Intel informował chińskie firmy o lukach wcześniej niż amerykański rząd

Jakby Intel miał obecnie mało problemów w związku z zagrożeniami Meltdown i Spectre, to firma po raz kolejny znalazła się na celowniku mediów - tym razem chodzi o to, kogo w pierwszej kolejności Niebiescy poinformowali o lukach.

Jak donosi gazeta Wall Street Journal, Intel w pierwszej kolejności poinformował o lukach w swoich procesorach zaledwie garstkę swoich klientów, w tym jak się okazuje chińskich gigantów, Lenovo i Alibaba, pomijając przy tym m.in. amerykański rząd. O ile koncern jest zobowiązany do konsultacji z tymi firmami w zakresie koordynowania prac nad poprawkami, to trzeba zdawać sobie sprawę, że chiński rząd rutynowo monitoruje takie konwersacje i teoretycznie mógł wykorzystać luki przejęcia danych zanim te zostały załatane. Przedstawiciel Intela nie chciał zdradzać detali odnośnie tego, kto został poinformowany o exploitach w pierwszej kolejności, ale przyznał, że firma nie była w stanie skontaktować się ze wszystkimi (w tym amerykańskim rządem) na czas, ponieważ Meltdown i Spectre zostało ujawnione zbyt wcześnie. Lenovo z kolei zasłoniło się umową poufności danych, a Alibaba zasugerowało, że jakiekolwiek spekulacje na temat dzielenia się informacjami z chińskim rządem mają charakter "spekulacji i są bezpodstawne", ale nie wyklucza, że władze przejęły szczegóły bez zgody koncernu.

Wydaje się, że afera z lukami Meltdown i Spectre będzie się odbijać czkawką Intelowi jeszcze przez długi czas

Jak na razie nie ma żadnych konkretnych dowodów na to, że Chiny wykorzystały exploity, ale nie w tym rzecz. Jak podkreślają eksperci, Intel wykazał się tu pewnym brakiem lojalności i poinformowanie amerykańskiego rządu w pierwszej kolejności mogło pomóc w koordynacji ujawniania luk, by zapewnić firmom odpowiednią ilość czasu na załatanie podatności. Co prawda tacy giganci, jak Apple, Amazon, Google czy Microsoft, były gotowe z łatką relatywnie szybko, ale większość firm musiała ścigać się z czasem bez uprzedniej informacji, co mogło narazić na ataki podmioty, które nie znalazły się na priorytetowej liście Intela, ale wciąż obsługiwały krytyczne systemy. Z drugiej strony, Intel znalazł się tu między młotem a kowadłem, ponieważ bez wątpienia zobowiązany był do poinformowania o zagrożeniu partnerów, ale nie mógł też dzielić się danymi z wszystkimi, by zminimalizować ryzyko przedwczesnego wycieku. Koncern najwyraźniej nie przemyślał jednak skutków w zakresie cyberbezpieczeństwa, kiedy w pierwszej kolejności zwrócił się do chińskich klientów.