A AMD deu ao Google Cloud acesso raro à sua tecnologia para caçar falhas de chip, em uma parceria inusitada. A parceria entre as empresas visa oferecer um plano de como o setor de tecnologia pode lidar melhor com os riscos de segurança do processador antes que eles saiam do controle.
O Google Cloud está lançando uma auditoria detalhada da tecnologia de computação confidencial da AMD, resultado de uma colaboração entre o grupo de caça a bugs Project Zero do Google, duas equipes do Google Cloud Security e o grupo de firmware da AMD.
Auditoria Google Cloud
A auditoria segue anos em que o Google Cloud enfatiza cada vez mais suas ofertas de Computação Confidencial, um conjunto de recursos que mantém os dados dos clientes criptografados o tempo todo, mesmo durante o processamento.
As apostas são altas, pois os clientes dependem cada vez mais das proteções de privacidade e segurança conferidas por esses serviços e a infraestrutura física subjacente a eles, que é construída em processadores seguros especiais da AMD. Uma vulnerabilidade explorável em Computação Confidencial pode ser desastrosa.
Falhas na forma como os processadores são projetados e implementados apresentam riscos enormes, transformando chips amplamente usados em pontos únicos de falha nos computadores, servidores e outros dispositivos nos quais estão instalados.
Vulnerabilidades em chips de segurança especializados têm ramificações potenciais particularmente terríveis porque esses processadores são projetados para serem imutáveis e fornecer uma “raiz de confiança” na qual todos os outros componentes de um sistema podem confiar.
Se os hackers podem explorar uma falha nos chips de segurança, eles podem envenenar um sistema nessa raiz e potencialmente obter controle indetectável. Assim, a AMD e o Google Cloud desenvolveram uma parceria incomumente unida ao longo de mais de cinco anos para colaborar na auditoria dos processadores Epycusado na infraestrutura sensível do Google Cloud e tentando tapar o maior número de falhas possível.
Nelly Porter, gerente de produto do grupo do Google Cloud, diz que a parceria com a AMD é incomum porque as duas empresas conseguiram construir confiança suficiente para que a fabricante de chips esteja disposta a permitir que as equipes do Google analisem código-fonte bem guardado.
Brent Hollingsworth, diretor do ecossistema de software Epyc da AMD, ressalta que o relacionamento também cria espaço para ultrapassar os limites dos tipos de ataques que os pesquisadores podem testar. Por exemplo, nesta auditoria, os pesquisadores de segurança do Google usaram hardware especializado para montar ataques físicos contra a tecnologia AMD, um exercício importante e valioso no qual outros fabricantes de chips também estão se concentrando cada vez mais, mas que vai além das garantias de segurança tradicionais que os fabricantes de chips oferecem.
A análise da Tecnologia AMD
A auditoria aprofundou especificamente as defesas do AMD Secure Processor (ASP) e o firmware da tecnologia AMD conhecida como “SEV-SNP”, ou Secure Encrypted Virtualization-Secure Nested Paging. O SEV-SNP é a base das Máquinas Virtuais Confidenciais do Google Cloud, uma oferta premium dentro do produto geral do Google Cloud que segmenta e criptografa os sistemas de um cliente e gerencia as chaves de criptografia para enquadrar o Google Cloud de forma que a empresa não possa acessar os dados do cliente.
As duas empresas não disseram especificamente quantas vulnerabilidades foram encontradas e abordadas na auditoria recente, mas o relatório descreve várias descobertas específicas, cenários de ataque e áreas gerais de melhoria. A AMD diz que lançou correções de firmware para todos os problemas descobertos durante a auditoria, e o Google Cloud diz que aplicou todos esses patches e mitigações.
Via: Wired
