Intel hat bestätigt, dass sein proprietärer UEFI-Code für seine Prozessoren der 12. Generation geleakt wurde. Die auf 4chan und Github veröffentlichte 6-GB-Datei enthält Informationen zur Erstellung und Optimierung von BIOS-Code für Alder-Lake-Chips, Intel geht jedoch nicht davon aus, dass dies neue Sicherheitslücken aufdecken wird.
Der Quellcode von Intel Alder Lake wurde online geleakt.* Alder Lake CPU wurde am 4. November 2021 veröffentlicht* Quellcode ist 2,8 GB groß (komprimiert)* Leak (angeblich) von 4chan* Wir haben nicht die gesamte Codebasis überprüft , es ist massiv8. Oktober 2022
„Unser proprietärer UEFI-Code scheint von einem Drittanbieter geleakt worden zu sein“, sagt ein Intel-Sprecher Toms Hardware (öffnet in neuem Tab).
„Wir glauben nicht, dass dies neue Sicherheitslücken aufdeckt, da wir uns nicht auf die Verschleierung von Informationen als Sicherheitsmaßnahme verlassen. Dieser Code wird von unserem Bug-Bounty-Programm innerhalb der Project Circuit Breaker-Kampagne abgedeckt, und wir ermutigen alle Forscher, die möglicherweise Potenzial erkennen Schwachstellen, um sie durch dieses Programm auf uns aufmerksam zu machen. Wir wenden uns sowohl an Kunden als auch an die Sicherheitsforschungsgemeinschaft, um sie über diese Situation auf dem Laufenden zu halten.”
Es scheint, als ob Intels Strategie darin besteht, keinen „Geheimcode“ als Teil seiner Prozessorsicherheit zu haben. Ich stelle mir vor, dass dies in erster Linie dazu dient, eine Situation wie diese heute zu vermeiden, in der der Code, wenn er in die falschen Hände gerät, die Sicherheit seines Prozessors zunichte machen könnte. Das Unternehmen klingt ziemlich zuversichtlich, dass dieses Leck daher keine Sicherheitsbedrohung darstellen sollte.
Intels Aussage deutet darauf hin, dass ein Dritter dafür verantwortlich ist, dass die Dateien veröffentlicht werden, und nicht ein Hack seiner eigenen internen Systeme. Als Twitter-Nutzer SttyK (öffnet in neuem Tab) und die Berichtsnotiz von Tom’s Hardware, das Github-Repository wurde von einem Mitarbeiter des LC Future Center, einem in China ansässigen Laptop-Hersteller, erstellt, und Teile des Codes erwähnen Lenovo, einen der Kunden des LC Future Center. Diese Verbindung wurde jedoch nicht von Intel oder anderswo bestätigt.
Die exponierten UEFI-Dateien werden Sicherheitsforschern weiterhin Sorgen bereiten, auch wenn Intel letztendlich der Meinung ist, dass seine CPUs immer noch vor schändlichen Akteuren sicher sind. Das UEFI arbeitet mit dem Betriebssystem zusammen, um grundlegende Sicherheitsprinzipien innerhalb von Windows bereitzustellen und sicherzustellen, dass Exploits keinen Zugriff auf private Informationen erhalten. Es scheint bereits, dass Sicherheitsforscher die durchgesickerten Dateien genau beobachten, um zu sehen, was sie aufdecken können.
Diejenigen, die Schwachstellen im Code aufdecken, können ebenfalls eine Geldprämie erhalten. Intel erwähnt, dass der Code von seiner Project Circuit Breaker-Kampagne abgedeckt wird, was ein anderer Name für sein Bug-Bounty-Programm ist. Für dieses spezielle BIOS-Leck gibt es eine spezielle „Code Challenge“. Es heißt “Erlen & Suchende (öffnet in neuem Tab)“.
„Aufgrund der unbefugten Offenlegung von Intels proprietärem UEFI-Code für Alder Lake öffnen wir die private Alders & Seekers-Bug-Bounty-Kampagne für alle Sicherheitsforscher. Darüber hinaus haben wir das Enddatum dieser Kampagne vom 15. Oktober 2022 auf 9:00 Uhr in den USA verlängert Eastern Time am 20. Januar 2022. Für diese Kampagne gelten die Standardrichtlinien des Intel(R) Bug Bounty Program.“
Wenn es also irgendwelche Lücken in der Sicherheit von Alder Lake gibt, die sich aus diesem Leck ergeben, hoffen wir, dass sie geflickt werden, bevor sie als Folge der Bug-Prämie weiter verbreitet werden. Diese Programme können je nach Schweregrad des Fehlers gut bezahlt werden, was oft dazu führt, dass einige erfahrene Sicherheitsexperten helfen.
In der Zwischenzeit sollte dies für PC-Gamer, die einen Intel Core i9 12900K oder einen anderen Prozessor der 12. Generation rocken, kein Grund zur unmittelbaren Besorgnis sein. Also ärgere dich nicht. Wenn es in Zukunft einen solchen Grund zur Besorgnis gibt, ist es oft die beste Verteidigung gegen diese Art von Exploits, wenn Sie sicherstellen, dass Sie Ihr System auf dem neuesten Stand halten und die neuesten Abwehrmaßnahmen ausführen.