Годината започна с доста сериозни проблеми за производителите на процесори. Оказва се, че още през юни миналата година експерти на Google са открили фундаментални пропуски в сигурността на практически почти всички модерни процесори на Intel, AMD и ARM. Сега информацията за тях и рисковете става публична, съобщава TechCrunch. Ето какво трябва да знаем за проблемите, които ще са известни с имената Meltdown и Spectre.
Какво представляват всъщност Meltdown и Spectre
Накратко, това са пропуски в метода на работа на процесорите. Чрез тях хакер може да използва зловреден код и да получи достъп до паметта на ядрото, в която се съхраняват паролите, ключовете за криптиране и друга важна информация, която системата трябва да пази защитена.
Проблемът засяга практически всички модерни процесори. Той е на архитектурно ниво и има общо с метода на работа на чиповете. Meltdown засяга най-вече процесорите на Intel, макар че на теория е възможно да се пресъздаде и за чиповете на AMD и ARM. Meltdown позволява заобикалянето на системата, която предпазва защитените данни да бъдат достъпни до обикновните приложения и процеси. Уязвимостта се възползва от начина, по който системата преценява коя заявка от приложение или процес за достъп до ядрото, е резонна и коя – не.
Spectre засяга процесори с архитектура на AMD, Intel и ARM. На практика това са почти всички устройства с чип в тях. Spectre е по-труден за реализиране, но и по-труден за поправяне. Той на практика позволява на приложения неволно да издават информацията, която иначе би се съхранявала в изолираната зона.
Кой е засегнат от Meltdown и Spectre?
Експертите са тествали чипове назад поне до 2011 г. На теория може би процесори от 1995 г. насам са засегнати. Тъй като проблемът е архитектурен, той засяга всички операционно системи еднакво. За Linux вече се разпространяват ъпдейти, които да отстранят поне уязвимостта на Meltdown. Кръпки се очакват и за Windows, macOS. Google вече е пуснала ъпдейти за Android, но доколко те ще стигнат до устройствата зависи от производителите.
Meltdown се реализира най-ленсо чрез код, който е на самата машина и доста по-трудно от разстояние. Освен това може да бъде използван на теория и в мрежови компютри.
Може ли да се предпазим от Meltdown и Spectre?
За съжаление, не изцяло. Google вече обяви, че е открила 3 потенциани отделни атаки, използващи един от двата проблема. За всяка от тях е нужно отделно решение. AMD и ARM казват, че в повечето ситуации процесорите им са защитени. Intel все още не е коментирала темата официално.
Meltdown може да се реши сравнително лесно чрез софтуерен ъпдейт. Цената ще е влошаване на производителността и забавяне на процесора с между 5% и 30%. Това ще зависи много от допълнителни фактори като софтуер, конфигурация, поколение на процесора и др.
При Spectre обаче ситуацията е по-тежка. За момента не е открит начин тя да бъде напълно решена, защото използва основен елемент от работата на процесорите. Могат да се направят краткосрочни решения, но няма как да се знае дали даден нов код в бъдеще отново няма да открие начин да се възползва от нея. Накратко, това означава, че занапред ще има множество ъпдейти, които да отстраняват нови и нови методи за използване на Spectre.
Част от тези ъпдейти вероятно ще водят до проблеми с драйвъри, с работата на по-стари приложения. Може да има и още забавяния на производителността. За съжаление, не изглежда да има друго реално решение на проблема. Единствено цялостно преосмисляне и преработка на начина на работа на процесорите, което никак няма да е лесно нито ще се случи скоро.
За сега единствената защита изглежда именно поредицата от ъпдейти, които се очакват в близко бъдеще, за да намалят рисковете максимално. За съжаление, тук проблемът отново остава доколко тези ъпдейти ще достигнат притежателите на по-стари устройства.
Все пак, очакванията са, че крайните потребители няма да са под особено голям риск. Атаките са доста специфични и сложни, което означава, че ще могат да се използват най-вече за конкретни цели – големи компании, дейта центрове и др. Но самата мисъл, че практически всички данни в компютъра са достъпни за всеки с достатъчно познания, не е приятно усещане.
Още от Digital: Google ще пусне ъпдейт до края на януари, за да предпази Аndroid смартфоните от новата заплаха Spectre
Discussion about this post