جوجل كلاود و أصدرت إنتل اليوم نتائج المراجعة التي استمرت تسعة أشهر لمنتج أمان الأجهزة الجديد من إنتل ، Trust Domain Extensions (TDX). كشف التحليل عن 10 نقاط ضعف مؤكدة ، بما في ذلك اثنتان حددهما الباحثون في الشركتين على أنهما مهمتان ، بالإضافة إلى خمس نتائج أدت إلى تغييرات استباقية لتعزيز دفاعات TDX. تم الانتهاء من المراجعة والإصلاحات قبل إنتاج معالجات Intel Xeon من الجيل الرابع ، والمعروفة باسم “Sapphire Rapids” ، والتي تتضمن TDX.
تعاون باحثو الأمن من Google Cloud Security وفريق Google Project Zero Bug-Hunting مع مهندسي Intel في التقييم ، والذي كشف في البداية عن 81 مشكلة أمنية محتملة قامت المجموعة بالتحقيق فيها بعمق أكبر. يعد المشروع جزءًا من مبادرة الحوسبة السرية الخاصة بـ Google Cloud ، وهي مجموعة من الإمكانات الفنية للحفاظ على تشفير بيانات العملاء في جميع الأوقات والتأكد من أن لديهم عناصر تحكم كاملة في الوصول.
تعتبر المخاطر الأمنية عالية بشكل لا يصدق لمقدمي الخدمات السحابية الضخمة الذين يديرون الكثير من البنية التحتية الرقمية في العالم. وبينما يمكنهم تحسين الأنظمة التي ينشئونها ، لا تزال الشركات السحابية تعتمد على الأجهزة المملوكة من مصنعي الرقائق للحصول على قوتهم الحاسوبية الأساسية. للحصول على نظرة أعمق حول المعالجات التي يعتمدون عليها ، عملت Google Cloud مع AMD في تدقيق مماثل العام الماضي ، واستندت إلى علاقة موثوقة طويلة الأمد بين Intel و Google لإطلاق مبادرة TDX. الهدف هو مساعدة صانعي الشرائح في العثور على نقاط الضعف وإصلاحها قبل أن يخلقوا تعرضات محتملة لعملاء Google Cloud أو أي شخص آخر.
“هذا ليس بالأمر التافه لأن الشركات ، لدينا جميعًا حقوق الملكية الفكرية الخاصة بنا. وعلى وجه الخصوص ، كان لدى Intel الكثير من IP في التقنيات التي كانوا يجلبونها إلى هذا ، “حسب قول نيللي بورتر ، مدير مجموعة منتجات Google Cloud. “بالنسبة لنا أن نكون قادرين على أن نكون منفتحين بشكل لا يصدق والثقة ببعضنا البعض أمر ذو قيمة. إن البحث الذي نجريه سيساعد الجميع لأن تقنية امتداد النطاق الموثوق من Intel لن تُستخدم في Google فحسب ، بل في أي مكان آخر أيضًا “.
يمكن للباحثين والمتسللين دائمًا العمل على مهاجمة الأجهزة والأنظمة عبر الإنترنت من الخارج – وهذه التدريبات ذات قيمة لأنها تحاكي الظروف التي يبحث المهاجمون في ظلها عادةً عن نقاط الضعف لاستغلالها. لكن التعاون مثل التعاون بين Google Cloud و Intel له ميزة السماح للباحثين الخارجيين بإجراء اختبار الصندوق الأسود ثم التعاون مع المهندسين الذين لديهم معرفة عميقة حول كيفية تصميم المنتج للكشف المحتمل عن المزيد حول كيفية تأمين المنتج بشكل أفضل . .
بعد سنوات من الكفاح لمعالجة التداعيات الأمنية من عيوب التصميم في ميزة المعالج المعروفة باسم “التنفيذ الخاص” ، استثمر صانعو الرقائق أكثر في اختبارات الأمان المتقدمة. بالنسبة إلى TDX ، يقوم قراصنة إنتل الداخليون بإجراء عمليات تدقيق خاصة بهم ، كما قامت الشركة بوضع TDX في خطوات الأمان الخاصة بها من خلال دعوة الباحثين لفحص الأجهزة كجزء من برنامج مكافآت إنتل للأخطاء.
يقول أنيل راو ، نائب رئيس إنتل والمدير العام لهندسة وهندسة الأنظمة ، إن فرصة عمل مهندسي Intel و Google كفريق واحد كانت مثمرة بشكل خاص. عقدت المجموعة اجتماعات منتظمة ، وتعاونت لتتبع النتائج بشكل مشترك ، وأقامت صداقة حميمة حفزتهم على التعمق أكثر في TDX.
