英特爾發(fā)現(xiàn)安全漏洞 先通知中國客戶后通知美國政府

美媒稱，據(jù)知情人士及幾家相關(guān)公司透露，英特爾公司開始披露其處理器重大安全漏洞時(shí)，最先通知的是少數(shù)一些客戶，例如微軟、亞馬遜和幾家中國科技公司，但美國政府并不在列。這一決定在安全及科技行業(yè)掀起波瀾。

據(jù)美國《華爾街日報(bào)》網(wǎng)站1月29日報(bào)道，在芯片安全漏洞問題曝光數(shù)周之后，英特爾選擇提前通知哪些客戶或機(jī)構(gòu)的決定在安全和科技行業(yè)掀起的波瀾仍未平息。

報(bào)道稱，谷歌互聯(lián)網(wǎng)安全團(tuán)隊(duì)Project Zero于2017年6月份首先發(fā)現(xiàn)了這些漏洞。通常情況下，負(fù)責(zé)保護(hù)系統(tǒng)免受黑客攻擊的技術(shù)人員會選擇暫不對外公布這類信息，同時(shí)加緊開發(fā)補(bǔ)丁。英特爾原計(jì)劃于1月9日對外公布相關(guān)信息，但1月2日英國網(wǎng)站the Register曝光了這些漏洞并在第二天引發(fā)廣泛關(guān)注，英特爾不得已加快了時(shí)間表。

英特爾一名發(fā)言人對1月9日按期發(fā)布漏洞信息前通知了哪些公司不予置評。這名發(fā)言人稱，由于相關(guān)消息被公之于眾的時(shí)間早于預(yù)期，該公司無法按計(jì)劃通知所有相關(guān)方，美國政府也不例外。

報(bào)道稱，英特爾一方面提前通知足夠大的客戶以避免重大損失，另一方面盡量把漏洞信息控制在內(nèi)部以防消息泄漏，這種做法導(dǎo)致并未提前得到通知的小公司現(xiàn)在仍疲于應(yīng)對。

報(bào)道還稱，美國國土安全部一位官員表示，該部門工作人員是從1月3日的新聞報(bào)道中獲悉英特爾芯片存在缺陷的。國土安全部往往會先于公眾獲知所發(fā)現(xiàn)的漏洞，并且是發(fā)布此類問題解決方法的權(quán)威信息源。

這位官員表示，他們當(dāng)然希望有人能通知他們這件事情。

白宮最高網(wǎng)絡(luò)安全官員Rob Joyce表示，美國國家安全局（NSA）同樣被蒙在鼓里。在1月13日一條Twitter消息中，Joyce表示NSA對這些缺陷毫不知情。白宮一位發(fā)言人未予進(jìn)一步置評。

報(bào)道稱，幾家中國科技公司和美國微軟、亞馬遜公司以及英國ARM Holdings等大型科技公司一樣，均被提前告知了這些缺陷的存在。

安全服務(wù)銷售商Immunity Inc.的首席執(zhí)行長Dave Aitel表示，盡管存在安全問題，但對部分大型全球公司的提早預(yù)警發(fā)揮了作用。他表示，為遏制可能的消息外泄，英特爾只會讓盡可能少的人知道此事。

正是因?yàn)橛羞@些早期預(yù)警，微軟、谷歌和亞馬遜才能夠在該漏洞消息傳出后不久即發(fā)表聲明稱，它們的云計(jì)算用戶在很大程度上受到了保護(hù)。但較小型競爭者仍然面臨困境。

報(bào)道稱，美國國土安全部最初的指導(dǎo)也出現(xiàn)失誤。其計(jì)算機(jī)應(yīng)急響應(yīng)組最初的建議稱，徹底消除漏洞的唯一方法是更換芯片。但目前該小組建議用戶安裝系統(tǒng)補(bǔ)丁。