Σημαντικές αδυναμίες ασφαλείας υπάρχουν σε επεξεργαστές Intel, AMD, ARM

Ευτυχισμένο το νέο έτος! Τρία τεράστια ελαττώματα ασφαλείας στην Intel, AMD, ARM και άλλους επεξεργαστές αποκαλύφθηκαν την Τετάρτη (3 Ιανουαρίου). Η Microsoft εξέδωσε μια ενημερωμένη έκδοση κώδικα έκτακτης ανάγκης για όλες τις υποστηριζόμενες εκδόσεις των Windows, συμπεριλαμβανομένων των Windows 7, Windows 8.1 και Windows 10, αλλά πρόσθεσε ότι οι χρήστες θα πρέπει επίσης να εφαρμόζουν ενημερώσεις υλικολογισμικού όταν είναι διαθέσιμες από τους κατασκευαστές συσκευών. Η Google διόρθωσε το ελάττωμα στο Android με την ενημέρωση Ιανουαρίου 2022-2023, που εκδόθηκε την Τρίτη (2 Ιανουαρίου), αν και μόνο οι συσκευές που διαχειρίζεται η Google το έχουν προς το παρόν. Τα μπαλώματα για macOS, iOS και Linux ενδέχεται να μην είναι ακόμη πλήρως διαθέσιμα.

Δύο επιθέσεις απόδειξης της ιδέας, που ονομάστηκαν "Meltdown" και "Spectre", εκμεταλλεύονται αυτά τα τρία ελαττώματα, τα οποία αφορούν τον τρόπο με τον οποίο οι σύγχρονοι επεξεργαστές υπολογιστών χειρίζονται την τρέχουσα μνήμη εφαρμογών και το βασικό σύστημα, ή πυρήνα, σε τρέχοντα λειτουργικά συστήματα.

"Το Meltdown και το Spectre λειτουργούν σε προσωπικούς υπολογιστές, φορητές συσκευές και στο cloud", λένε οι ιστότοποι που είναι αφιερωμένοι σε κάθε ελάττωμα και έχουν το ίδιο περιεχόμενο. "Ανάλογα με την υποδομή του παρόχου cloud, μπορεί να είναι δυνατή η κλοπή δεδομένων από άλλους πελάτες."

Μια ανάρτηση ιστολογίου Google εξήγησε ότι τα ελαττώματα επέτρεψαν έτσι ώστε "ένα μη εξουσιοδοτημένο μέρος να διαβάσει ευαίσθητες πληροφορίες στη μνήμη του συστήματος, όπως κωδικούς πρόσβασης, κλειδιά κρυπτογράφησης ή ευαίσθητες πληροφορίες που ανοίγονται σε εφαρμογές".

Το Meltdown διαγράφει τα όρια μεταξύ των διαδικασιών πυρήνα και των διαδικασιών χρήστη και φαίνεται να περιορίζεται στα τσιπ της Intel. Το Spectre κλέβει δεδομένα από εφαρμογές που εκτελούνται και λειτουργεί επίσης σε τσιπ AMD και ARM. Οι ιστότοποι Spectre και Meltdown δεν ανέφεραν λεπτομερώς πώς επηρεάστηκαν τα διάφορα chipsets που χρησιμοποιούνται σε φορητές συσκευές.

Ωστόσο, η AMD αρνήθηκε ότι επηρεάστηκε από οποιοδήποτε από τα ελαττώματα.

"Η AMD δεν είναι ευαίσθητη και στις τρεις παραλλαγές", δήλωσε η εταιρεία στο CNBC. "Λόγω διαφορών στην αρχιτεκτονική της AMD, πιστεύουμε ότι υπάρχει σχεδόν μηδενικός κίνδυνος για τους επεξεργαστές AMD αυτήν τη στιγμή."

Τι να κάνω

Εάν χρησιμοποιείτε Windows 7, 8.1 ή 10, θα πρέπει να εφαρμόσετε την ενημερωμένη έκδοση ασφαλείας των Windows που κυκλοφόρησε σήμερα. Οι πρώτες εκδόσεις των ενημερωμένων εκδόσεων στάλθηκαν στους χρήστες του Windows Insider τον Νοέμβριο και τον Δεκέμβριο.

"Βρισκόμαστε σε διαδικασία ανάπτυξης περιορισμών σε υπηρεσίες cloud και κυκλοφορούμε σήμερα ενημερώσεις ασφαλείας για να προστατεύσουμε τους πελάτες των Windows από ευπάθειες που επηρεάζουν τα υποστηριζόμενα τσιπ υλικού από την AMD, την ARM και την Intel", ανέφερε εν μέρει μια δήλωση της Microsoft. "Δεν έχουμε λάβει καμία πληροφορία που να υποδεικνύει ότι αυτά τα τρωτά σημεία έχουν χρησιμοποιηθεί για να επιτεθούν στους πελάτες μας."

Ωστόσο, υπάρχουν μερικά αλιεύματα. Πρώτον, εάν δεν χρησιμοποιείτε φορητό υπολογιστή ή tablet που διαθέτει Microsoft, όπως Surface, Surface Pro ή Surface Book, θα πρέπει επίσης να εφαρμόσετε μια ενημέρωση υλικολογισμικού από τον κατασκευαστή του υπολογιστή σας.

"Οι πελάτες που εγκαθιστούν μόνο τις ενημερώσεις ασφαλείας των Windows January 2022-2023 δεν θα επωφεληθούν από όλες τις γνωστές προστασίες έναντι των ευπαθειών", ανέφερε ένα έγγραφο υποστήριξης της Microsoft που δημοσιεύτηκε στο διαδίκτυο. "Εκτός από την εγκατάσταση των ενημερώσεων ασφαλείας του Ιανουαρίου, απαιτείται ένας μικροκώδικας επεξεργαστή ή υλικολογισμικό, αυτό πρέπει να είναι διαθέσιμο μέσω του κατασκευαστή της συσκευής σας. Οι πελάτες Surface θα λάβουν μια ενημέρωση μικροκώδικα μέσω ενημέρωσης των Windows."

Δεύτερον, η Microsoft επιμένει ότι οι πελάτες πρέπει να βεβαιωθούν ότι έχουν "υποστηρίξει" λογισμικό προστασίας από ιούς πριν από την εφαρμογή της ενημερωμένης έκδοσης κώδικα. Σε ένα ξεχωριστό έγγραφο που εξηγεί τη νέα ενημερωμένη έκδοση κώδικα ασφαλείας, η Microsoft λέει ότι μόνο τα μηχανήματα που χρησιμοποιούν τέτοιο λογισμικό θα λάβουν την ενημερωμένη έκδοση κώδικα αυτόματα.

Δεν είναι σαφές τι ακριβώς εννοεί η Microsoft με τον όρο "υποστηριζόμενο" λογισμικό προστασίας από ιούς ή γιατί η Microsoft επιμένει ότι ένα τέτοιο λογισμικό θα πρέπει να βρίσκεται στο μηχάνημα πριν από την εφαρμογή της ενημερωμένης έκδοσης κώδικα. Υπάρχει ένας σύνδεσμος προς ένα έγγραφο που υποτίθεται ότι εξηγεί όλα αυτά, αλλά από τη στιγμή που γράφτηκε αυτό αργά το βράδυ της Τετάρτης, ο σύνδεσμος δεν πήγε πουθενά.

Τέλος, η Microsoft παραδέχεται ότι υπάρχουν "πιθανές επιπτώσεις απόδοσης" που σχετίζονται με τις ενημερώσεις κώδικα. Με άλλα λόγια, αφού εφαρμόσετε τα επιθέματα, το μηχάνημα μπορεί να τρέξει πιο αργά.

"Για τις περισσότερες καταναλωτικές συσκευές, ο αντίκτυπος μπορεί να μην είναι αισθητός", αναφέρει η συμβουλευτική. "Ωστόσο, ο συγκεκριμένος αντίκτυπος ποικίλλει ανάλογα με την παραγωγή υλικού και την εφαρμογή από τον κατασκευαστή τσιπ."

Για μη αυτόματη εκτέλεση του Windows Update, κάντε κλικ στο κουμπί Έναρξη, κάντε κλικ στο εικονίδιο με το γρανάζι Ρυθμίσεις, κάντε κλικ στην επιλογή Ενημερώσεις και ασφάλεια και κάντε κλικ στην επιλογή Έλεγχος για ενημερώσεις.

Οι χρήστες της Apple θα πρέπει να εγκαταστήσουν μελλοντικές ενημερώσεις κάνοντας κλικ στο εικονίδιο της Apple, επιλέγοντας το App Store, κάνοντας κλικ στην επιλογή Ενημερώσεις και κάνοντας κλικ στην Ενημέρωση δίπλα σε οποιαδήποτε στοιχεία της Apple. Υπήρχε μια ανεπιβεβαίωτη αναφορά στο Twitter ότι η Apple είχε ήδη επιδιορθώσει τα ελαττώματα με το macOS 10.13.2 στις αρχές Δεκεμβρίου, αλλά οι αριθμοί αναγνώρισης ευπάθειας (CVE) που καλύπτονται στις ενημερώσεις κώδικα της Apple τον Δεκέμβριο δεν ταιριάζουν με αυτούς που έχουν εκχωρηθεί στο Meltdown και το Spectre.

Οι μηχανές Linux θα χρειαστούν επίσης επιδιορθώσεις και φαίνεται ότι κάτι μπορεί να είναι σχεδόν έτοιμο. Όπως αναφέρθηκε παραπάνω, η ενημερωμένη έκδοση κώδικα ασφαλείας του Ιανουαρίου2022-2023 διορθώνει το ελάττωμα, αν και μόνο ένα μικρό ποσοστό των συσκευών Android θα το λάβει προς το παρόν. (Δεν είναι σαφές πόσες συσκευές Android είναι ευαίσθητες.)

Πώς λειτουργούν οι επιθέσεις

Η επίθεση Meltdown, η οποία από όσο γνωρίζουν οι ερευνητές επηρεάζει μόνο τα τσιπ της Intel που αναπτύχθηκαν από το 1995 (εκτός από τη γραμμή Itanium και τη γραμμή Atom πριν από το 2013), επιτρέπει σε τακτικά προγράμματα να έχουν πρόσβαση σε πληροφορίες συστήματος που υποτίθεται ότι προστατεύονται. Αυτές οι πληροφορίες αποθηκεύονται στον πυρήνα, το βαθιά χωνευμένο κέντρο του συστήματος στο οποίο οι λειτουργίες των χρηστών δεν πρόκειται ποτέ να πλησιάσουν.

"Το Meltdown σπάει την πιο θεμελιώδη απομόνωση μεταξύ εφαρμογών χρηστών και λειτουργικού συστήματος", εξηγούν οι ιστότοποι Meltdown και Spectre. "Αυτή η επίθεση επιτρέπει σε ένα πρόγραμμα να έχει πρόσβαση στη μνήμη, και έτσι στα μυστικά άλλων προγραμμάτων και του λειτουργικού συστήματος."

"Εάν ο υπολογιστής σας έχει έναν ευάλωτο επεξεργαστή και εκτελεί μη συμβατό λειτουργικό σύστημα, δεν είναι ασφαλές να εργάζεστε με ευαίσθητες πληροφορίες χωρίς πιθανότητα διαρροής των πληροφοριών."

Το Meltdown ονομάστηκε ως τέτοιο επειδή "βασικά λιώνει τα όρια ασφαλείας που συνήθως επιβάλλονται από το υλικό".

Για να διορθώσετε το σχετικό ελάττωμα, η μνήμη του πυρήνα θα πρέπει να είναι ακόμη πιο απομονωμένη από τις διαδικασίες του χρήστη, αλλά υπάρχει ένα πρόβλημα. Φαίνεται ότι το ελάττωμα υπάρχει εν μέρει επειδή η κοινή χρήση μνήμης μεταξύ του πυρήνα και των διαδικασιών χρήστη επιτρέπει στα συστήματα να λειτουργούν πιο γρήγορα και η διακοπή αυτής της κοινής χρήσης μπορεί να μειώσει την απόδοση της CPU.

Ορισμένες αναφορές ανέφεραν ότι οι διορθώσεις θα μπορούσαν να επιβραδύνουν τα συστήματα έως και 30 τοις εκατό. Οι συνάδελφοί μας στο Tom's Hardware πιστεύουν ότι ο αντίκτυπος στην απόδοση του συστήματος θα ήταν πολύ μικρότερος.

Το Spectre, από την άλλη πλευρά, είναι καθολικό και «σπάει την απομόνωση μεταξύ διαφορετικών εφαρμογών», ανέφεραν οι ιστότοποι. "Επιτρέπει σε έναν εισβολέα να ξεγελάσει προγράμματα χωρίς σφάλματα, τα οποία ακολουθούν τις βέλτιστες πρακτικές, για να αποκαλύψουν τα μυστικά τους. Στην πραγματικότητα, οι έλεγχοι ασφαλείας των εν λόγω βέλτιστων πρακτικών αυξάνουν πραγματικά την επιφάνεια της επίθεσης και μπορεί να κάνουν τις εφαρμογές πιο ευαίσθητες στο Spectre."

"Όλοι οι σύγχρονοι επεξεργαστές που μπορούν να κρατήσουν πολλές οδηγίες κατά την πτήση είναι δυνητικά ευάλωτοι" στο Spectre. "Συγκεκριμένα, έχουμε επαληθεύσει το Spectre σε επεξεργαστές Intel, AMD και ARM."

Οι ιστότοποι εξηγούν ότι η ανίχνευση τέτοιων επιθέσεων θα ήταν σχεδόν αδύνατη και ότι το λογισμικό προστασίας από ιούς θα μπορούσε να εντοπίσει μόνο κακόβουλο λογισμικό που εισήλθε στο σύστημα πριν από την έναρξη των επιθέσεων. Λένε ότι το Spectre είναι πιο δύσκολο να ξεκινήσει από το Meltdown, αλλά ότι δεν υπήρχε καμία απόδειξη ότι παρόμοιες επιθέσεις είχαν εξαπολυθεί "στη φύση".

Ωστόσο, είπαν ότι το Spectre, το λεγόμενο επειδή καταχράται την κερδοσκοπική εκτέλεση, μια κοινή διαδικασία chipset, "θα μας στοιχειώνει για αρκετό καιρό".

Η χαμένη τέχνη του να κρατάς μυστικό

Η Intel, η AMD και η ARM ενημερώθηκαν από την Google για αυτά τα ελαττώματα τον Ιούνιο2022-2023 και όλα τα εμπλεκόμενα μέρη προσπάθησαν να τα διατηρήσουν όλα μέχρι να είναι έτοιμα τα μπαλώματα την επόμενη εβδομάδα. Αλλά οι ειδικοί στην ασφάλεια των πληροφοριών που δεν ήταν μυστικοί θα μπορούσαν να πουν ότι κάτι μεγάλο έρχεται.

Οι συζητήσεις σε φόρουμ ανάπτυξης Linux αφορούσαν ριζικές αναθεωρήσεις στον χειρισμό της μνήμης πυρήνα από το λειτουργικό σύστημα, ωστόσο δεν αποκαλύφθηκαν λεπτομέρειες. Άτομα με διευθύνσεις ηλεκτρονικού ταχυδρομείου Microsoft, Amazon και Google συμμετείχαν μυστηριωδώς. Ασυνήθιστα, οι επισκευές επρόκειτο να μεταφερθούν ξανά σε αρκετές παλαιότερες εκδόσεις του Linux, υποδεικνύοντας ότι διορθώθηκε ένα μεγάλο πρόβλημα ασφαλείας.

Αυτό πυροδότησε μερικές μέρες θεωρίες συνωμοσίας στο Reddit και το 4chan. Τη Δευτέρα (1 Ιανουαρίου), ένας blogger που αυτοαποκαλείται Python Sweetness "συνέδεσε τις αόρατες κουκκίδες" σε μια μακροσκελή ανάρτηση που περιγράφει πολλές παράλληλες εξελίξεις μεταξύ προγραμματιστών Windows και Linux σχετικά με τον χειρισμό μνήμης πυρήνα.

Αργά Τρίτη (2 Ιανουαρίου). Το Μητρώο συγκέντρωσε πολλές παρόμοιες πληροφορίες. Σημείωσε επίσης ότι οι υπηρεσίες Web Amazon θα πραγματοποιούν συντήρηση και επανεκκίνηση των διακομιστών cloud τους την ερχόμενη Παρασκευή το βράδυ (5 Ιανουαρίου). και ότι το Azure Cloud της Microsoft είχε σχεδιάσει κάτι παρόμοιο για τις 10 Ιανουαρίου.

Το φράγμα έσπασε την Τετάρτη όταν ένας Ολλανδός ερευνητής ασφαλείας έγραψε στο Twitter ότι είχε δημιουργήσει ένα σφάλμα απόδειξης της ιδέας που φαινόταν να εκμεταλλεύεται τουλάχιστον ένα από τα ελαττώματα.

Στις 3 μ.μ. EST Τετάρτη, η Intel, η οποία σημείωσε πτώση της μετοχής της κατά περίπου 10 τοις εκατό στις συναλλαγές εκείνης της ημέρας, εξέδωσε ένα δελτίο Τύπου που υποβάθμισε τα ελαττώματα, και η μετοχή της ανακτήθηκε ως εκ τούτου. Αλλά η εταιρεία παραδέχτηκε ότι τα ελαττώματα θα μπορούσαν να χρησιμοποιηθούν για την κλοπή δεδομένων και ότι αυτή και άλλοι κατασκευαστές τσιπ εργάζονται για να διορθώσουν το πρόβλημα.

"Η Intel και άλλοι προμηθευτές είχαν προγραμματίσει να αποκαλύψουν αυτό το ζήτημα την επόμενη εβδομάδα, όταν θα είναι διαθέσιμες περισσότερες ενημερώσεις λογισμικού και υλικολογισμικού", αναφέρεται στην ανακοίνωση. "Ωστόσο, η Intel κάνει αυτήν τη δήλωση σήμερα λόγω των τρεχουσών ανακριβών αναφορών των μέσων ενημέρωσης."

Στις 5 μ.μ., ο Daniel Gruss, μεταδιδακτορικός φοιτητής σε θέματα ασφάλειας πληροφοριών στο Τεχνικό Πανεπιστήμιο του Γκρατς στην Αυστρία, εμφανίστηκε για να ανακοινώσει το Meltdown και το Spectre. Είπε στον Zack Whittaker του ZDNet ότι "σχεδόν κάθε σύστημα" που βασίζεται σε τσιπ Intel από το 1995 επηρεάστηκε από τα ελαττώματα. Αποδείχθηκε ότι το πρόβλημα ήταν ακόμη χειρότερο.

Ο Gruss ήταν ένας από τους επτά ερευνητές του Graz που τον Οκτώβριο 2022-2023 δημοσίευσαν ένα τεχνικό έγγραφο που περιγράφει λεπτομερώς τα θεωρητικά ελαττώματα στον τρόπο χειρισμού του Linux από τη μνήμη του πυρήνα και πρότεινε μια διόρθωση. Η Python Sweetness, η ψευδώνυμη blogger στην οποία αναφέρθηκε στην αρχή αυτής της ιστορίας, ήταν προφανώς σωστή στο να μαντέψει ότι αυτό το χαρτί ήταν κεντρικό στο ελάττωμα της Intel που δουλεύεται τώρα.

Στις 6 μ.μ. EST, οι ιστότοποι Spectre και Meltdown έγιναν ζωντανοί, μαζί με ένα ιστολόγιο της Google που δημοσιεύει λεπτομερώς την έρευνα της ίδιας της εταιρείας. Αποδείχθηκε ότι δύο ομάδες είχαν ανακαλύψει ανεξάρτητα το Meltdown και τρεις διαφορετικές ομάδες είχαν βρει ταυτόχρονα το Spectre. Το Project Zero της Google και η ομάδα του Gruss στο Graz είχαν χέρι και στα δύο.

Πίστωση εικόνας: Natascha Eidl/Public domain