Intel wollte seine Sicherheitslücke vertuschen – dieser Forscher veröffentlichte sie trotzdem
The Duty of a Scholar
2004 entdeckte Colin Percival, dass Hyper-Threading in Intel-CPUs private RSA-Schlüssel über den Cache verraten kann. Statt zu promovieren, widmete er sechs Monate der koordinierten Offenlegung – bis Intel Yahoo bat, ihn zum Rückzug zu zwingen. Percival leitet daraus eine Pflicht ab, die über Fichtes Gelehrtenideal hinausgeht: Wissen nicht nur zu erlangen, sondern aktiv die Menschen zu suchen, die es brauchen.
Zu mir gehört die Pflicht, aktiv nach den Menschen zu suchen, denen die Wahrheit gesagt werden sollte. Sich hinter „Niemand hat gefragt“ zu verstecken, heißt, diese Pflicht nicht zu erfüllen.
- cperciva
Wow, das ging schnell.
Leser könnten auch meinen Beitrag „On the use of a life“ von 2020 als interessantes Gegenstück betrachten: https://www.daemonology.net/blog/2020-09-20-On-the-use-of-a-...
- ballmerpoint
> Mitglieder des IEEE verpflichten sich beispielsweise, „die Sicherheit, Gesundheit und das Wohl der Öffentlichkeit an oberste Stelle zu setzen ...“, ohne dass diese Pflicht auf Gefahren beschränkt ist, die aus Projekten entstehen, an denen der betreffende Ingenieur beteiligt ist: Die Pflicht „unverzüglich offenzulegen“ obliegt jedem Ingenieur, der erkennt, dass die Gefahr besteht.
Als aktives Mitglied des IEEE seit über einem Jahrzehnt habe ich noch nie jemanden (außer dem Autor hier) gesehen, der diese Pflicht ernst nimmt. Es gibt jede Menge IEEE-Mitglieder, die an Dingen arbeiten, die direkt solche Gefahren verursachen.
- Animats
Intels Behauptung, es sei kein Problem gewesen: [1]
Heute wäre es eine größere Sache. Im Zeitalter der KI ist es so viel einfacher, schwer ausnutzbare Lücken auszunutzen. KI hat
Geduld, die nur durch dein Budget begrenzt ist.
[1] https://www.itnews.com.au/news/intel-soothes-hyperthreading-...
- nickelpro
Intels Antwort war:
> Timing-Exploits sind der Sicherheitscommunity seit Mitte der Neunziger bekannt. Aus realer Sicht ist der Angriff nicht praktikabel.
Und das ist im Grunde auch heute noch der Stand der Technik, selbst mit Spectre. Man kann die Schwachstelle unter kontrollierten Bedingungen demonstrieren, aber dass diese Bedingungen in der Produktion auftreten, ist im technischen Sinne nicht praktikabel.
- jruohonen
Er klingt ein wenig wie R. K. Merton, und daher war es eine gute Lektüre.