Er Spectre og Meltdown fortsatt en trussel? Lappene du trenger

Annonse

Sårbarhetens avsløringer av Specter og Meltdown-prosessoren var en sjokkerende start på 2018. Sårbarhetene påvirker nesten alle prosessorer, på nær praktisk talt alle operativsystemer og arkitekturer. Prosessorprodusenter og utviklere av operativsystemer har raskt gitt ut lapper for å beskytte mot sårbarhetene.

Men det var noen alvorlige tennespørsmål også.

Nå, over ett år fra de første rapportene, er vi nærmere å virkelig fikse Meltdown og Specter-sikkerhetsproblemene?

Sikkerhetsproblemer med spekter og smelting

Specter- og Meltdown-sårbarhetene som ble oppdaget tidlig i 2018, fortsetter å påvirke databehandling. Meltdown påvirker spesielt Intel-mikroprosessorer som strekker seg tilbake til 1995. Levetiden for dette problemet betyr at de fleste av verdens Intel-prosessorer er i faresonen og til og med tjenester som Microsoft Azure og Amazon Web Services.

Spectre har en lignende global effekt. Specter-sårbarheten påvirker mikroprosessorer fra Intel, så vel som andre store designere, inkludert AMD og ARM. Dermed gjør Spectre og Meltdown det meste av verdens databehandling sårbar, en situasjon som kan dateres tilbake over 20 år.

#Nedsmelting & #Spekter - En sammenligning fra side til side#cybersecurity#DataBreach#menneskelige faktorer# CES2018#skadevare#Teknologi

CC: @ ipfconline1@JimMarous@evankirstel@MikeQuindazzi@pierrepinna@ jblefevre60@ reach2ratan@KirkDBorne@Ronald_vanLoonpic.twitter.com/0S79P5jDbV

- Shira Rubinoff (@Shirastweet) 10. januar 2018

Forståelig nok fortsetter avsløringene å skape forbauselse for både forbrukere og bedrifter. Bekymringen er mangefasettert. Intel, AMD og ARM har alle utgitt oppdateringer for sårbarhetene; vil de lappene fungere? Er det enklere å erstatte hele lager av mikroprosessorer? Når kommer en helt sikker prosessor på markedet? Og hva med kostnadene?

"Vi har aldri sett en så ekspansiv feil som denne som påvirker bokstavelig talt alle store prosessorer," sier David Kennedy, administrerende direktør i TrustedSec, som gjør penetrasjonstesting og sikkerhetskonsulent for selskaper.

"Jeg var på minst ti samtaler forrige uke med store selskaper og to i går som forklarte hva som skjer. De aner ikke hva de skal gjøre når det gjelder lapping. Det forårsaker virkelig rot. "

Spekt Neste generasjon

Nei, det er ikke James Bond-Star Trek crossover du har drømt om. Specter Next Generation er den andre generasjonen av Specter-sårbarheter. Den andre generasjonen ble avdekket av Googles Project Zero (som også avslørte den første generasjonen).

Project Zero er Googles oppgavestyrke for å finne og avsløre sårbarheter på null dager før ubehagelige personer oppdager dem.

Jeg har ikke tenkt å gå inn på alle detaljene her, men her er en artikkel som forklarer implikasjoner av Spectre Next Generation Intels sikkerhetsproblem i Spectre vender tilbake som et spøkelse fra fortidenSpecter / Meltdown-avsløringene tidlig i 2018 rystet dataverdenen. Nå har sikkerhetsforskere avdekket åtte nye sårbarheter i Specter-stil som påvirker Intel CPUer, noe som kan bety at datamaskinen din er i større fare. Les mer .

Er det spekter og smeltedeler?

Det store utvalget av sårbare enheter gir et annet problem. Hver type maskinvare trenger en litt forskjellig individuelt utformet løsning. Lappeprosessen siden januar 2018 har vært intet mindre enn boggling.

Intel hastet med å utvikle og slippe en sikkerhetsoppdatering. Ulempen var alvorlige prestasjonsproblemer. Intel sa beryktet, “alle ytelseseffekter er arbeidsmengdeavhengige, og bør det for den gjennomsnittlige datamaskinbrukeren ikke være betydelig og vil bli dempet over tid. ” Uttalelsen var usant da og forblir slik på tidspunktet for skriving.

Selv nyere prosessorer som bare kommer til markedet, føler fortsatt effekten.

Den 22. januar 2018 trakk Intel tilbake en av sine Spectre-lapper fordi den forårsaket et tilfeldig omstartproblem. Intel foreslo at nettverksadministratorer ganske enkelt skulle tilbakestille alle oppdateringer som allerede er installert, med Intel konserndirektør Neil Shenoy sier "Jeg beklager alle forstyrrelser denne endringen i veiledningen kan føre til." VMware, Lenovo og Dell gjorde alle lignende kunngjøringer på samme tid.

I slutten av januar kunngjorde Microsoft også at Specter og Meltdown-lappene for Windows 10 kompromitterte ytelsen og forårsaket tilfeldige dødelige feil, og bekreftet at sikkerhetsrettelsene deres var buggy.

Oh, og Apple trakk tilsvarende påstander om beskyttelse mot eldre maskiner, og frigjorde en mengde lapper for High Sierra, Sierra og El Capitan.

Linus og Linux

Linus Torvalds, skaperen og hovedutvikleren av Linux-kjernen, er fortsatt sterkt kritisk til hele Spectre / Meltdown-lappeprosessen. (Hva er en kjerne, uansett? Hva er en kjerne i Linux, og hvordan kontrollerer du versjonen din?Linux er et operativsystem, ikke sant? Vel, ikke akkurat! Det er faktisk en kjerne. Men hva er Linux-kjernen? Les mer ). Faktisk gikk Torvalds så langt som å erklære Intel-lappene som "KOMPLETT OG UTTER søppel."

Du kan les resten av tiraden hans her. Det er vel verdt å lese.

Linus analyserte lappene. Han fant at Intel forsøkte å gjøre sikkerhetsoppdateringene valgfrie, så vel som OS-baserte slik at de ikke har det å fullstendig gjennomgå CPU-designen deres (som er det eneste alternativet for reell sikkerhet - jeg vil forklare hvorfor i en øyeblikk).

Et alternativ vil være å utstede to patcher der en muliggjør sikkerhetsoppdateringer og en andre som implementerer rettelsene til kjernen.

I stedet hevder Torvalds at Intel tvinger de to sammen til å glans over ytelsestreffene ved å tillate en "Valgfri sikker modus" der brukeren må velge sin CPU til å fikse og få ytelsen til å treffe kundenes beslutning, i stedet for at Intel tar flak. Videre, hvis og når brukere starter opp et eldre operativsystem som ikke noen gang har kjent koden, vil de være øyeblikkelig sårbare.

29. januar ble Linux 4.15-kjernen gjort tilgjengelig, med nylig utvidede sikkerhetsfunksjoner i Intel- og AMD-prosessorer på Linux-enheter. Og mens Linus Torvalds lønnet var Linux-fokusert, er det tydelig at Intel-lappene ikke var oppe for noe operativsystem.

Visste Kina noe om Spectre og Meltdown?

Til tross for at Intel unngår en kule angående inntektsrapportene sine (til tross for den kritiske sårbarheten som finnes i de fleste av verdens datamaskiner, tøffer Intel fortjeneste ganske Pent) tok Intel massevis av kritikk for å ha rapportert om både Meltdown og Spectre til sine massive kinesiske kunder, som Alibaba og Lenovo, før det ga beskjed til USA Myndighetene.

Flere store amerikanske byråer ble bare gjort oppmerksom på Specter og Meltdown når rapporter ble offentlig, snarere enn noen varslingsprosess før avsløringen. Og selv om det ikke er noen indikasjon på at informasjonen ble brukt på urettmessig måte (f.eks. Sendt videre til og brukt av den kinesiske regjeringen), vekker den betydelig bekymring for Intels valg av hvem de skal informere.

Gitt dybden og omfanget av kinesisk internettovervåking, virker det helt usannsynlig at den kinesiske regjeringen ikke var klar over sårbarhetene før den amerikanske regjeringen.

Windows 10 Retpoline Specter Fix

Retpoline er en "Programvarekonstruksjon for å forhindre injeksjon av grenmål." Det er med andre ord en lapp som beskytter mot Spectre ved å introdusere en alternativ prediksjonsgren, og holde systemet trygt mot spekulasjoner i Specter-stil angrep.

I desember 2018 Microsoft gjorde retpoline-fiksen tilgjengelig for sitt Insider-program. Insider-programmet og Insider Previews er der Microsoft tester den kommende versjonen av Windows 10 før den treffer mainstream-utgivelsen. Den siste oppdateringen, 19H1, inneholder retpoline-oppdateringen.

Imidlertid kunngjorde Microsoft i mars 2019 at retpoline-fixen er tilgjengelig for alle som ønsker å laste ned den. Det er et par bestemmelser:

• Systemet må kjøre Windows 10 oktober 2018-oppdatering.
• Fixet fungerer bare for pre-Intel Skylake-prosessorer og eldre (fixet fungerer også for AMD-maskiner, AMD-lesere).

Er du usikker på hvilken Windows 10-versjon du bruker for øyeblikket? trykk Windows Key + I, deretter System> Om. Du kan se din nåværende Windows-versjon under Windows spesifikasjon. Hvis det står 1809, kan du installere oppdateringen. Hvis ikke, må du vente til Windows-versjonen din tar igjen.

Retpoline-oppdateringen, KB4470788, kommer på systemet ditt via den vanlige Windows Update-prosessen. Du kan imidlertid laste ned KB4470788-oppdateringen via Microsoft Update Catalog. Last ned riktig versjon for operativsystemarkitekturen din (f.eks. X64 for 64-bit, x86 for 32-bit), og installer deretter.

Blir Spectre og Meltdown noen gang fikset for godt?

Den første generasjonen Spectre og Meltdown-lapper var midlertidige løsninger. Brukeren skal ikke falle på forbrukere for å aktivere sårbarheten som blokkerer oppdateringer, enn si å måtte bestemme avveiningen mellom sikkerhetsproblemer på kjernenivå og CPU-ytelsestreff. Det er rett og slett urettferdig, enn si helt uetisk.

Den langsomme utrullingen av retpoline-fikseringer er bedre for forbrukerne, lapper systemets sårbarheter og returnerer systemhastigheten tilbake til tidligere nivåer. Fortsatt har noen brukere ikke fordelen med en retpoline-fix, så det er ikke et magisk båndhjelpemiddel.

Tilbake i begynnelsen av 2018 inneholdt Intel-finansrapporten informasjon fra administrerende direktør Brian Krzanich som lovet at brikker med ekte maskinvarefeil ville begynne å sende i år. Dessverre utdypet Krzanich ikke hva den dristige uttalelsen betydde.

Fordi Krzanich bekreftet Intel planer om å fortsette å utvikle sine 14nm produkter (Intel CPUer fra 2014 og framover - Kaby Lake, Coffee Lake, Skylake, etc.) gjennom 2018. Dette skaper muligheter: “in-silicon” -fikser for den nåværende generasjonen av CPU-er og fikser for de kommende Cannon Lake-prosessorene, eller den ene eller den andre.

Senere i 2018 kunngjorde Intel at maskinvarefikser - det vil si en i silisium, prosessorbasert fix - kommer med den kommende Intel CPU-generasjonen. Noen fikser vil lanseres med prosessoren med lav effekt, Whiskey Lake, mens flere kommer til å komme med de facto 10. generasjons prosessorer, Ice Lake. Den nye generasjonen Intel CPUer burde det også beskytte mot Foreshadow-sårbarhetenogså.

Tror du at du ikke blir påvirket av Spectre og Meltdown? Sjekk ut liste over maskinvare som ikke påvirkes av sikkerhetsproblemene Er datamaskiner ikke berørt av Meltdown og Spectre-feilene?Meltdown- og Specter-sårbarhetene har påvirket maskinvaren rundt om i verden. Det virker som om alt er usikkert. Men det er ikke tilfelle. Sjekk ut denne listen over sikker maskinvare og våre tips for fremtiden. Les mer , og tenk nytt.