AMD non renderà pubblico il codice del Platform Security Processor

AMD ha scelto di non rendere pubblico il codice del PSP, il Platform Security Processor che è presente sulla piattaforma EPYC ed è presente dal 2013 su molte piattaforme AMD.

Il Platform Security Processor, un processore ARM con tecnologia TrustZone, si occupa di fornire accesso di bassissimo livello alla piattaforma e permette di gestirne alcuni aspetti relativi alla sicurezza (es. controlli di integrità del sistema) oltre che alla crittografia. Il PSP ha però accesso privilegiato alla RAM e ad altri componenti del sistema e può prevaricare il processore. Questo può quindi aprire alla possibilità di attacchi che vadano a intaccare l'integrità del PSP, lasciando quindi un attaccante che riuscisse a oltrepassare le misure di sicurezza con il controllo completo e totale del sistema.

AMD ha annunciato che non renderà open source il codice, ma che continuerà a sottoporlo all'esame di numerose società di sicurezza indipendenti. L'azienda ha affermato che anche alcuni partner OEM hanno sottoposto la piattaforma a test senza riuscire a ottenere risultati.

La scelta di non rendere open source il progetto non è di per sé negativa. Il problema evidenziato da alcuni è tuttavia la mancanza di certezze riguardo il corretto operato del PSP: se ad essere attaccato fosse proprio il PSP, come si potrebbe essere sicuri che stia funzionando correttamente? Il paradigma "security by obscurity" si è raramente dimostrato efficace. Dall'altro lato, però, è bene evidenziare che i problemi di sicurezza nei progetti open source non sono rari e che la natura open non necessariamente implica una maggiore sicurezza intrinseca, sebbene possa aiutare a individuare i problemi. Un approccio open source, inoltre, potrebbe anche lasciare molti computer vulnerabili ad attacchi non divulgati e scoperti dai cracker.

La scelta di AMD ha fatto sì che molti degli utenti più sensibili a queste tematiche protestassero, ma dietro la decisione potrebbero esservi anche questioni di licenze di software sviluppato da terzi. Nonostante tutto, non esiste una ricetta perfetta per la sicurezza ed è difficile capire dove sia il punto di equilibrio tra le due posizioni.