AMD ถูกวิจารณ์หนัก หลังแก้ช่องโหว่ Ryzen Master นาน 124 วัน แต่ปฏิเสธจ่าย Bug Bounty มูลค่า 10,000 ดอลลาร์
AMD กำลังเผชิญกระแสวิจารณ์จากชุมชนความปลอดภัยไซเบอร์ หลังนักวิจัยด้านความปลอดภัยรายหนึ่งเปิดเผยว่า บริษัทปฏิเสธจ่ายรางวัล Bug Bounty มูลค่า 10,000 ดอลลาร์สหรัฐ แม้จะยอมรับและแก้ไขช่องโหว่ร้ายแรงในซอฟต์แวร์ Ryzen Master ที่อาจเปิดทางให้ผู้โจมตีเข้าควบคุมคอมพิวเตอร์ของผู้ใช้จากระยะไกลได้
พบช่องโหว่ในระบบอัปเดตอัตโนมัติ
นักวิจัยด้านความปลอดภัย Paul LaRosa พบว่าระบบอัปเดตอัตโนมัติของซอฟต์แวร์ AMD Ryzen Master ดาวน์โหลดไฟล์อัปเดตผ่านการเชื่อมต่อ HTTP แบบไม่เข้ารหัส แทนที่จะใช้ HTTPS ตามมาตรฐานความปลอดภัยในปัจจุบัน
ช่องโหว่นี้เปิดโอกาสให้ผู้ไม่หวังดีสามารถทำการโจมตีแบบ Man-in-the-Middle (MITM) โดยดักจับและเปลี่ยนไฟล์อัปเดตระหว่างการส่งข้อมูล ก่อนส่งไฟล์อันตรายไปยังเครื่องเป้าหมายแทนไฟล์จริง
เนื่องจากระบบปฏิบัติการเชื่อถือกระบวนการอัปเดตดังกล่าว ผู้ใช้จึงอาจติดตั้งมัลแวร์โดยไม่รู้ตัว ส่งผลให้ผู้โจมตีสามารถรันโค้ดจากระยะไกล (Remote Code Execution) และเข้าควบคุมเครื่องได้
ใช้เวลาแก้นานกว่า 4 เดือน
ตามรายงาน ระบุว่า AMD รับทราบปัญหาดังกล่าวและขอให้นักวิจัยเลื่อนการเปิดเผยข้อมูลออกไป โดยให้คำมั่นว่าจะดำเนินการแก้ไขภายใน 90 วัน
อย่างไรก็ตาม AMD มีการเลื่อนกำหนดหลายครั้ง ก่อนจะปล่อยแพตช์แก้ไขออกมาหลังใช้เวลารวมถึง 124 วัน ซึ่งนานกว่ากรอบเวลาการเปิดเผยช่องโหว่ที่วงการความปลอดภัยไซเบอร์นิยมใช้กันโดยทั่วไป
ปฏิเสธจ่ายรางวัลอ้างไม่เข้าเงื่อนไข
หลังจากแก้ไขช่องโหว่แล้ว AMD กลับปฏิเสธการจ่ายเงินรางวัล Bug Bounty โดยให้เหตุผลว่าการโจมตีแบบ Man-in-the-Middle อยู่ในหมวดที่ถูกยกเว้นตามนโยบายของโครงการ
การตัดสินใจดังกล่าวสร้างความไม่พอใจให้กับนักวิจัยและชุมชนด้านความปลอดภัยไซเบอร์จำนวนมาก เนื่องจาก AMD ได้รับทราบปัญหาและใช้เวลาหลายเดือนในการแก้ไข ก่อนจะอ้างเงื่อนไขนโยบายเพื่อปฏิเสธการจ่ายรางวัล
ยังถูกตั้งคำถามเรื่องวิธีตรวจสอบไฟล์
แม้ AMD จะเปลี่ยนมาใช้การเชื่อมต่อแบบเข้ารหัสสำหรับดาวน์โหลดไฟล์อัปเดตแล้ว แต่รายงานระบุว่าระบบตรวจสอบความถูกต้องของไฟล์ยังคงใช้วิธี CRC32 ซึ่งเป็นเพียงการตรวจสอบความเสียหายของข้อมูลเบื้องต้น
ผู้เชี่ยวชาญบางส่วนมองว่าการใช้ CRC32 ยังไม่แข็งแกร่งเท่าการใช้ Digital Signature หรือ Cryptographic Signature ซึ่งเป็นมาตรฐานที่นิยมใช้ในซอฟต์แวร์สมัยใหม่สำหรับป้องกันการปลอมแปลงไฟล์
ชุมชนความปลอดภัยกังวลผลกระทบระยะยาว
เหตุการณ์ครั้งนี้ทำให้เกิดการถกเถียงในวงกว้างเกี่ยวกับบทบาทของโครงการ Bug Bounty ซึ่งเป็นหนึ่งในกลไกสำคัญที่ช่วยให้บริษัทเทคโนโลยีได้รับรายงานช่องโหว่จากนักวิจัยอิสระ
หลายฝ่ายมองว่าหากบริษัทต่าง ๆ ปฏิเสธการจ่ายรางวัลหลังจากนำข้อมูลไปใช้แก้ไขปัญหา อาจทำให้นักวิจัยขาดแรงจูงใจในการรายงานช่องโหว่ผ่านช่องทางที่ถูกต้อง และส่งผลกระทบต่อระบบนิเวศด้านความปลอดภัยไซเบอร์ในระยะยาว
ที่มา: HKEPC
