Уязвимости Meltdown и Spectre: 8 ключевых инсайтов для защиты ваших систем

Почти все компьютеры и устройства во всем мире подверглись уязвимостям безопасности, оставляя их открытыми для атак. К счастью, утечки информации не сообщались до сих пор, но обнаруженные баги могут считаться одними из худших уязвимостей в процессорах.

Ниже мы рассмотрели почти все аспекты (технические и бизнес) этого бага. Давайте узнаем, что именно произошло.

1. Что это за уязвимости?

Существует два похожих бага безопасности, названные Meltdown и Spectre.

Meltdown: Аппаратная уязвимость, затрагивающая настольные компьютеры, ноутбуки и серверы на процессорах Intel. Она нарушает фундаментальную изоляцию между операционной системой и пользовательскими приложениями, позволяя программе получать доступ к памяти и, таким образом, секретам других программ.

Конкретно, Meltdown использует побочные эффекты out-of-order выполнения на современных чипах для чтения произвольных мест памяти ядра. Атака не полагается на уязвимости операционной системы или программного обеспечения.

После заражения устройства Meltdown может читать память других процессов или виртуальных машин в облаке без каких-либо привилегий или разрешений пользователя, затрагивая практически каждого пользователя ПК.

Spectre: Он имеет более широкое воздействие. Затрагивает компьютеры, планшеты и смартфоны на процессорах Intel, AMD и ARM. Он может нарушить изоляцию между разными приложениями и позволить атакующим обманывать безошибочные программы в утечке их частных данных.

Spectre эксплуатирует «Спекулятивное выполнение», используемое почти во всех современных чипах. Он обманывает процессор в спекулятивном выполнении последовательностей инструкций, которые не должны были выполняться при правильном выполнении программы.

Помимо нарушения границ изоляции процессов через нативный код, атаки Spectre также могут использоваться в JavaScript-коде, запускаемом в браузере, для доступа к памяти в процессе атакующего.

Оба из них используют боковые каналы для извлечения данных из доступных мест памяти. Если сравнивать эти два, Spectre гораздо труднее эксплуатировать, чем Meltdown, но также труднее смягчить.

2. Какая информация под риском?

Эти баги могут утекать пароли в браузере или менеджере паролей, нажатия клавиш, мгновенные сообщения, электронные письма, ваши личные фото и бизнес-критические данные.

3. Какие системы затрагиваются и насколько это серьезно?

Как мы упоминали выше, уязвимость Meltdown применяется только к процессорам Intel (не AMD или ARM). Исследователи тестировали её на CPU, выпущенных еще в 2011 году. Теоретически, каждый процессор Intel, выпущенный после 1995 года, является целью. Intel считает, что эти уязвимости не имеют потенциала модифицировать, повреждать или стирать информацию.

Уязвимость Spectre, с другой стороны, гораздо хуже — она может навредить всем устройствам на процессорах Intel, AMD и ARM. Более того, в зависимости от дизайна и инфраструктуры облачных провайдеров, возможно красть чувствительные данные от других клиентов. Сервисы вроде LXC, Docker и OpenVZ под риском.

Так что если вы интересуетесь, затрагивается ли ваше устройство этими багами, мы скажем: определенно да.

4. Как защитить компьютеры?

Все затрагиваемые компании работают над выпуском патчей как можно скорее. К счастью, программные патчи доступны для Meltdown. Google, Microsoft и Mozilla выпускают патчи для своих браузеров как первую линию обороны.

Вот быстрые шаги, которые вы можете предпринять:

1. Обновите последнюю версию Chrome (выпускаемую 23 января) и Firefox 57.
2. Убедитесь, что установлен KB4056892 для Windows 10.
3. Пользователи Linux могут проверить KAISER.
4. Проверьте сайт OEM на предмет обновлений прошивки и информации поддержки и примените любые быстро.

Google говорит, что они исправили проблемы для своих Android-устройств (Nexus и Pixel) последними обновлениями безопасности.

Исследователи также работают над постоянным решением против будущего эксплуатирования Spectre. Поскольку это не легко исправить, оно будет преследовать нас еще некоторое время.

5. Замедлит ли исправление ваше устройство?

К сожалению, ответ — да. Несколько исследователей заявили, что любое исправление может замедлить ваше устройство до 30 процентов. Однако Intel считает, что это просто завышенные претензии. По мнению Intel, любое влияние на производительность зависит от рабочей нагрузки; для средних пользователей компьютеров влияние не должно быть значительным.

Это значит, если вы используете компьютер для проверки электронной почты и просмотра веба, вы не заметите никакой разницы.

6. Как отреагировала техническая индустрия и рынок?

Это, вероятно, одни из худших багов процессоров, когда-либо обнаруженных, и это огромное дело для всех технических индустрий. Им придется перепроектировать операционные системы и подправить архитектуру процессоров.

Google заявил, что уведомил затрагиваемые фирмы о баге Spectre в июне 2017 года, а позже информировал о баге Meltdown в июле.

В ноябре 2017 года CEO Intel Брайан Крзанич продал акции на 24 миллиона долларов. BusinessInsider сообщил, что он знал об уязвимости чипа, когда продавал акции.

Эти баги сильно бьют по акциям Intel, в то время как акции конкурента AMD растут.

Поскольку Spectre и Meltdown раскрывают очень фундаментальные недостатки в том, как структурированы компьютерные процессоры, будет серьезное влияние и переосмысление того, как такие технологии разрабатываются в будущем.

7. Кто сообщил об этих багах?

Уязвимость Meltdown была обнаружена и сообщена 3 командами — исследователями Cyberus Technology, Технического университета Граца и Google Project Zero.

Те же исследователи Google Project Zero и Технического университета Граца обнаружили и сообщили о Spectre.

8. Официальные ссылки

CVE (Common Vulnerabilities and Exposures) — стандарт для уязвимостей информационной безопасности, их имена и ID перечислены в системе MITRE и в базе данных национальных уязвимостей США.

Официальная ссылка на Meltdown — CVE-2017-5754, тогда как для Spectre — CVE-2017-5715 и CVE-2017-5753.