Meltdown και Spectre: Πανικός με τα κενά ασφαλείας σε όλους τους επεξεργαστές (Intel, AMD, ARM) που επηρεάζουν οποιαδήποτε συσκευή

Ο κακός χαμός γίνεται από εχτές μετά τις αποκαλύψεις της ιστοσελίδας The Register σχετικά με τα δύο τεράστια bugs (Meltdown και Spectre) στην αρχιτεκτονική σχεδόν όλων των επεξεργαστών που γνωρίζουμε (Intel, AMD, ARM) τα τελευταία 10 χρόνια. Από την στιγμή που διαδόθηκε η είδηση είχαμε σωρεία διαψεύσεων, δηλώσεων, αντιφατικών ανακοινώσεων κλπ., επομένως, δεν θέλει και πολύ να χαθείς στην μετάφραση. Γι' αυτό θα δούμε παρακάτω, με τη βοήθεια της εξαιρετικής ανάλυσης της ιστοσελίδας TechCrunch, τι ακριβώς συμβαίνει.

Τι είναι τα Meltdown και Spectre

Πρόκειται για bugs σε πολύ βασικό επίπεδο που αφήνουν εκτεθειμένα πολύ σημαντικά δεδομένα του χρήστη, τα οποία είναι αποθηκευμένα στον υπολογιστή. Στη μοντέρνα αρχιτεκτονική των επεξεργαστών (ο τρόπος με τον οποίο επικοινωνούν τα τρανζίστορ και οι λογικές μονάδες), βρέθηκε κενό ασφαλείας στο kernel (το πιο κεντρικό κομμάτι software) που επιτρέπει την διέλευση δεδομένων, όπως τα passwords και ευαίσθητες προσωπικές πληροφορίες.

Αυτά τα δεδομένα υποτίθεται ότι προστατεύονται στο μέγιστο δυνατό επίπεδο έτσι ώστε να μην έχουν πρόσβαση σε αυτά οι διάφορες εφαρμογές και προφανώς προγράμματα malware. Παρόλα αυτά, τα Meltdown και Spectre παρακάμπτουν αυτή την προστασία και τα αφήνουν εκτεθειμένα, το πρώτο στους επεξεργαστές της Intel και το δεύτερο στους επεξεργαστές Intel, AMD και ARM (π.χ. Qualcomm Snapdragon, Huawei Kirin, Samsung Exynos, MediaTek, Spreadtrum κλπ.), άρα πρακτικά παντού.

Ποιοι επηρεάζονται

Για την ώρα έχουν δοκιμαστεί επεξεργαστές από τη σημερινή εποχή μέχρι πίσω στο 2011, αλλά θεωρητικά το πρόβλημα μπορεί να πηγαίνει μέχρι και το 1995. Επειδή η φύση των Meltdown και Spectre είναι σε επίπεδο αρχιτεκτονικής, δεν έχει καμία σημασία το λειτουργικό σύστημα της συσκευής, επομένως, είτε μιλάμε για Windows, είτε για OS X, είτε για Android, είτε για iOS είναι το ίδιο, όπως φυσικά και οποιαδήποτε συσκευή (smartphones, tablets, laptops, desktops κλπ.).

Ειδικότερα το Meltdown μπορεί να διαδοθεί πολύ εύκολα και μέσω cloud σε χιλιάδες υπολογιστές που μοιράζονται και μεταφέρουν δεδομένα σε εκατομμύρια χρήστες, ωστόσο, είναι αρκετά πιο δύσκολο να πραγματοποιηθεί η επίθεση εξ αποστάσεως.

Μπορεί να διορθωθεί;

Σε ό,τι αφορά το Meltdown, το κενό μπορεί να κλείσει με patch ασφαλείας που θα κυκλοφορήσουν οι κατασκευάστριες εταιρείες. Αυτό ουσιαστικά θα ισχυροποιήσει το "τείχος ασφαλείας" γύρω από το kernel, αλλά για να συμβεί αυτό θα θυσιαστεί αυτόματα η απόδοση του επεξεργαστή. Ήδη ακούγεται ότι αυτή η μείωση θα είναι της τάξης του 5-30%.

Το Spectre, όμως, είναι αρκετά πιο πολύπλοκο να διορθωθεί, καθώς οι ερευνητές δεν έχουν καταφέρει μέχρι στιγμής να βρουν τρόπο πλήρους αντιμετώπισης του. Τουλάχιστον, οι μεγάλες εταιρείες έχουν ξεκινήσει ήδη το λανσάρισμα διάφορων patch που ψιλο-διορθώνουν την κατάσταση. Η Google ανακοίνωσε ότι η αναβάθμιση ασφαλείας του Ιανουαρίου θα προστατέψει τις συσκευές Android, η Microsoft κυκλοφόρησε αντίστοιχο update για το Windows OS, η Amazon αναβαθμίζει τους servers της κλπ.

Μια οριστική λύση θα δοθεί όταν αλλάξει ριζικά η αρχιτεκτονική των επεξεργαστών, επομένως, θα χρειαστεί αρκετός καιρός και οι κατασκευαστές hardware δεν θα περάσουν καθόλου ευχάριστα αυτό το διάστημα. Φυσικά, ούτε λόγος για ανάκληση των επεξεργαστών, αφού έχουμε να κάνουμε για σχεδόν οποιαδήποτε ηλεκτρονική συσκευή.

Γιατί το μάθαμε τώρα

Αν απορείτε γιατί βγήκε η ιστορία στη δημοσιότητα μόλις τώρα, ενώ οι ερευνητές ασφαλείας γνώριζαν τα Meltdown και Spectre εδώ και αρκετούς μήνες, η απάντηση είναι απλή. Σε περίπτωση που γινόταν γνωστά όλα αυτά από την αρχή, οι hackers θα είχαν πάρα πολλούς μήνες στη διάθεση τους για να εκμεταλλευτούν την κατάσταση. Οι ερευνητές ενημέρωσαν εξαρχής εμπιστευτικά τις εταιρείες για να προετοιμαστούν κατάλληλα και τους προηγούμενους μήνες είναι πολύ πιθανό ότι κάποιες από τις ενημερώσεις που λάβαμε στις συσκευές μας να περιελάμβαναν patches για τον περιορισμό των Meltdown και Spectre.

Αυτή είναι η συνηθισμένη πρακτική. Θα έβρισκαν τη λύση και έπειτα θα την παρουσίαζαν μαζί με το αρχικό πρόβλημα, αλλά οι δημοσιογράφοι της ιστοσελίδας The Register έκαναν σωστά τη δουλειά τους και τους εξέθεσαν.

[via, via, source]