Ο κακός χαμός γίνεται τις τελευταίες ημέρες μετά τις αποκαλύψεις της ιστοσελίδας The Register σχετικά με τα δύο τεράστια bugs (Meltdown και Spectre) στην αρχιτεκτονική σχεδόν όλων των επεξεργαστών που γνωρίζουμε (Intel, AMD, ARM) τα τελευταία 10 χρόνια. Από την στιγμή που διαδόθηκε η είδηση είχαμε σωρεία διαψεύσεων, δηλώσεων, αντιφατικών ανακοινώσεων κλπ., επομένως, δεν θέλει και πολύ να χαθείς στην μετάφραση.
Τι είναι τα Meltdown και Spectre
Πρόκειται για bugs σε πολύ βασικό επίπεδο που αφήνουν εκτεθειμένα πολύ σημαντικά δεδομένα του χρήστη, τα οποία είναι αποθηκευμένα στον υπολογιστή. Στη μοντέρνα αρχιτεκτονική των επεξεργαστών (ο τρόπος με τον οποίο επικοινωνούν τα τρανζίστορ και οι λογικές μονάδες), βρέθηκε κενό ασφαλείας στο kernel (το πιο κεντρικό κομμάτι software) που επιτρέπει την διέλευση δεδομένων, όπως τα passwords και ευαίσθητες προσωπικές πληροφορίες.
Αυτά τα δεδομένα υποτίθεται ότι προστατεύονται στο μέγιστο δυνατό επίπεδο έτσι ώστε να μην έχουν πρόσβαση σε αυτά οι διάφορες εφαρμογές και προφανώς προγράμματα malware. Παρόλα αυτά, τα Meltdown και Spectre παρακάμπτουν αυτή την προστασία και τα αφήνουν εκτεθειμένα, το πρώτο στους επεξεργαστές της Intel και το δεύτερο στους επεξεργαστές Intel, AMD και ARM (π.χ. Qualcomm Snapdragon, Huawei Kirin, Samsung Exynos, MediaTek, Spreadtrum κλπ.), άρα πρακτικά παντού.
Ποιοι επηρεάζονται
Για την ώρα έχουν δοκιμαστεί επεξεργαστές από τη σημερινή εποχή μέχρι πίσω στο 2011, αλλά θεωρητικά το πρόβλημα μπορεί να πηγαίνει μέχρι και το 1995. Επειδή η φύση των Meltdown και Spectre είναι σε επίπεδο αρχιτεκτονικής, δεν έχει καμία σημασία το λειτουργικό σύστημα της συσκευής, επομένως, είτε μιλάμε για Windows, είτε για OS X, είτε για Android, είτε για iOS είναι το ίδιο, όπως φυσικά και οποιαδήποτε συσκευή (smartphones, tablets, laptops, desktops κλπ.).
Ειδικότερα το Meltdown μπορεί να διαδοθεί πολύ εύκολα και μέσω cloud σε χιλιάδες υπολογιστές που μοιράζονται και μεταφέρουν δεδομένα σε εκατομμύρια χρήστες, ωστόσο, είναι αρκετά πιο δύσκολο να πραγματοποιηθεί η επίθεση εξ αποστάσεως.
Μπορεί να διορθωθεί;
Σε ό,τι αφορά το Meltdown, το κενό μπορεί να κλείσει με patch ασφαλείας που θα κυκλοφορήσουν οι κατασκευάστριες εταιρείες. Αυτό ουσιαστικά θα ισχυροποιήσει το “τείχος ασφαλείας” γύρω από το kernel, αλλά για να συμβεί αυτό θα θυσιαστεί αυτόματα η απόδοση του επεξεργαστή. Ήδη ακούγεται ότι αυτή η μείωση θα είναι της τάξης του 5-30%.
Το Spectre, όμως, είναι αρκετά πιο πολύπλοκο να διορθωθεί, καθώς οι ερευνητές δεν έχουν καταφέρει μέχρι στιγμής να βρουν τρόπο πλήρους αντιμετώπισης του. Τουλάχιστον, οι μεγάλες εταιρείες έχουν ξεκινήσει ήδη το λανσάρισμα διάφορων patch που ψιλο-διορθώνουν την κατάσταση. Η Google ανακοίνωσε ότι η αναβάθμιση ασφαλείας του Ιανουαρίου θα προστατέψει τις συσκευές Android, η Microsoft κυκλοφόρησε αντίστοιχο update για το Windows OS, η Amazon αναβαθμίζει τους servers της κλπ.
Μια οριστική λύση θα δοθεί όταν αλλάξει ριζικά η αρχιτεκτονική των επεξεργαστών, επομένως, θα χρειαστεί αρκετός καιρός και οι κατασκευαστές hardware δεν θα περάσουν καθόλου ευχάριστα αυτό το διάστημα. Φυσικά, ούτε λόγος για ανάκληση των επεξεργαστών, αφού έχουμε να κάνουμε για σχεδόν οποιαδήποτε ηλεκτρονική συσκευή.
Update: Ανακοίνωση της Apple σχετικά με τα Meltdown και Spectre
H Apple εξέδωσε ανακοίνωση σχετικά με τα Meltdown και Spectre, με σκοπό να ενημερώσει τους χρήστες για ενδεχόμενα θέματα ασφαλείας.
Ποια προϊόντα επηρεάζονται;
Όλα οι συσκευές Mac και iOS, εκτός του Apple Watch (Meltdown).
Τι προτείνει η Apple;
Μην εγκαθιστάτε εφαρμογές στις συσκευές σας, από πηγές εκτός των App store.
Αναβαθμίσεις
Τα iOS 11.2, macOS 10.13.2 και tvOS 11.2 περιέχουν fixes προστασίας ενάντια στο Spectre και το Meltdown, ενώ θα ακολουθήσουν και νέα firmware updates στα iOS,
macOS, tvOS και watchOS καθώς και στο Safari.
Μειώση Απόδοσης
Meltdown: Τα bug fixes της Apple που δόθηκαν με την κυκλοφορία των iOS 11.2, macOS 10.13.2 και tvOS 11.2 δε φαίνεται να μειώνουν την απόδοση των συσκευών με macOS & iOS όπως έδειξαν μετρήσεις των GeekBench 4 αλλά και Web browsing benchmarks όπως τα Speedometer, JetStream και ARES-6.
Spectre: Η Apple θα δώσει σύντομα σε κυκλοφορία νέα αναβάθμιση του Safari για το macOS and iOS που θα διασφαλίζει τους χρήστες κατά του exploit. Οι μετρήσεις τις εταιρείας δείχνουν πως δεν υπάρχει μείωση της απόδοσης στα Speedometer και ARES-6 Web browsing benchmarks ενώ στο JetStream benchmark καταμετράται μείωση της απόδοσης κατά 2.5%.
Η ανακοίνωση της Apple
About speculative execution vulnerabilities in ARM-based and Intel CPUs
Security researchers have recently uncovered security issues known by two names, Meltdown and Spectre. These issues apply to all modern processors and affect nearly all computing devices and operating systems. All Mac systems and iOS devices are affected, but there are no known exploits impacting customers at this time. Since exploiting many of these issues requires a malicious app to be loaded on your Mac or iOS device, we recommend downloading software only from trusted sources such as the App Store. Apple has already released mitigations in iOS 11.2, macOS 10.13.2, and tvOS 11.2 to help defend against Meltdown. Apple Watch is not affected by Meltdown. In the coming days we plan to release mitigations in Safari to help defend against Spectre. We continue to develop and test further mitigations for these issues and will release them in upcoming updates of iOS, macOS, tvOS, and watchOS.
Background
The Meltdown and Spectre issues take advantage of a modern CPU performance feature called speculative execution. Speculative execution improves speed by operating on multiple instructions at once—possibly in a different order than when they entered the CPU. To increase performance, the CPU predicts which path of a branch is most likely to be taken, and will speculatively continue execution down that path even before the branch is completed. If the prediction was wrong, this speculative execution is rolled back in a way that is intended to be invisible to software.
The Meltdown and Spectre exploitation techniques abuse speculative execution to access privileged memory—including that of the kernel—from a less-privileged user process such as a malicious app running on a device.
Meltdown
Meltdown is a name given to an exploitation technique known as CVE-2017-5754 or "rogue data cache load." The Meltdown technique can enable a user process to read kernel memory. Our analysis suggests that it has the most potential to be exploited. Apple released mitigations for Meltdown in iOS 11.2, macOS 10.13.2, and tvOS 11.2. watchOS did not require mitigation. Our testing with public benchmarks has shown that the changes in the December 2017 updates resulted in no measurable reduction in the performance of macOS and iOS as measured by the GeekBench 4 benchmark, or in common Web browsing benchmarks such as Speedometer, JetStream, and ARES-6.
Spectre
Spectre is a name covering two different exploitation techniques known as CVE-2017-5753 or "bounds check bypass," and CVE-2017-5715 or "branch target injection." These techniques potentially make items in kernel memory available to user processes by taking advantage of a delay in the time it may take the CPU to check the validity of a memory access call.
Analysis of these techniques revealed that while they are extremely difficult to exploit, even by an app running locally on a Mac or iOS device, they can be potentially exploited in JavaScript running in a web browser. Apple will release an update for Safari on macOS and iOS in the coming days to mitigate these exploit techniques. Our current testing indicates that the upcoming Safari mitigations will have no measurable impact on the Speedometer and ARES-6 tests and an impact of less than 2.5% on the JetStream benchmark. We continue to develop and test further mitigations within the operating system for the Spectre techniques, and will release them in upcoming updates of iOS, macOS, tvOS, and watchOS.
