UEFI, scovate 23 vulnerabilità molto gravi: coinvolti più di 25 produttori di computer

@ ceres-c

visto che sembri esperto, mi interessa la tua opinione su Pluton, l'evoluzione del TPM aggiornabile da remoto con dei semplici Windows Update. E' già stato annunciato sulle prossime cpu amd mobile, non so se anche le intel.
A me preoccupa il fatto che sia accessibile/gestibile da remoto, se poi è anche stato scritto con l' @no tanto quanto l'uefi (come dici tu) mi pare pericolosissimo...

Comunque mi pare strano che parti così importanti del codice siano scritte così male, sembra che le abbiano date da fare a stagisti estivi a quanto dici... come te lo spieghi?
Una cassaforte è una buona idea per la sicurezza, ma se le pareti sono di cartone è una falsa sicurezza, è anche peggio...

Quando non so qualcosa io lo ammetto: non ho alcuna esperienza con questa specifica cosa che è Pluton. In linea di massima l'idea di avere un coprocessor per la sicurezza è buona ed ormai industry standard (TPM è quello, infatti). Leggo un sacco di buzzword tipo cloud, che d'altro canto...
Mettere il coprocessor nella CPU è buono, si evitano i bus attack tipo quello che aveva mandato prima Phoenix2005. Per quanto estremamente remoti, sono reali, e possono essere un vettore d'attacco per target importanti e se l'attaccante ha in mano l'hardware. Tutto ciò sempre a patto che questo nuovo silicio sia effettivamente buono e faccia esattamente quello che deve, cosa non scontata.
Tutti i coprocessor avanzati hanno dentro un RTOS: è il modo più cost efficient per costruire qualcosa del genere. A questo punto, renderli aggiornabili da remoto è solo un passo in più. L'idea di costruire un TPM avanzato con una procedura di aggiornamento non è intrinsecamente sbagliato, ma ovviamente spostandolo nella CPU si pongono i soliti problemi che ci sono anche con Intel ME o l'equivamente di AMD (ma questo NON vuol dire che vadano disabilitati). Potrebbe essere anche un bene per risolvere potenziali vulnerabilità senza dover rimpiazzare l'hardware.
Alla fine la differenza rispetto al TPM è che:
[LIST]
[*] Se si volesse pensare che ci siano già in entrambi delle vulnerabilità inserite apposta: in questo caso potrebbero essere risolte rapidamente con un update software nel caso in cui qualcuno le trovasse
[*] Se ci si volesse fidare dei fornitori hardware/software (che siano essi ST, Qualcomm o MS): non ci dovrebbero essere reali differenze.
[/LIST]
Tutto questo almeno dal punto di vista teorico, come dicevo non conosco bene questo specifico prodotto e quindi sto solo speculando.

Per avere un'idea di come son scritti questi software datti un'occhiata ai post di Cr4sh, è bravo e spiega bene: http://blog.cr4.sh/

Queste son parti del software in cui non si investe, perché l'utente non le vede, anzi devono essere viste il meno possibile. Nessuno vuole perdere tempo davanti alla schermata del BIOS per 40 secondi perché questo controlli qualsiasi minimo dettaglio. Non è nemmeno vista come una cosa di cui è necessario preoccuparsi perché sono attacchi per ora state sponsored e nessuno ha davvero le risorse da investire in sicurezza per mettersi contro gli stati. Chiaro che sarebbe meglio scrivere codice più sicuro, ma da qualche parte tocca tagliare per mettere sul mercato un PC che costi 50€ in meno della concorrenza.


Link ad immagine (click per visualizzarla)

non lo metto in dubbio.
però perdonami... io nel bios ci entro, forse, quando aggiungo una scheda o se mi piglia l'idea perversa di "tirare il collo" a cpu o ram; una grossa fetta dell'utenza manco per quello.
che diamine ci dovrei fare?