В России должен появиться уполномоченный орган, который будет отслеживать ситуацию в социальных сетях и Интернете в целом, считает уполномоченный по правам ребенка Анна Кузнецова. По ее мнению, такая структура является ключевой в теме информационной безопасности, передает «Интерфакс».

В марте президент РФ Владимир Путин выступил за усиление ответственности для организаторов призывающих к суициду групп в социальных сетях. В феврале в Следственном комитете сообщили, что в Москве в 2017 году сорок несовершеннолетних покончили с собой, посетив «сайты смертников».

В прошлом году был принят закон об уголовной ответственности за создание «групп смерти».

В конце марта во северной столице прошел форум Business Information Security Summit St. Petersburg 2018, организованный ассоциацией BISA (Business Information Security Association). Хотя мероприятие посвящено вопросам безопасности цифровой экономики, говорили на нем больше о всей цифровой экономике, чем о собственно об информационной безопасности. Форум и задумывался при понимании того, что огромное влияние информационной безопасности на переход к новой экономической модели еще нужно доказывать.

По словам генерального директора группы компаний InfoWatch Натальи Касперской, наложенные средства безопасности теряют актуальность. Тот же Интернет вещей либо имеет встроенную систему защиты, либо его надежное использование невозможно. Надстроить решение для обеспечения безопасности очень сложно, а сама навесная система несет угрозу. Думать об этом нужно с самого начала реализации крупного проекта, но, к сожалению, о необходимости защиты вспоминают уже намного позже.

Касперская крайне скептически отозвалась о некоторых модных технологиях. «Блокчейн — распределенная система. Следовательно, данные открыты и доступны всем. Как об этом задумываются, то сразу об использовании этой технологии перестают говорить. Блокчейн восхваляют уже давно, но до сих пор ни одного серьезного проекта в этой области. Имеются только небольшие единичные внедрения. Не стоит поддаваться хайпу. Важно смотреть на реальный опыт», — предложила глава InfoWatch.

Оценка рисков

В то же время, данные об эффективности внедренных технологий очень скудные. Прежде всего, не хватает информации об угрозах, которые с ними связаны. «Мы не научились оценивать риски, поскольку нет соответствующей статистики», — считает начальник управления по обеспечению информационной безопасности банка «Санкт-Петербург» Анатолий Скородумов.

Он перечислил причины отсутствия процесса по оценке рисков. Кроме не накопленной статистики по инцидентам информационной безопасности это непонимание существующих методик оценки рисков при сложности современных ИТ-систем и острой нехватке специалистов нужной квалификации, а также отсутствие развитых средств автоматизации по оценке рисков информационной безопасности. В результате, сделан вывод: 80% компаний не смогут наладить у себя эффективный процесс оценки рисков информационной безопасности в ближайшие годы.

Поголовное внедрение модных технологий при такой ситуации с оценкой рисков представляется неразумным. Необходимо осмысление потребностей решений, которые признаны передовыми и перспективными, и возможных угроз, связанных с их внедрением.

Александр Авербух, начальник центра информационных технологий концерна «Гранит-Электрон», предложил опробовать новые технологии в крупном машиностроении с учетом жизненного цикла изделий.

Так ли умны города

Когда речь зашла об информатизации на уровне города, Касперская раскритиковала всемирную моду на Smart City. Когда ее пригласили выступать в Дубае на конференции, посвященной «умному городу», то пыталась понять, что это такое, но обнаружила около десяти различных определений. «Хорошо, что у нас еще не начали строить 'умные города', — считает Касперская. — В других странах об обеспечении безопасности начали задуматься уже после существенного продвижения в их создании».

При отсутствии общепринятого понимания, что такой «умный город», Денис Чамара, председатель комитета по информатизации и связи Санкт-Петербурга, сообщил, что три недели назад правительство города приняло концепцию «умного города». В то же время, свои определения не дал. «Вода мокрая, небо голубое, город умный. Концепции в мире принимаются разные. Мы идем от гражданина, смотрим, что ему можем дать», — объяснил Чамара.

При этом проблема готовности кадров в государственных структурах стоит очень остро. Если, например, банки при всей дефицитности специалистов в области информационной безопасности и информационных технологий в целом могут привлечь людей с необходимыми компетенциями, то в комитетах информатизации, которые должны обеспечивать создание «умного города» такой возможности вовсе нет. Под предлагаемые утвержденные законодательно зарплаты чиновника соответствующих специалистов не привлечь никак. Поэтому стоит вопрос об обучении тех кадров, что есть.

Вслед за критикой модных технологий выступающие пояснили, что они вовсе не против внедрения нового и передового. Наталья Касперская считает, что, например, импортозамещение должно быть нацелено не на технологии, которые предлагались еще вчера, а на те, которые будут востребованы завтра, а Александр Авербух, представитель оборонного предприятия, уверен в невозможности построить заборчик вокруг нашей страны, чтобы оградить себя от всех зарубежных технологий, несмотря на все риски, связанные с их использованием. Необходимо только не поддаваться ажиотажу и не внедрять что-то ненужное и связанное с серьезными угрозами.

Приложение GetContact, выполняя требования закона «О персональных данных», согласилось перенести данные россиян на территорию страны, сообщили в Роскомнадзоре. Также GetContact будет уведомлять людей, не являющихся клиентами сервиса, об использовании их персональных данных, рассказали в компании.

В начале месяца Роскомнадзор начал проверку резко набравшего популярность в России приложения GetContact на предмет соблюдения законодательства о персональных данных. В случае выявления нарушений ведомство планировало меры реагирования, вплоть до направления искового заявления в суд об ограничении доступа к данному приложению на территории Российской Федерации.

Программа позволяет узнать пользователям, кто им звонит, даже если номер не записан в контактах. При загрузке приложения пользователи давали согласие на доступ к своим записным книжкам в телефоне, что позоволило собрать базу номеров. По данным сервиса, сейчас в ней уже больше 4,7 млрд контактов.

В международной организации по управлению доменными именами и IP-адресами ICANN озабочены вступлением в силу в странах Евросоюза Общего регламента по защите данных (General Data Protection Regulation). Документ, считают в ICANN, вступает в противоречия с требованиями сетевого протокола прикладного уровня WHOIS, который применяется для получения регистрационных данных о владельцах доменных имен и IP-адресов. Президент корпорации Йоран Марби адресовал правительственным организациям стран Евросоюза, ответственным за защиту персональных данных граждан, просьбу найти решение, которое как отвечало бы положениям GDPR, так и обеспечивало функционирование WHOIS, передает Online Domain.

GDPR начнет действовать в мае этого года. Целью регламента является повышение уровня защищенности персональных данных граждан внутри стран Евросоюза, однако некоторые нормы касаются и компаний не только из ЕС. Операторы должны будут хранить информацию в обезличенном и зашифрованном виде, защищать ее от утечек, не передавать третьим лицам и о любой утечке в течение 72 часов.

Президент ICANN также предлагает ввести мораторий на штрафы в отношении доменных регистраторов, пока компромисс не будет найден. Марби отмечает, что из-за возможных штрафов регистраторы отказываются от публикаций и сохранения данных регистрантов. Это вредит всей системе WHOIS, а ее разрушение угрожает общественным интересам, считает он.

В Intel завершили очередной этап борьбы с Meltdown/Spectre и приступает к следующему. В этом году корпорация планирует реализовать «секционирование» процессоров для защиты от двух разновидностей уязвимости Spectre.

В Intel сообщили об отправке производителям оборудования обновлений для чипов Ivy Bridge и Sandy Bridge. Таким образом, неохваченными на сегодняшний день остаются всего несколько нишевых процессоров. Все ранее запланированные мероприятия завершены и созданы средства защиты для всех процессоров, выпущенных за последние пять лет.

Из трех атак Spectre и Meltdown первый вариант Spectre был блокирован с помощью программных обновлений. Код, разработанный изначально Intel, распространялся среди клиентов с помощью производителей оборудования и Microsoft. В Microsoft включили обновления операционной системы и микрокод Intel в состав Windows Update. Но одних только обновлений программного обеспечения оказалось недостаточно для того, чтобы блокировать второй вариант Spectre и Meltdown. В обоих случаях требуется вмешательство в оборудование, результаты которого станут доступны в этом году.

Intel объявила о создании специальных «разделов» для защиты от второго варианта Spectre и Meltdown. Эти разделы появятся в следующем поколении процессоров Xeon, разрабатываемых под кодовым наименованием Cascade Lake, а также в восьмом поколении чипов Core (им пока кодового наименования не присвоено), начало поставок которых запланировано на вторую половину 2018 года.

В широком смысле, эти разделы укрепят защитные стены между приложениями и привилегированными пользовательскими уровнями, которые Spectre и Meltdown удалось взломать, используя слабости в технологиях оптимизации исполнения кода. Хотя потенциально взлому могут подвергнуться и процессоры других разработчиков, в частности, ARM и AMD, чипы Intel считаются наиболее уязвимыми.

Согласно просочившейся информации о намерениях Intel, планы на 2018 год в отношении процессоров для настольных компьютеров остаются довольно скудными: в ПК для массового пользователя будут доминировать чипы Coffee Lake, а в ПК для энтузиастов – Skylake-X. Из фотографий, размещенных на KKJ.cn и других сайтах, видно, что в четвертом квартале Intel планирует заменить Skylake-X процессорами Cascade Lake-X и Cascade Lake Xeon.

В мае прошлого года в Intel объявили, что процессоры Cascade Lake Xeon будут поддерживать так называемую «постоянную память» – средства хранения Optane или 3D XPoint в формате DRAM. Появится ли аналогичная поддержка постоянной памяти в чипах Cascade Lake для настольных компьютеров, пока неясно.

Что это значит для среднестатистического пользователя? Лучший способ защитить ПК с процессорами Intel от атак Spectre и Meltdown заключается в своевременной установке обновлений, предлагаемых поставщиками как операционных систем, так и материнских плат. (Microsoft предоставила обновления микрокода, помогая небольшим поставщикам, которые не смогли оперативно выпустить обновления самостоятельно.) Пока неясно, насколько серьезными окажутся уязвимости Meltdown и Spectre в долгосрочной перспективе, и удастся ли кому-нибудь создать эксплойт, который заставит пользователей ПК менять свои уязвимые старые чипы.

Быстрое распространение технологий Интернета вещей — одна из наиболее важных современных тенденций, но, учитывая влияние их на различные аспекты жизни общества, серьезность проблемы безопасности нельзя недооценивать. Однако создание законов и правил идет гораздо медленнее, чем развитие технологий, а законодатели обычно ориентируются на положение вещей четырех-пятилетней давности, отмечает профессор Гарвардского университета Джеймс Уолдо. Тем временем на рынке появляются все новые устройства Интернета вещей, и далеко не все из них сделаны опытными разработчиками.

В США государство, как правило, неохотно вводит нормативные правила для бизнеса, особенно в технологическом секторе. Ни один из законопроектов пока не прошел через предварительную стадию законодательного процесса. Активность проявляет только Федеральная комиссия по связи США. Она опубликовала руководство по обеспечению безопасности Интернета вещей. Но полномочия Федеральной комиссии ограничены. Она может проверить соблюдение принятых компанией обязательств по защите данных, но не устанавливать их.

В отличие от США, в Европе недавно принята и в мае вступает в силу директива о защите данных GDPR. Технологические компании относятся к ней негативно, тогда как защитники прав граждан, напротив, оценивают ее высоко.

Эксперты Kaspersky Lab ICS CERT првоели исследование и выяснили, что во втором полугодии 2017 года две индустрии атаковались хакерами больше остальных. Это энергетика и инжиниринг. Высокий процент атакованных автоматизированных систем управления в энергетике обусловлен, по мнению аналитиков, двумя причинами: большей сетевой связностью объектов и тем, что к АСУ в среднем имеют доступ больше людей, чем на предприятиях других отраслей. Что касается инжиниринга, то серьезной проблемой являются атаки на промышленную инфраструктуру через поставщиков.

Специалисты отмечают и положительные моменты: в целом количество атак на промышленные системы управления немного снизилось по сравнению с 2016 годом. Эксперты считают, что это говорит о том, что предприятия стали уделять больше внимания вопросам кибербезопасности: начали проводить сетевые аудиты, обучать сотрудников и пр.

Пятерка стран-лидеров по проценту атакованных компьютеров АСУ остается неизменным. Туда вошли Вьетнам (69,6%), Алжир (66,2%), Марокко (60,4%), Индонезия (60,1%) и Китай (59,5%). Россия заняла 13-е место (46,8%).

Компания SAP провела исследование предпочтений потребителей в условиях изменяющейся экономики России. Опрос в Интернете прошел среди 20 тыс. человек из 20 стран Европы и Азии. Аналитики с удивлением обнаружили, что открытость россиян для поставщиков выше, чем в среднем по миру. Так, 64% готовы делиться своей историей покупок, 62% — дать адрес электронной почты, 42% — раскрыть информацию о геолокации, 41% — рассказать о месячном доходе. Номер мобильного телефона напишут на сайте 36% опрошенных, что на 4% выше среднемирового показателя. Россияне чаще других готовы дать предприятиям второй шанс в случае утечки информации. При этом паспортные данные раскрывают только 7%, доступ к профилю в соцсетях – 18%, финансовые данные – 21%, а 11% опрошенных заявили, что не хотят предоставлять поставщикам какую-либо информацию, — определенная граница все же существует. По мнению заместителя генерального директора SAP СНГ  Андрея Шарака, открытость россиян может быть связана с национальным менталитетом: отечественные потребители сами по себе в принципе являются более открытыми и хотят пробовать новое; они «играют» с возможностями и смотрят, где могут что-то получить. В сегментах розничной торговли, в которых можно «выиграть», и происходит свободное обращение с информацией.

По словам Шарака, персональные данные для клиентов — это актив. Предоставляя их, покупатель ожидает чего-то взамен, и эти ожидания довольно завышены, если сравнивать с другими странами. Получается, что российский потребитель открытый, но требовательный. Так, он хочет получать ответы на свои вопросы как можно быстрее: 31% дает на это час, 82% — сутки. Россияне ожидают персонального подхода и любят подарки: 70% опрошенных (самый высокий показатель по странам) отметили важность скидок, бонусов и других полезных предложений. 50% ждут, что при общении с ними компании будут опираться на знание полной истории предыдущего взаимодействия и, анализируя потребности, подсказывать новые товары.

От повторного обращения в компании покупатели могут отказаться по следующим причинам: большое количество рекламы по телефону (61%), неотзывчивая клиентская поддержка (70%), спам (73%) и использование личных данных без спроса (87%). Таким образом, заключили в компании, россияне крайне негативно относятся к работе с персональными данными без разрешения.

Директор по работе с ретейлерами Nielsen Россия Дмитрий Швецов, опираясь на исследование своей компании, рассказал, что в России пока мало делают покупки товаров повседневного спроса в интернет-магазинах, но 47% клиентов готовы к переходу в онлайн, поэтому в этой области есть большой потенциал роста. По прогнозу эксперта, наилучшую перспективу сейчас имеет сегмент детских товаров. Главными факторами перехода потребителей в новый формат являются свежесть, удобство доставки и гарантии качества. При этом россияне в данный момент не готовы к «сложным» опциям, например, автоматическим или годовым подпискам на доставку.

Руководитель интернет-магазина Samsung Russia Наталья Петухова рассказала об особенностях национальной торговли, которые она назвала "RU-фактором". По ее словам, российский потребитель склонен откладывать дорогие покупки и экономить, боится роста инфляции и нестабильности, экспериментирует с новыми брендами, любит общаться через контакт-центры или мессенджеры и предпочитает заказывать товары с доставкой, желательно бесплатной.

Если говорить о принятии решений, то россияне предпочитают совершать их быстро, к чему их приучила скорость изменений на рынке (исчезновение товаров в период санкций, изменение цены и пр.). Поэтому типичное для европецев долгосрочное планирование у соотечественников отсутствует. Однако это не мешает россиянам подходить к товарам аналитически (сравнивать и прицениваться). Такой подход также парадоксально сочетается с бессистемностью покупок, которая выражается в способности тратить деньги на сиюминутные вещи, забывая о более важных (квартира, автомобиль). В итоге ретейлерам сложно спрогнозировать поведение потребителей.

Российский покупатель недоверчив. Он разочаровывается в скидках, если сталкивается с нечестностью, поэтому лояльность к магазинам в стране выстраивается постепенно, однако по отношению к фирменным магазинам она уже достаточно высока. Клиенты также склонны не верить описаниям товаров, вместо этого они ориентируются на отзывы и заказывают доставку, чтобы проверить качество продукции. Возможно, это и сформировало запрос на бесплатную доставку, оплату при получении или отказ от заказа, которых уже нет в Европе. При этом они с пониманием относятся к проблемам логистики, отсутствием товаров и проч., поскольку культура защиты прав потребителей в стране не сформирована, считает Петухова.

Директор по маркетингу «Азбуки вкуса» Галина Ящук добавила, что рынок электронной коммерции имеет возможность роста в регионах. Однако офлайн-рынок никуда не исчезает, он срастается с онлайн-рынком. Покупатели хотят видеть продукты как в Интернете, так и на прилавках («Многие любят понюхать помидор, прежде чем купить его»). Для роста продаж большие возможности дают омникальность и новые форматы (дополнительные сервисы, фуд-корты). Важным фактором является персонализация, за которой, по мнению Ящук, стоит будущее. По ее данным, отклик на предложения, если они предназначены клиенту лично, может достигать 60%.

Следует помнить о предпочтениях потребителей. Например, в фуд-ретейле есть тренд на здоровое питание. Покупки онлайн большей частью совершают молодые женщины. Если продукты приобретаются через Интернет, их, как правило, берут больше, потому что делают запасы впрок. Пользователям важны удобство и ассортимент, а цены должны совпадать с теми, что и в обычных магазинах. Интересно, что у клиентов есть запрос на развлечения во время покупок (например, кулинарные шоу), что привело к возникновению такого явления, как ретейлтеймент. В целом, исходя из всего сказанного, российские потребители довольно требовательны, согласна с выводами исследования SAP Ящук.

По словам исследователей, в архитектурах чипов AMD Ryzen и Epyc обнаружены серьезные уязвимости, подтвержденные двумя независимыми компаниями. В AMD заявили, что относятся к этим сообщениям серьезно, хотя и не имели достаточного количества времени для изучения соответствующих вопросов и подтверждения наличия проблем.

Исследовательская лаборатория CTS-Labs, занимающаяся вопросами безопасности и поиском уязвимостей в микросхемах ASIC и других чипах, объявила об обнаружении четырех потенциальных атак, которым были присвоены кодовые наименования Masterkey, Ryzenfall, Fallout и Chimera. Для их использования нужна программа, имеющая локальный доступ и привилегии администратора. Соответствующие пояснения и технические детали были опубликованы 16 марта. Утверждается, что атакующему не нужен физический доступ к машине, а уязвимости в большей степени затронут корпоративных клиентов, а не пользователей ПК.

В AMD подтвердили, что осведомлены о потенциальных уязвимостях. Однако в заявлении компании говорится, что у нее не было достаточного количества времени для изучения уязвимостей собственными силами. Обычно на это требуется около трех месяцев. А информацию об уязвимостях AMD получила за день до ее публикации.

«Для нас вопросы безопасности являются главным приоритетом, и мы постоянно работаем над тем, чтобы повышать уровень безопасности пользователей по мере возникновения новых рисков, – говорится в заявлении AMD. – В настоящее время мы изучаем полученный отчет, чтобы понять методологию и оценить сделанные выводы».

В блоге на сайте AMD добавлено следующее: «Ранее о деятельности CTS-Labs нам ничего не было известно. И кажется странным, что компания, занимающаяся вопросами безопасности, публикует результаты своих исследований, не предоставив предварительно производителю достаточного количества времени для их изучения и анализа».

Существование уязвимостей подтвердили уже два независимых источника. В Check Point Research объявили об обнаружении двух уязвимостей Ryzenfall, которым присвоены наименования Ryzenfall-1 и Ryzenfall-3.

Исследователь проблем безопасности Дэн Гидо также подтвердил их существование. «Несмотря на шумиху, возникшую вокруг публикации, должен признать, что ошибки реальны, точно описаны в техническом отчете (который, насколько мне известно, не размещался в открытом доступе), а код эксплойтов работает», – указал он в своем твите.

Перечень потенциальных уязвимостей в различных продуктах AMD Источник: CTS-Labs/AMDFlaws.com

Что все это означает для среднестатистического пользователя? На данном этапе – ничего. Важно отметить, что атаки пока не получили официального подтверждения со стороны AMD, хотя потенциально они могут оказаться весьма серьезными. В CTS-Labs утверждают, что им удалось создать эксплойты для уязвимостей, обнаруженных в некоторых чипах Ryzen, но об атаках говорить пока рано. В отличие от других изданий мы бы не стали утверждать, что публикация отчета способна повлиять на стоимость акций AMD. Действительно ли существуют эти уязвимости? Насколько они серьезны? Какие ответные меры примет AMD и когда это произойдет? Что нужно предпринять пользователям? Свидетельствует ли столь позднее предоставление AMD информации об уязвимостях о том, что шансы на их использование возрастают? Что касается последнего вопроса, мы не знаем. Но именно в этом направлении все и будет развиваться в дальнейшем.

Что представляют собой Ryzenfall, Masterkey, Fallout и Chimera?

Аппаратные уязвимости вышли на передний план после открытия Spectre и Meltdown, которые атакуют процессы оптимизации выполнения кода, используемые компанией Intel и другими поставщиками. Продукты AMD и ARM также потенциально могут быть затронуты Spectre и Meltdown, хотя в публикациях об уязвимостях речь пока идет только об Intel.

Четыре новых уязвимости AMD позволяют совершать атаки, главным образом, на AMD Secure Processor – логическую схему, которая формирует защищенную среду для выполнения важных задач. В своем документе CTS-Labs критикует процессор, называя его «черным ящиком», функционирование которого совершенно непонятно. При этом AMD обвиняют в безответственности, утверждая, что чипсеты Ryzen и Ryzen Pro не смогли пройти даже элементарных тестов на безопасность по методике «прозрачного ящика». Призывается также изучить возможные последствия для критически важных систем, которые «потенциально могут представлять угрозу для жизни людей».

По сообщениям CTS-Labs, есть три производных уязвимости Masterkey, существование которых для Epyc и Ryzen уже доказано. Кроме того, имеется четыре производных Ryzenfall, три Fallout и две Chimera. Ryzenfall и Fallout были выявлены в ходе тестирования Ryzen, Ryzen Pro и Epyc; чипы Ryzen Mobile ими не затрагиваются. Chimera тестировалась на Ryzen и Ryzen Pro.

Уязвимость Masterkey позволяет внедрять в Secure Processor вредоносный код. Ryzenfall угрожает безопасности операционной системы, запускаемой поверх Secure Processor, а при определенных условиях может обходить средства виртуализации и внедрять вредоносный код. Это позволяет атакующему получить доступ к создаваемым ОС закрытым областям памяти Fenced DRAM.

Fallout с помощью загрузчика Epyc Secure Processor получает доступ к защищенным областям памяти. Атака Chimera может открыть доступ к «оставленным производителем скрытым лазейкам» в чипсете AMD Promontory. В CTS-Labs обвинили в этих уязвимостях компанию ASMedia, поставляющую USB-контроллеры и контроллеры SATA для чипсетов Ryzen.

В поясняющем документе утверждается, что обнаруженные уязвимости актуальны в основном для корпоративных сетей, организаций и поставщиков облачных сервисов. Ни одна из этих уязвимостей не требует физического доступа. Атакующему понадобится лишь запустить на машине EXE-файл с правами локального администратора.

«Единственное, что потребуется атакующему – это привилегии локального администратора и уязвимая машина, – указывается в материалах CTS-Labs. – Чтобы сразу исключить возможное недопонимание, сообщим, что никакого физического доступа, цифровых подписей и дополнительных уязвимостей для перепрошивки неподписанного BIOS не потребуется. Купите в магазине компьютер, запустите эксплойт с правами администратора – и он сработает на затронутых моделях».

Уязвимости были протестированы на следующем оборудовании:

• материнская плата BioStar B350 GT3 Ryzen;
• Gigabyte AB350-GAMING 3;
• машина HP EliteDesk 705 G3 SFF Ryzen Pro;
• портативный компьютер HP Envy X360 Ryzen Mobile;
• сервер Tyan B8026T70AV16E8HR EPYC;
• сервер Gigabyte MZ31-AR0 EPYC.

Есть ли риск для пользователей? Вряд ли

На данном этапе эксплойтов, использующих обнаруженные CTS уязвимости, не выявлено. Гидо и его компания Trail of Bits заявляют, что создать их будет довольно сложно.

«Для большинства пользователей никакого риска пока нет, – подчеркнул Гидо. – Даже если бы сегодня были опубликованы все детали, атакующим, которые желают создать инструмент, использующий эти уязвимости, понадобилось бы инвестировать значительные средства в разработку».

Аналогичной точки зрения придерживаются и в Check Point. «По нашему мнению, в отчете CTS-Labs изначально присутствовали формулировки, искажающие характер угроз и возможные последствия использования уязвимостей Ryzenfall-1 и Ryzenfall-3, – говорится в заявлении компании. – Но после проверки всех изложенных сведений следует отметить, что уязвимости действительно существуют и обусловленные ими риски должны быть приняты во внимание».

Мотивация CTS-Labs, в том числе и опубликованная на ее сайте информация о финансовом интересе к предмету отчета, также требует изучения. Корреспонденты PC World попытались было взять у руководства CTS интервью, но отказались от этой идеи после того, как в CTS-Labs предварительно запросили список вопросов и запретили спрашивать о сроках и финансовой мотивации компании.

CTS-Labs – не единственная организация, у которой возникли вопросы после изучения AMD Secure Processor. В сентябре прошлого года исследователи из Google сообщали об уязвимости, вызывавшей переполнение стека, но в AMD заявили о ее ликвидации. Кроме того, в BIOS компьютеров с процессорами AMD можно отключать поддержку PSP. Platform Security Processor или PSP – это прежнее название AMD Secure Processor.