Бъгове в повечето съвременни компютърни процесори прави всичките ни устройства – не само компютри, но и смартфони - уязвими за хакерски атаки.
Гигантите в Силициевата долина знаят за проблема още от лятото на 2017-а, но са се договорили да пазят тайна, докато търсят решение. Детайли бяха оповестени във вторник, с дни по-рано от предвиденото, само защото информация за проблема се появи в The Register и още няколко интернет сайта.
Новооткритите опасности за сигурността на компютрите, смартфоните и личните ни данни в тях са причинени от т.нар. „спекулативно изпълнение“ (speculative execution) – техника, която се прилага от повечето модерни процесори (CPU) за оптимизиране на производителността.
Обяснено простичко става дума за това, че злонамерени лица биха могли да се възползват от това спекулативно изпълнение, за да получат достъп до системна памет, която би трябвало да е недостъпна.
Така например, някой може да се домогне до лична информация от паметта – паролите ни, ключове за достъп или друга тайна информация, отворена в дадена програма или приложение.
Посочените слабости засягат множество процесори, включително тези на големите производители AMD, ARM и Intel.
Защо е важно?
Защото в днешно време почти всеки от нас използва поне един такъв процесор в ежедневието си – дали в смартфона, настолния компютър или лаптопа си. В тези устройства не само съхраняваме лична информация, но често ги използваме и за финансови разплащания.
Бъговете, който засягат CPU-тата на големите производители, са проблем за всички потребители, защото дават нови възможности на хакерите да се доберат до чужда конфиденциална информация.
Това обяснява и паниката сред големите технологични компании да защитят своите операционни системи и прилежащ софтуер възможно най-бързо. А по този начин да предпазят и самите потребители.
Заговорът за опазване на тайната
За проблемите с процесорите, изглежда, се е знаело от поне няколко месеца, но компаниите са се разбрали да не го разкриват.
Опасността е открита още през лятото на 2017 г. от екипа на Project Zero на Google. От софтуерния гигант обясняват, че веднага след като са разбрали за тази „пробойна“, техните екипи са били мобилизирани, за да защитят системите на компанията и информацията на потребителите. Последвали са ъпдейти, които да предпазят засегнатите продукти.
Освен това е започнала съвместна работа с други производители на хардуер и софтуер, за да бъдат защитени и техните потребители, както и мрежата като цяло.
Оказва се, че е имало споразумение между компаниите проблемът да не бъде огласяван до 9 януари т.г., за да се избегне риска хакери да разберат за бъга и да се възползват от него.
Появата на информация за проблема в сайта The Register и последвалата вълна от спекулации обаче е накарала Google да разкрият за какъв проблем всъщност става дума.
Ясно е, че пазенето на тайната не е имало само за цел да предпази потребителите от атаки, но и да спаси компаниите от финансови щети. След като стана ясно за новите рискове, в сряда стойността на акциите на Intel падна с 3,65 процента.
"Врагът" си има имена
От Google обясняват, че за да могат да се възползват от откритите бъгове, хакерите първо трябва да намерят начин да подкарат зловреден код на набелязаната система. Това не е толкова трудно – може да стане чрез посещение в сайт или електронна поща, например.
От Project Zero са открили три метода (варианта) на атаки. При всеки от тях е възможно процес (всяка задействана програма на устройството) да получи неоторизиран достъп до паметта, която може да съдържа лична и тайна информация от различен тип. Например, както вече посочихме, паролите ви.
Няма едно единствено решение срещу всички три възможни атаки. Всяка от тях изисква независима защита, обясняват от Google.
Официално проблемите са два - Meltdown и Spectre.
Meltdown позволява на хакерите да прескочат "бариерата", която разделя пуснатите от потребителя приложения и основната памет на устройството. Т.е. за справяне с Meltdown е необходимо да се промени начина, по който операционната система работи с паметта.
Смята се, че Meltdown засяга основно процесорите на Intel, произведени от 1995 г. насам с изключение на сървърните чипове Itanium и Atom процесорите отпреди 2013 г.
Google, Microsoft и Amazon вече взеха мерки и разпространяват пачове, които да предпазят потребителите им от проблема.
В същото време подобни софтуерни пачове могат да забавят скоростта на компютърните устройства с между 20 и 30 процента, твърди независимият софтуерен инженер Андре Фройнд, цитиран от The New York Times.
Intel обаче поне частично отхвърли такива твърдения. От производителя на процесори твърдят, че забавянето на компютъра или смартфона зависи от това колко „натоварено е устройството“ и „средностатистическия потребител“ не би трябвало да усети сериозна разлика в производителността.
Ситуацията при Spectre е малко по-сложна. Този бъг засяга повечето модерни процесори, създадени от различни производители - включително Intel, AMD и тези, по които са работили ARM Holdings.
Той също позволява на хакерите да се доберат до тайна информация. За тях ще е по-трудно да се възползват от иязвимостта Spectre, но в същото време е по-трудно да бъде оправен бъга.
Intel вече излязоха с официално изявление по темата, в което се опитват да успокоят потребителите. Потвърждават, че различни типове компютърни устройства - с процесори от различни компании и различни операционни системи - са застрашени от този бъг, а не само техни.
От компанията изразяват убеденост, че използването на тези пробиви в сигурността няма потенциала “да развали, модифицира или изтрие информация".
В същото време в интернет вече има примери за това как Meltdown се използва за шпиониране на пароли:
Using #Meltdown to steal passwords in real time #intelbug #kaiser #kpti /cc @mlqxyz @lavados @StefanMangard @yuvalyarom https://t.co/gX4CxfL1Ax pic.twitter.com/JbEvQSQraP
— Michael Schwarz (@misc0110) January 4, 2018
#Meltdown in Action: Dumping memory (GIF version) #intelbug #kaiser /cc @misc0110 @lavados @StefanMangard @yuvalyarom pic.twitter.com/x46zvm60Mc
— Moritz Lipp (@mlqxyz) January 4, 2018
Може би обаче проблемите тепърва се задават.
Следващата седмица се очакват още ъпдейти, които по някакъв начин да предпазят нас и данните ни от Meltdown и Spectre.
Google публикува списък, в който е посочено дали потребителите трябва да вземат допълнителни мерки, за да се предпазят от бъговете и възможни хакерски атаки чрез тях.
Но косите на хората в големите технологични компании вече настръхнаха, което е достатъчно, за да се притесним всички ние.
