Intel опита да смекчи или отложи публикацията за уязвимостите MDS с „награда“ от $120 000

Нашите колеги от сайта TechPowerUP с препратка към публикация в холандската преса съобщават, че компанията Intel е направила опит да подкупи изследователи, открили уязвимости MDS. Уязвимости на microarchitectural data sampling (MDS), вземане на данни от микроархитектурата, открити в процесорите на Intel, предлагани на пазара през последните 8 години. Уязвимостите са открити от специалисти по сигурността от Свободния университет на Амстердам (Vrije Universiteit Amsterdam, VU Amsterdam). Според публикацията в Nieuwe Rotterdamsche Courant, Intel е предложила на изследователите "награда" от 40 000 $ и още 80 000 $ за "облекчаване на заплахата" от откритата "дупка". Изследователите, продължава източникът, са отказали всички тези пари.

По принцип, Intel не е направила нищо особено. След откритията на уязвимостите Spectre и Meltdown, компанията стартира програма за парични награди Bug Bounty за тези, които открият опасни уязвимости в платформите на Intel и съобщят за тях на компанията. Допълнителното и задължително условие за получаване на наградата е – никой освен специално назначените лица от Intel да не знае за уязвимостта. Така Intel получава време за облекчаване на заплахата – тя създава пачове и взаимодейства с разработчици на операционни системи и производители на компоненти, например, предоставяйки код за извършване на корекции в BIOS на дънните платки.

В случая с откритията на уязвимостите от клас MDS, Intel практически нямаше време за бързо облекчаване на заплахата. Въпреки че пачовете почти успяха да бъдат приложени преди съобщението за откритие на новите уязвимости, Intel не успя бързо да обнови микрокода на процесорите, и тези процедури все още предстоят. Малко вероятно е компанията да е планирала "подкупът" да скрие заплахата, открита от екипа на VU Amsterdam завинаги, но тя наистина можеше да си купи време за маневриране.

Източник: 3dnews.ru