Поиск сообщества

Тема про все, связанное с уязвимостями на уровне CPU под названиями Meltdown (только процессоры Intel) и Spectre (Intel, AMD, многие ARM-процессоры). Если вы следили за новостями (или были в нашем чате в телеграме), то вы уже знаете о сути этих уязвимостей и об атаках, которые они открывают. Речь идет об уязвимостях в архитектуре современных процессоров на уровне железа. Они достаточно большие, их невозможно исправить с помощью микрокода (кода, который используется для функционирования самого процессора и не является частью операционной системы и других программ). Meltdown является наиболее опасной из них — он позволяет любой произвольной программе получать доступ к областям памяти, зарезервированным для операционной системы. С его помощью можно получить доступ к конфиденциальной информации, в частности к паролям, которые находятся в оперативной памяти. К примеру, в академической статье, которая описывает эту уязвимость, исследователи успешно извлекли пароли, которые сохранил менеджер паролей Mozilla Firefox. Spectre является чем-то вроде расширенной версии Meltdown, но более сложной. С другой стороны, он представляет потенциальную угрозу уже не только для процессоров Intel, но и для большей части современных процессоров в целом, включая процессоры, которые используются в смартфонах. Пара ключевых аспектов: 1. Эти уязвимости позволяют только получать информацию, но не менять ее. Они не позволяют «волшебным образом» получить доступ к компьютеру. Но, конечно, они могут помочь украсть, скажем, пароль администратора и таким образом все-таки предоставить доступ. 2. Для использования уязвимости «хакер» должен иметь возможность исполнять код на компьютере, который он/она атакуют. Проблема заключается в том, что этот код может быть даже исполняемым скриптом в браузере. 3. Обе уязвимости не дают 100% гарантию результата, а базируются на вероятностях. То есть «хакерский» код должен работать длительное время, чтобы гарантировать результат с высокой вероятностью. Однако, учитывая мощность современных процессоров, иногда длительное время не такое уж и длительное. Что надо делать: 1. Против Meltdown необходимо устанавливать обновления безопасности для операционных систем на компьютерах, где используются процессоры Intel. В данный момент известно, что уязвимость есть на практически всех процессорах, вышедших после 1995 года. Эту уязвимость можно исправить на уровне операционной системы. Антивирусный софт и другие программы крайне неэффективны против этой уязвимости. Имейте в виду, что обновление Windows вызывает проблемы с некоторыми антивирусными программами, так что антивирус тоже должен быть обновлен. Большая часть пользователей должны получить обновление автоматически, если они еще не получили его. 2. Против Spectre нет патчей и, скорее всего, не будет. 3. Соблюдать общие рекомендации для обеспечения информационной безопасности. Не храните пароли в браузере. Используйте разные пароли на всех сайтах. Критические пароли не стоит хранить в электронном виде вообще. В целом, за последние годы это, пожалуй, самый большой фейл в индустрии, связанный с безопасностью. Интересные ссылки Брюс Шнайер о теме (много линков на разную информацию): https://www.schneier.com/blog/archives/2018/01/spectre_and_mel_1.html Официальный сайт уязвимостей с академическими статьями: https://meltdownattack.com/ Простое техническое объяснение: https://lwn.net/SubscriberLink/742702/83606d2d267c0193/ Еще более простое объяснение: https://www.lawfareblog.com/spectre-advertising-meltdown-what-you-need-know Почему Raspberry Pi не затронут: https://www.raspberrypi.org/blog/why-raspberry-pi-isnt-vulnerable-to-spectre-or-meltdown/