"Vanwege een gebrek aan transparantie aan de kant van Intel, kregen we op 10 mei 2019, vier dagen voor de openbaarmaking, een volledig beeld van Intels MDS-plannen", aldus de onderzoekers. Die wisten op 11 mei via internet de microcode-updates van Intel te vinden en besloten die te testen. Daaruit bleek dat de updates de gerapporteerde kwetsbaarheden niet volledig verhielpen.
De onderzoekers waarschuwden Intel dat vervolgens vroeg om informatie over de onopgeloste RIDL-problemen pas op 12 november te openbaren. In juli bleek dat Intel de proof-of-concept exploits had gemist, wat verklaarde waarom de eerder uitgebrachte update onvolledig was.
Hoewel Intel nu met een update voor de verschillende aanvallen van de onderzoekers is gekomen, stellen die dat het onderliggende probleem niet is verholpen. RIDL-achtige kwetsbaarheden zullen dan ook niet op korte termijn verdwijnen, zo verwachten ze. "We maken ons met name zorgen over Intels mitigatieplan dat PoC-georienteerd is, met een compleet gebrek aan security-engineering en zonder het onderliggende probleem te onderzoeken, waarbij kleine variaties in proof-of-concept exploits tot nieuwe embargo's leiden, en deze "nieuwe" kwetsbaarheden gedurende lange tijd niet verholpen worden", zo stellen ze.
De onderzoekers voegen toe dat er helaas nog onvoldoende druk vanuit het publiek en industrie is, en er dan ook weinig aanleiding voor Intel is om te veranderen. "En blijft het publiek met een vals gevoel van veiligheid achter. Het opleggen van het ene na het andere lange embargo en het niet openbaar maken van kwetsbaarheden waar te veel mensen van afweten is nog steeds een levensvatbare strategie", besluiten de onderzoekers.
In onderstaande video laten de onderzoekers zien hoe ze binnen dertig seconden de volledige rootwachtwoordhash van het /etc/shadow bestand op Linux kunnen achterhalen.
Hoewel AMD ook niet zonder kleerscheuren is, krijg ik het idee dat het wel een security architectuur heeft (itt Intel).