Birmingham en Lübeck is erin geslaagd om de beveiligingstechnologie in AMD-processoren te omzeilen. Dat heeft KU Leuven bekendgemaakt. AMD heeft het beveiligingsprobleem intussen verholpen.

"In veel van ons voorgaande onderzoek lag de focus op potentiële kwetsbaarheden in de processor", vertelt professor Jo Van Bulck (DistriNet, Departement Computerwetenschappen). "In deze nieuwe studie hebben we onze aandacht verlegd naar de communicatie tussen de processor, het hart van de computer dat de berekeningen uitvoert, en het geheugen, dat de berekende waarden opslaat. Bovendien ging het deze keer om systemen van AMD, de grootste uitdager van Intel in de markt van dekstop- en server processoren op dit moment." 

De onderzoekers voerden een 'aanval', genaamd 'BadRAM', op de systemen uit door in te grijpen op de communicatie tussen de processor en het geheugen. "Die communicatie verloopt via een chip, de zogenaamde SPD", vertelt Jesse De Meulemeester, onderzoeker bij COSIC (Departement Elektrotechniek). "Bij de opstart geeft die chip elke keer aan de processor aan wat het beschikbare geheugen is. Met onze aanval misleiden we de processor, waardoor het lijkt alsof er meer geheugen is dan effectief het geval is. Die misleiding creëert een achterpoortje dat ons toegang geeft tot opgeslagen data, alsook de mogelijkheid om die te overschrijven."

Medische gegevens

Op die manier konden de onderzoekers de SEV-beveiligingstechnologie (Secure Encrypted Virtualization) van AMD omzeilen. SEV is ontworpen als ultraveilige kluis om privacygevoelige data, zoals medische gegevens, veilig en versleuteld te kunnen bewaren in publieke cloudservers. 

De onderzoekers brachten AMD in februari van dit jaar op de hoogte. Het bedrijf heeft intussen updates ontwikkeld zodat het lek gedicht kon worden. De updates zijn door de cloudproviders toegepast, zodat eindgebruikers niets meer te vrezen hebben. 

"AMD won de afgelopen jaren aan marktaandeel en zet zo Intel onder druk. Die toegenomen concurrentie lijkt de beveiliging van hun systemen echter niet altijd ten goede te komen", duidt professor Van Bulck. "Beide bedrijven zijn steeds meer de nadruk gaan leggen op snelheid en gebruiksvriendelijkheid, wat commercieel uiteraard aantrekkelijk overkomt. Als cybersecurityonderzoekers is het echter onze taak om de nieuwste technologieën kritisch te evalueren en veiligheidsrisico's bloot te leggen die vaak achter deze snelheidswinst schuilgaan."