security board image

Procesadores AMD: Google Project Zero, Spectre y Meltdown

Actualización de la seguridad de los procesadores AMD

11/01/2018

La divulgación pública del 3 de enero de que varios equipos de investigación habían descubierto problemas de seguridad relacionados con la forma en que los microprocesadores modernos manejan la ejecución especulativa ha puesto de manifiesto la vigilancia constante necesaria para proteger los datos. Estas amenazas buscan eludir los controles de arquitectura de microprocesador que garantizan la seguridad de los datos.

En AMD, la seguridad es nuestra máxima prioridad y trabajamos continuamente para garantizar la seguridad de nuestros usuarios a medida que surgen nuevos riesgos. Como parte de esa vigilancia, quisiéramos actualizar a la comunidad sobre nuestras acciones para abordar este asunto.

  • La variante 1 (omisión de comprobación de límites o Spectre) de Google Project Zero (GPZ) es aplicable a los procesadores AMD.
    • Creemos que esta amenaza se puede contener con una revisión del sistema operativo (SO) y hemos estado trabajando con los proveedores de sistemas operativos para solucionar este problema.
    • Microsoft ya está distribuyendo revisiones para la mayoría de los sistemas AMD. Asimismo, estamos trabajando estrechamente con ellos para corregir un problema que detuvo la distribución de revisiones para algunos procesadores AMD antiguos (familias AMD Opteron, Athlon y AMD Turion X2 Ultra) a principios de esta semana. Prevemos que este problema se corregirá en breve y Microsoft podría reanudar las actualizaciones de estos procesadores la próxima semana. Para obtener la información más reciente, consulta el sitio web de Microsoft.
    • Los proveedores de Linux también están implementando revisiones para los productos de AMD.
  • La variante 2 (inyección de destino de bifurcación o Spectre) de GPZ es aplicable a los procesadores AMD.
    • Si bien creemos que las arquitecturas de procesador de AMD dificultan la explotación de la variante 2, seguimos trabajando estrechamente con la industria para disipar esta amenaza. Hemos definido pasos adicionales mediante una combinación de actualizaciones de microcódigo de procesador y revisiones del sistema operativo que pondremos a disposición de los clientes y socios de AMD para mitigar aún más la amenaza.
    • AMD pondrá a disposición de nuestros clientes y socios actualizaciones de microcódigo opcionales para los procesadores Ryzen y EPYC a partir de esta semana. Prevemos que las actualizaciones para nuestros productos de la generación anterior estarán disponibles en las próximas semanas. Los proveedores de sistemas y de sistemas operativos serán los encargados de proporcionar estas actualizaciones de software. Comprueba con tu proveedor la información más reciente sobre la opción disponible para tu configuración y requisitos.
    • Los proveedores de Linux comenzaron a implementar revisiones de sistema operativo para sistemas AMD y estamos decidiendo en estrecha colaboración con Microsoft el mejor momento para distribuir sus revisiones. También estamos colaborando muy de cerca con la comunidad de Linux en el desarrollo de mitigaciones del software “retorno de trampolín” (Retpoline).
  • La variante 3 (carga de caché de datos no autorizados o Meltdown) de GPZ no es aplicable a los procesadores AMD.
    • Consideramos que los procesadores AMD no son susceptibles debido a que utilizamos un nivel de protección privilegiado dentro de la arquitectura de paginación y no se requiere ninguna mitigación.

También ha habido dudas sobre las arquitecturas de GPU. Las arquitecturas de GPU AMD Radeon no utilizan la ejecución especulativa y, por lo tanto, no son susceptibles a estas amenazas.

Proporcionaremos más actualizaciones según corresponda en este sitio, ya que AMD continuará colaborando con la industria a fin de desarrollar soluciones de mitigación para proteger a los usuarios de estas últimas amenazas de seguridad.

Mark Papermaster
Vicepresidente sénior y director de tecnología

La seguridad de la información es una prioridad de AMD

1/03/2018

Recientemente, en la prensa resonó un posible problema de seguridad con los microprocesadores modernos y la ejecución especulativa. La seguridad de la información es una prioridad de AMD, por lo que nuestros arquitectos de seguridad siguen de cerca el ecosistema de tecnología en busca de nuevas amenazas.

Es importante comprender de qué modo se relacionan los productos AMD y la vulnerabilidad en la ejecución especulativa descrita en la investigación comunicada. Debe tenerse en cuenta lo siguiente:

  • La investigación fue llevada a cabo en un entorno de laboratorio controlado y especializado por un equipo altamente experimentado que manejó información detallada y privada sobre los procesadores en cuestión.
  • La amenaza analizada no es de dominio público.

Cuando en AMD supimos que equipos de investigadores habían detectado un nuevo ataque en las CPU que apuntaba a la funcionalidad de la ejecución especulativa empleada en muchos productos de grandes empresas, de inmediato nos dispusimos a abordar los hallazgos de estos equipos.

El equipo de investigación identificó tres variantes en la investigación de la ejecución especulativa. En la siguiente tabla, se detallan las variantes específicas de la investigación y la respuesta de AMD.

Matriz de variante/respuesta de AMD

  Título de la investigación de Google Project Zero (GPZ) Detalles
Variante 1 Omisión de comprobación de límites Resuelta con actualizaciones de software o del SO ofrecidas por fabricantes y proveedores del sistema. Se espera un impacto insignificante en el rendimiento.
Variante 2 Inyección de destino de bifurcación Las diferencias en la arquitectura AMD implican un riesgo casi nulo de explotación de esta variante. A la fecha, no se demostró la vulnerabilidad de la variante 2 en los procesadores AMD.
Variante 3 Carga de datos en la memoria caché de aplicaciones falsas Ninguna vulnerabilidad de AMD a causa de diferencias en la arquitectura AMD.

La defensa más significativa dentro de la continua evolución del escenario de seguridad es el esfuerzo colaborativo de intercambio de información en la industria.

La protección total frente a todo posible ataque sigue siendo una meta difícil de alcanzar. Este ejemplo más reciente demuestra lo efectiva que puede ser la colaboración en la industria.

Como siempre, AMD recomienda firmemente a sus clientes que asuman prácticas informáticas seguras de manera sistemática, entre ellas: no hacer clic en hipervínculos desconocidos, seguir protocolos de contraseñas seguras, usar redes confiables y aceptar las actualizaciones periódicas de software.