Intel versuchte, die Veröffentlichung über MDS-Schwachstellen mit einem „Preis“ von 120.000 $ zu mildern oder hinauszuzögern

Unsere Kollegen von TechPowerUP berichten unter Verweis auf einen Artikel in der niederländischen Presse berichten, dass das Unternehmen Intel versucht hat, Forscher zu bestechen, die die MDS-Schwachstellen entdeckt haben. Die Schwachstellen des Microarchitectural Data Sampling (MDS), das Auslesen von Daten aus der Mikroarchitektur, entdeckt wurden in Intel-Prozessoren, die in den letzten 8 Jahren auf den Markt gekommen sind. Die Schwachstellen wurden von Sicherheitsexperten der Vrije Universiteit Amsterdam entdeckt. Laut einem Bericht in der Nieuwe Rotterdamsche Courant bot Intel den Forschern eine „Belohnung“ in Höhe von 40.000 Dollar und zusätzlich 80.000 Dollar für die „Minderung der Bedrohung“ durch die festgestellte „Lücke“. Die Forscher, so die Quelle, lehnten das gesamte Geld ab.

Im Grunde hat Intel nichts Besonderes unternommen. Nach der Entdeckung der Schwachstellen Spectre und Meltdown hat das Unternehmen ein Geldbelohnungsprogramm (Bug Bounty) ins Leben gerufen, um diejenigen zu belohnen, die eine gefährliche Schwachstelle in den Intel-Plattformen finden und dem Unternehmen melden. Eine zusätzliche und zwingende Bedingung für den Erhalt der Belohnung ist, dass niemand außer den speziell benannten Personen von Intel über die Schwachstelle informiert werden darf. Dadurch erhält Intel Zeit, um die Bedrohung abzuschwächen – sie erstellt Patches und arbeitet mit Entwicklern von Betriebssystemen und Herstellern von Komponenten zusammen, indem sie beispielsweise Code zur Behebung von Fehlern im BIOS von Motherboards bereitstellt.

Im Falle der Entdeckung der MDS-Schwachstellen hatte Intel praktisch keine Zeit für eine sofortige Minderung der Bedrohung. Obwohl die Patches fast rechtzeitig zum Bericht über die Entdeckung neuer Schwachstellen verfügbar waren, konnte Intel das vollständige Update des Mikrocodes der Prozessoren nicht rechtzeitig bereitstellen, und diese Verfahren stehen noch aus. Es ist kaum wahrscheinlich, dass das Unternehmen plante, die Bedrohung, die vom Team der VU Amsterdam entdeckt wurde, durch „Bestechung“ für immer zu verbergen, aber sie könnte sich durchaus Zeit für manuelle Anpassungen erkauft haben.

Quelle: 3dnews.ru