- 22 gennaio 2018
AGGIORNAMENTO
Nei primi giorni del 2018 si è posta l’evidenza su una vulnerabilità diffusa e di ampia portata nell'architettura dei processori Core di Intel così come nei processori AMD. La portata della vulnerabilità pare essere ampia, e riguarda dai processori ARM comunemente utilizzati in tablet e smartphone ai processori IBM POWER utilizzati nei supercomputer.
La confusione diffusa sulle marche delle CPU interessate può essere dovuta al fatto che questa non è una sola vulnerabilità, ma in realtà sono due vulnerabilità simili, soprannominate Meltdown e Spectre dai rispettivi scopritori. La vulnerabilità di Meltdown è limitata ai processori Intel, mentre Spectre colpisce AMD, ARM, IBM, Intel e possibilmente anche altri processori.
Le applicazioni installate su un dispositivo di solito funzionano in “modalità utente”, lontano dalle parti più sensibili del sistema operativo. Se una applicazione ha bisogno di accedere a un’area sensibile, ad esempio al disco, alla rete o al processore, deve richiedere un'autorizzazione per passare alla “modalità protetta”.
Nel caso di Meltdown, un cybercriminale può accedere alla modalità protetta e alla memoria senza richiedere alcuna autorizzazione, eliminando quindi tale barriera e, di conseguenza, aprendo le porte a un potenziale furto di informazioni dalla memoria delle app attive, come dati dai password manager, dai browser, dalle email, oltre a foto e documenti.
Ciò significa che una memoria arbitraria potrebbe essere letta sfruttando Meltdown, comprese informazioni su password, chiavi di cifratura, credenziali di accesso, numeri di carte di credito e tanto altro. Con Spectre, invece, potranno essere lette solo le memorie vulnerabili delle applicazioni. Ad esempio, se visitate un sito Internet, il codice JavaScript sul sito può leggere username e password salvate nella memoria del vostro browser.
Per molti anni, i produttori di processori - come Intel - sono stati in grado di correggere i difetti dell'architettura del processore attraverso aggiornamenti di microcodice, che scrivono un aggiornamento al processore stesso per risolvere un bug. All’inizio sembrava che le vulnerabilità potessero non essere risolvibili con un aggiornamento del codice a microprocessore Intel, tuttavia, ora sembra che possa essere possibile ridurre la vulnerabilità di Spectre nelle CPU Intel attraverso l'aggiornamento del codice a microprocessore, oltre a fornire una protezione aggiuntiva contro la vulnerabilità di Meltdown.
Poiché si tratta di bug che riguardano l’hardware, le patch sono più “complicate” da sviluppare. Per quanto riguarda Meltdown, sono state già emesse le patch per Linux, Windows e OS X ma pare che la prima serie di patch rallenterà in una certa misura i sistemi operativi.
L'entità esatta del rallentamento può variare. Intel ha dichiarato che la penalità delle prestazioni "non sarà significativa" per la maggior parte degli utenti, ma il sito, Linux oriented, Phoronix ha verificato penalità di prestazioni dal 5-30%, a seconda di ciò che il computer sta facendo.
I vendor colpiti sono diversi e Kevin Beaumont di DoublePulsar Security, ha annunciato su Twitter che sta monitorando la compatibilità del software anti-malware con le patch Microsoft in un foglio di calcolo di Google Docs.
Queste vulnerabilità hanno tre numeri CVE (uno standard quasi governativo per il monitoraggio delle vulnerabilità e delle esposizioni alla sicurezza informatica) assegnati loro:
Numero Descrizione CVE
CVE-2017-5715 Branch Target Injection, sfruttata da Spectre
CVE-2017-5753 Bounds Check Bypass, sfruttato da Spectre
CVE-2017-5754 Rogue Data Cache Load, sfruttato da Meltdown
In un avviso di sicurezza di Intel, INTEL-SA-00088 Speculative Execution e Indirect Branch Prediction Side Channel Analysis Method, elenca quarantaquattro (44) famiglie di processori interessati, ognuno dei quali può contenere decine di modelli.
ARM Limited ha rilasciato una consulenza dal titolo Vulnerabilità dei processori speculativi al meccanismo Cache Timing Side-Channel Mechanism che attualmente elenca dieci (10) modelli di processore interessati
Qui potete trovare tutti i Vendor potenzialmente coinvolti.
Qui troverai risorse utili fornite da Intel e da altri partner del settore:
Scopri i risultati di una nuova ricerca sulla sicurezza e i prodotti Intel >
Leggi le ultime notizie da Intel >
Ulteriori informazioni sul problema nel Google* Security Blog >
Come proteggere il tuo device da Meltdown e Spectre >
Fonte: Kaspersky , The Register , welivesecurity.com, Hackread, Intel