Eine Gruppe von fünf Käufern von Intel-CPUs hat eine Sammelklage gegen den kultigen PC-Chip-Designer eingereicht, wie aus einem Gerichtsdokument hervorgeht, das The Register vorliegt. Die Kläger behaupten, dass Intel wissentlich Milliarden von CPUs verkauft hat, nachdem es bereits von der AVX-Seitenkanal-Schwachstelle wusste, die schließlich den Untergang herbeiführen würde. Es wird weiter behauptet, dass Intel seit 2018 Kenntnis von der AVX-Schwachstelle hatte und dass Intels Patch für den Architekturfehler dazu führte, dass CPUs „bis zur Unkenntlichkeit verlangsamt wurden.“
Bereits im August berichteten wir über juristische Manöver hinter den Kulissen, als sich eine Sammelklage gegen Intel zusammenbraute. Damals erinnerten wir daran, dass aktuelle Tests auf Intel-CPUs der Architekturen Skylake bis Rocket Lake (6. bis 11. Generation der Core-Prozessoren) zeigten, dass das Patching einige Operationen um bis zu 50 % verlangsamte. Anwendungen, die sich stark auf AVX2- und AVX-512-Workloads stützen, um Aufgaben zu erledigen, waren am stärksten betroffen. Bleiben die Patches jedoch ungepatcht, könnten Bedrohungsakteure Downfall ausnutzen, um über Malware oder lokalen Zugriff sensible Informationen wie Verschlüsselungsschlüssel von Systemen zu extrahieren, die Core-CPUs der 6. bis 11.
Und der leistungsmindernde Patch ist eine zu bittere Medizin
Die Hauptbeschwerde in dem Gerichtsdokument, in dem ein Geschworenenprozess vor dem US-Bezirksgericht in San Jose gefordert wird, bezieht sich nicht auf die Existenz der Downfall-Schwachstelle oder die Leistungseinbußen durch den Patch, sondern darauf, dass Intel im Grunde genommen die Hände in den Schoß gelegt hat. Die Kläger behaupten, dass Intel seit 2018 von dem „Defekt“ hinter Downfall wusste.
Downfall fallout: Intel knew AVX chips were insecure and did nothing, lawsuit claims https://t.co/zsP7sU1ZPU
— The Cyber Security Hub™ (@TheCyberSecHub) November 9, 2023
Natürlich war 2018 ein sehr großes Jahr für Computersicherheitsnachrichten. Es war das Jahr, in dem Spectre und Meltdown überall in den Schlagzeilen der Tech-Presse auftauchten. Es war das erste Mal, dass wir Exploits sahen, die auf den spekulativen Ausführungsprozess abzielten, der von vielen modernen CPUs verwendet wird, um Berechnungen zu beschleunigen. Aufgrund der Art und Weise, wie dieser Prozess implementiert wurde, konnten Bedrohungsakteure Daten im Speicher von anderen Prozessen ausspähen.
Nach all der Aufregung um Spectre und Meltdown begannen einige Sicherheitsforscher, sich mit ähnlichen Angriffsvektoren zu befassen. Es wird vermutet, dass Alexander Yee im Juni 2018 als einer der ersten Computerenthusiasten und Tüftler über eine „neue Spectre-Exploit-Variante für Intel-Prozessoren mit AVX- und AVX512-Anweisungen“ schrieb. Intel hat Yee dazu gebracht, einen detaillierten Bericht bis August 2018 unter seinem Hut zu halten. Mit frühem Zugang zu diesen Daten und Tausenden von Ingenieuren auf der Gehaltsliste hätte man erwarten können, dass Intel etwas gegen dieses mögliche AVX-Datenleck unternimmt.
Laut der Sammelklage war Yee nicht der Einzige, der Intel vor AVX-Schwachstellen warnte, die schließlich zu Downfall führen würden. Ein Hauptargument der Kläger ist, dass „im Sommer 2018, als Intel sich mit den Folgen von Spectre und Meltdown befasste und eine Hardwarebehebung in zukünftigen CPU-Generationen versprach, Intel zwei separate Schwachstellenberichte von Dritten erhielt, die auf eine bestimmte Gruppe von Anweisungen auf Intels CPUs hinwiesen, die Advanced Vector Extensions (AVX) genannt wurden.“ Wichtig ist, dass Intel nicht bestritten hat, diese Berichte gesehen zu haben; in dem Gerichtsdokument heißt es: „Intel hat beide Berichte zeitgleich bestätigt.“
Oben haben wir die Hauptstoßrichtung der Sammelklage erwähnt, mit Beschwerden über Intels wissentlichen Verkauf von Milliarden von CPUs seit 2018 mit einem „Defekt.“ Zweitens waren die beiden inakzeptablen Möglichkeiten für die CPU-Käufer, entweder die Sicherheitslücke offen zu lassen oder einen Patch anzuwenden, der „die Leistung ihrer CPUs zerstört.“ Und vor allem wegen dieser Faktoren fordern die Kläger von Intel „Schadensersatz und gerechte Entlastung“.
Das Gerichtsdokument, das The Register [PDF] zur Verfügung gestellt hat, enthält einige interessante Hintergrundinformationen zu jedem der fünf Kläger. Im Wesentlichen sprechen alle über ihre Recherchen zum Kauf oder Selbstbau eines schnellen modernen PCs, wie die Systemleistung schließlich durch Downfall-Abschwächungsmaßnahmen beeinträchtigt wurde und wie sich dies auf das Preis/Leistungsverhältnis auswirkte.
