Er Spectre og Meltdown fortsatt en trussel? Lappene du trenger
Annonse
Sårbarhetens avsløringer av Specter og Meltdown-prosessoren var en sjokkerende start på 2018. Sårbarhetene påvirker nesten alle prosessorer, i stort sett alle operativsystemer og arkitekturer. Prosessorprodusenter og utviklere av operativsystemer har raskt gitt ut lapper for å beskytte mot sårbarhetene.
Men det var noen alvorlige tennespørsmål også.
Nå, over ett år fra de første rapportene, er vi nærmere å virkelig fikse Meltdown og Specter-sikkerhetsproblemene?
Sikkerhetsproblemer med spekter og smelting
Specter- og Meltdown-sårbarhetene som ble oppdaget tidlig i 2018, fortsetter å påvirke databehandling. Meltdown påvirker spesielt Intel-mikroprosessorer som strekker seg tilbake til 1995. Levetiden til dette problemet betyr at de fleste av verdens Intel-prosessorer er i faresonen og til og med tjenester som Microsoft Azure og Amazon Web Services.
Spectre har en lignende global effekt. Specter-sårbarheten påvirker mikroprosessorer fra Intel, så vel som andre store designere, inkludert AMD og ARM. Dermed gjør Specter og Meltdown det meste av verdens databehandling sårbar, en situasjon som kan dateres tilbake over 20 år.
# Meltdown & #Spectre - En side-til-side-sammenligning # cybersecurity #DataBreach #humanfactors # CES2018 #malware #Technology
CC: @ ipfconline1 @JimMarous @evankirstel @MikeQuindazzi @pierrepinna @ jblefevre60 @ reach2ratan @KirkDBorne @Ronald_vanLoon pic.twitter.com/0S79P5jDbV
- Shira Rubinoff (@Shirastweet) 10. januar 2018
Forståelig nok fortsetter avsløringene å skape forbauselse for både forbrukere og bedrifter. Bekymringen er mangefasettert. Intel, AMD og ARM har alle utgitt oppdateringer for sårbarhetene; vil de lappene fungere? Er det enklere å erstatte hele lager av mikroprosessorer? Når kommer en helt sikker prosessor på markedet? Og hva med kostnadene?
"Vi har aldri sett en så ekspansiv feil som denne som påvirker bokstavelig talt alle store prosessorer, " sier David Kennedy, administrerende direktør i TrustedSec, som gjør penetrasjonstesting og sikkerhetskonsulent for selskaper.
“Jeg var på minst ti samtaler forrige uke med store selskaper og to i går som forklarte hva som skjer. De aner ikke hva de skal gjøre når det gjelder lapping. Det forårsaker virkelig rot. ”
Spekt Neste generasjon
Nei, det er ikke James Bond-Star Trek crossover du har drømt om. Specter Next Generation er den andre generasjonen av Specter-sårbarheter. Den andre generasjonen ble avdekket av Googles Project Zero (som også avslørte den første generasjonen).
Project Zero er Googles oppgavestyrke for å finne og avsløre nulldagers sårbarheter før ubehagelige personer oppdager dem.
Jeg har ikke tenkt å fordype meg i alle detaljene her, men her er en artikkel som forklarer implikasjonene av Spectre Next Generation Intels Specter Vulnerability Returns Like a Ghost from the Past Intels Specter Vulnerability Returns Like a Ghost from the Past Spectre / Meltdown avsløringer tidlig i 2018 rystet dataverdenen. Nå har sikkerhetsforskere avdekket åtte nye sårbarheter i Specter-stil som påvirker Intel CPUer, noe som kan bety at datamaskinen din er i ytterligere fare. Les mer .
Er det spekter og smeltedeler?
Det store utvalget av sårbare enheter gir et annet problem. Hver type maskinvare trenger en litt forskjellig individuelt utformet løsning. Lappeprosessen siden januar 2018 har vært intet mindre enn boggling.
Intel hastet med å utvikle og slippe en sikkerhetsoppdatering. Ulempen var alvorlige prestasjonsproblemer. Intel sa beryktet, “noen ytelsesvirkninger er arbeidsmengdeavhengige, og for den gjennomsnittlige datamaskinbrukeren skal ikke være betydelig og vil bli dempet over tid.” Uttalelsen var usant da og forblir slik i skrivende stund.
Selv nyere prosessorer som bare kommer til markedet, føler fortsatt effekten.
Den 22. januar 2018 trakk Intel tilbake en av sine Spectre-patcher fordi den forårsaket et tilfeldig omstartproblem. Intel foreslo at nettverksadministratorer ganske enkelt skulle tilbakestille alle oppdateringer som allerede er installert, og Intel konserndirektør Neil Shenoy sa "Jeg beklager alle forstyrrelser denne endringen i veiledningen kan føre til." VMware, Lenovo og Dell alle kunngjorde lignende kunngjøringer på samme tid.
I slutten av januar kunngjorde Microsoft også at Specter- og Meltdown-lappene for Windows 10 kompromitterte ytelsen og forårsaket tilfeldige dødelige feil, og bekreftet at sikkerhetsrettelsene deres var feil.
Oh, og Apple trakk tilsvarende påstander om beskyttelse mot eldre maskiner, og frigjorde en mengde lapper for High Sierra, Sierra og El Capitan.
Linus og Linux
Linus Torvalds, skaperen og hovedutvikleren av Linux-kjernen, er fortsatt sterkt kritisk til hele Spectre / Meltdown-lappeprosessen. (Hva er en kjerne, uansett? Linux Kernel: En forklaring i Laymans vilkår Linux Kernel: En forklaring i Laymans vilkår Det er bare en de facto ting som Linux-distribusjoner har til felles: Linux-kjernen. Men mens det ofte snakkes om, mange mennesker vet ikke helt nøyaktig hva det gjør. Les mer). Faktisk gikk Torvalds så langt som å erklære Intel-lappene som "KOMPLETT OG UTTER søppel."
Du kan lese resten av tiraden hans her. Det er vel verdt å lese.
Linus analyserte lappene. Han fant at Intel forsøkte å gjøre sikkerhetsoppdateringene valgfrie, så vel som OS-baserte, slik at de ikke trenger å gjennomgå CPU-designen deres fullstendig (som er det eneste alternativet for ekte sikkerhet - jeg vil forklare hvorfor i løpet av et øyeblikk).
Et alternativ vil være å utstede to patcher der en muliggjør sikkerhetsoppdateringer og en andre som implementerer rettelsene til kjernen.
I stedet hevder Torvalds at Intel tvinger de to sammen til å glans over ytelsestreffene ved å tillate en “Valgfri sikker modus”, der brukeren må velge sin CPU til å fikse og få ytelsen til å treffe kundens beslutning, i stedet for at Intel tar flak . Videre, hvis og når brukere starter opp et eldre operativsystem som ikke noen gang har kjent korreksjonsoppdateringen, vil de være øyeblikkelig sårbare.
29. januar ble Linux 4.15-kjernen gjort tilgjengelig, med nylig utvidede sikkerhetsfunksjoner i Intel- og AMD-CPUer på Linux-enheter. Og mens Linus Torvalds lønnet var Linux-fokusert, er det tydelig at Intel-lappene ikke var oppe på grunn av noe operativsystem.
Visste Kina noe om Spectre og Meltdown?
Til tross for at Intel unngår en kule angående inntektsrapportene sine (til tross for den kritiske sårbarheten som finnes i de fleste av verdens datamaskiner, kaster Intel fortjeneste ganske pent ut), tok Intel massevis av kritikk for å ha rapportert om både Meltdown og Spectre til sine enorme kinesiske kunder, som Alibaba og Lenovo, før den fortalte den amerikanske regjeringen.
Flere store amerikanske byråer ble bare gjort oppmerksom på Specter og Meltdown når rapportene ble offentlig, snarere enn noen varslingsprosess før avsløringen. Og selv om det ikke er noen indikasjon på at informasjonen ble brukt på urettmessig måte (f.eks. Sendt videre til og brukt av den kinesiske regjeringen), vekker den betydelig bekymring for Intels valg av hvem de skal informere.
Gitt dybden og omfanget av kinesisk internettovervåking, virker det helt usannsynlig at den kinesiske regjeringen ikke var klar over sårbarhetene før den amerikanske regjeringen.
Windows 10 Retpoline Specter Fix
Retpoline er en "programvarekonstruksjon for å forhindre injeksjon av grenmål." Med andre ord, det er en oppdatering som beskytter mot Spectre ved å introdusere en alternativ forutsigelsesgren som holder systemet trygt mot spekulasjonsangrep i stilstil.
I desember 2018 gjorde Microsoft retpoline-fiksen tilgjengelig for Insider-programmet. Insider-programmet og Insider Previews er der Microsoft tester den kommende versjonen av Windows 10 før den treffer mainstream-utgivelsen. Den siste oppdateringen, 19H1, inneholder retpoline-oppdateringen.
Imidlertid kunngjorde Microsoft i mars 2019 at retpoline-fixen er tilgjengelig for alle som ønsker å laste ned den. Det er et par bestemmelser:
- Systemet må kjøre Windows 10 oktober 2018-oppdatering.
- Fixet fungerer bare for pre-Intel Skylake-prosessorer og eldre (fixet fungerer også for AMD-maskiner, AMD-lesere).
Er du usikker på hvilken Windows 10-versjon du bruker for øyeblikket? Trykk Windows Key + I, deretter System> About. Du kan se din nåværende Windows-versjon under Windows-spesifikasjonen . Hvis det står 1809, kan du installere oppdateringen. Hvis ikke, må du vente til Windows-versjonen din tar igjen.
Retoline-oppdateringen, KB4470788, kommer til systemet ditt via den vanlige Windows Update-prosessen. Du kan imidlertid laste ned KB4470788-oppdateringen via Microsoft Update Catalog. Last ned riktig versjon for operativsystemarkitekturen (f.eks. X64 for 64-bit, x86 for 32-bit), og installer deretter.
Blir Spectre og Meltdown noen gang fikset for godt?
Den første generasjonen Spectre og Meltdown-lapper var midlertidige løsninger. Brukeren skal ikke falle på forbrukere for å aktivere sårbarheten som blokkerer oppdateringer, enn si å måtte bestemme avveiningen mellom sikkerhetsproblemer på kjernenivå og CPU-ytelsestreff. Det er rett og slett urettferdig, enn si helt uetisk.
Den langsomme utrullingen av retpoline-fikseringer er bedre for forbrukerne, lapper systemets sårbarheter og returnerer systemhastigheten tilbake til tidligere nivåer. Fortsatt er det noen brukere som ikke har fordelen med en retpoline-fix, så det er ikke et magisk båndhjelpemiddel.
Tilbake i begynnelsen av 2018 inneholdt Intels økonomiske rapport informasjon fra administrerende direktør Brian Krzanich som lovet at brikker med ekte maskinvarefeil ville begynne å sende i år. Dessverre utdypet Krzanich ikke hva den dristige uttalelsen betydde.
Men fordi Krzanich bekreftet Intel planer om å fortsette å utvikle sine 14nm produkter (Intel CPUer fra 2014 og framover - Kaby Lake, Coffee Lake, Skylake, etc.) gjennom 2018. Dette skaper muligheter: "in-silicon" -fikser for den nåværende generasjonen av CPUer og fikser for de kommende Cannon Lake-prosessorene, eller den ene eller den andre.
Senere i 2018 kunngjorde Intel at maskinvarefikser - det er en i silisium, prosessorbasert fix - kommer med den kommende Intel CPU-generasjonen. Noen fikser vil utrulles med lavkraftprosessor-serien, Whiskey Lake, mens flere kommer til å komme med de facto 10. generasjons prosessorer, Ice Lake. Den nye generasjonen Intel CPUer bør også beskytte mot Foreshadow-sårbarheten.
Tror du at du ikke blir påvirket av Spectre og Meltdown? Sjekk ut listen over maskinvare som ikke påvirkes av sikkerhetsproblemene. Er datamaskiner ikke berørt av Meltdown og Spectre-feilene? Er datamaskiner ikke berørt av Meltdown og Specter Bugs? Meltdown- og Specter-sårbarhetene har påvirket maskinvaren rundt om i verden. Det virker som om alt er usikkert. Men det er ikke tilfelle. Sjekk ut denne listen over sikker maskinvare og våre tips for fremtiden. Les mer, og tenk på nytt.
Utforsk mer om: Dataprosessor, Datasikkerhet, CPU, Malware.
