Intel se enfrenta a una demanda por errores «apocalípticos» y pide 10.000 dólares por demandante

Esta semana se presentó una demanda colectiva contra Intel por su manejo de errores de fuga de datos en sus CPU.

En un archivo de 112 páginas Ante la División de San José del Distrito Norte de California del Tribunal de Distrito de los Estados Unidos, cinco demandantes representativos alegan que el gigante de los chips conocía instrucciones defectuosas que permitían problemas como el error actual de «caída», media década antes de que se publicara alguna solución.

Sin embargo, determinar si la negligencia de Intel constituyó una violación de la ley puede resultar complicado y tener implicaciones de gran alcance para la industria tecnológica.

«Nunca tener un error es una exigencia poco realista», dice John Gallagher, vicepresidente de Viakoo Labs en Viakoo, pero «si me roban mis datos porque un proveedor no los parcheó a tiempo, debería poder demandarlos». «Negligencia.»

Cómo resolvió Intel los problemas de sus chips

fatalidad era el nombre CVE-2022-40982, una vulnerabilidad de divulgación de información clasificada CVSS con una calificación media de 6,5 en las CPU de Intel de sexta a undécima generación. Como reveló un investigador de Google en Black Hat el pasado mes de agosto, un atacante podría explotar una instrucción vulnerable Utilice procesadores para ejecución especulativa para obtener acceso a información privilegiada de otros usuarios en un entorno informático compartido.

Aunque está presente en incontables millones o incluso miles de millones de ordenadores en todo el mundo (Intel disfruta la mayoría del mercado mundial de CPU x86), “a nivel individual, esto no tendrá ningún impacto para la mayoría de las personas; «Es un exploit relativamente complejo y depende de que un usuario comparta una computadora o un entorno de nube», señala Gallagher.

Si bien el investigador de Google sacó a la luz Downfall por primera vez en agosto, la nueva demanda apunta mucho más allá.

En 2018 Un entusiasta del hardware publicó resultados Demostración de una vulnerabilidad de ejecución transitoria de estilo caída en CPU Intel. Era similar a otros errores de chip más notorios: Espectro y fusión – y todavía otro caso similar – NetSpectre – fue creado casi al mismo tiempo.

“Sin embargo, a pesar de las múltiples revelaciones de vulnerabilidades (públicamente conocidas) a Intel sobre este tema, Intel no ha realizado un análisis exhaustivo.[sic] Posibles efectos secundarios en AVX ISA y desarrollo de soluciones de hardware para abordarlos en 2018. O en 2019, 2020, 2021 o 2022. En cambio, Intel dio prioridad a las ganancias y continuó vendiendo CPU defectuosas durante años después de que la empresa supiera claramente que eran defectuosas”, dice la denuncia.

De acuerdo con la revelación de Black Hat de este año Intel ha lanzado un parche para Downfall. Pero ese parche, dice la demanda, reduce tanto la velocidad de procesamiento que «los demandantes se quedan con CPU defectuosas que son tremendamente vulnerables a los ataques o deben ralentizarse hasta quedar irreconocibles para ‘arreglarlas'».

Con ese fin, la fiscalía busca “daños monetarios contra Intel, que se determinarán como el mayor entre (a) daños reales en una cantidad que se determinará en el juicio o (b) daños legales en la cantidad de 10.000 dólares para cada demandante”.

¿Debería considerarse legalmente responsable a Intel?

El umbral más allá del cual la reparación inadecuada de una vulnerabilidad se convierte en negligencia total aún no está claramente definido por la ley.

“El año que viene se cumplirán 30 años desde que el ‘error de punto flotante’ de Intel apareció en los titulares y llevó a Intel a retirar sus chips (tal vez para evitar responsabilidad legal). Desde entonces, la responsabilidad legal no ha sido mucho más clara». «Siempre habrá casos extremos y defectos menores que no alcanzarían el nivel de responsabilidad legal», reflexiona Gallagher.

Y ya sea que Intel esté equivocado o no, una falla compleja de canal lateral con consecuencias limitadas para la mayoría de los propietarios de computadoras no es el caso más claro para revertir esta tendencia. «Si se tratara de un error ampliamente explotado que podría haberse evitado razonablemente, podría dar lugar a responsabilidad legal, pero sin esto es sólo otro ejemplo de cómo pueden ocurrir errores incluso con las pruebas y el diseño del producto más rigurosos», afirma.

«Si cada ataque de canal lateral que explota una falla arquitectónica a nivel de chip se presentara como un caso legal», concluye, «el expediente se desbordaría».

Bathaee Dunne LLP, en representación de la fiscalía, declinó hacer comentarios para este artículo. Dark Reading también contactó a Intel, que no respondió hasta el momento de esta publicación.