ESPECIAL Meltdown i Spectre: tot el que cal saber d'aquestes vulnerabilitats (ACTUALITZAT)

Se suposa que al voltant de l'20% dels recursos temporals i econòmics destinats a la creació d'un nou xip es destinen a el disseny en si, mentre que la resta, és a dir, molt de temps i diners, es destina a les simulacions, proves i tests realitzats per comprovar que tot funciona adequadament. Doncs bé, sembla que alguns fabricants no han fet les coses d'el tot bé amb els seus productes, i aquest és el cas d'Intel, Com veurem no és l'única afectada, però és que ja té un gran palmarès pel que fa a problemes amb els seus xips, des del famós problema de l'coma flotant, passant per altres forats en els seus chipsets, fins a la vulnerabilitat detectada també en el Management de cerca , i ara això ...

Totes les xarxes socials i mitjans s'han inundat de notícies, algunes una mica contradictòries sobre aquest cas que va a donar molt que parlar i que us aconsello fer un bon bol de crispetes per veure el culebró, ja que això només acaba de començar. Per això, perquè els usuaris, especialment els de Linux, no es perdin amb tanta informació i sàpiguen com actuar ia què s'atenen, a més de saber si estan o no afectats, Anem a publicar aquest article a LxA.

Què és Spectre i Meltdown?

Probablement el problema de Rowhammer que ja vam veure sigui una cosa insignificant comparat amb el calat que està tenint aquest un altre problema. Segurament ja has escoltat els famosos noms que estan sembrant el pànic, i aquests són Meltdown i Spectre. Aquests atacs que poden comprometre seriosament la nostra seguretat aprofiten algunes característiques com l'execució fora d'ordre i l'execució especulativa que s'implementa en tots els processadors contemporanis per millorar el rendiment. Anem per parts a explicar què és cada un:

• Desglaç: Es diu així perquè bàsicament fon els límits de seguretat entre aplicacions que són imposats pel maquinari, encara que en la base d'informació de MITRE se li coneix com CVE-2017-5754. És el més greu dels problemes que s'han detectat i afecta específicament als processadors d'Intel llançats en l'última dècada. Per culpa d'aquesta vulnerabilitat es podria accedir a un procés sense privilegis a una zona reservada a la memòria per al nucli, la qual cosa és un seriós problema de seguretat. Per exemple es podria bolcar zones de la memòria RAM. Els pegats per solucionar aquesta vulnerabilitat degraden bastant el rendiment.
• espectre: El seu nom rau en el complicat que resulta solucionar-ho, per tant com un espectre ens seguirà durant força temps. Apareix en un parell de variants (CVE-2017-5753 i CVE-2017-5717), sent potencialment greus, ja que pot permetre que un procés «enganyi» a l'nucli perquè mogui informació de zones de memòria que controla aquest procés, és a dir, trenca la barrera entre aplicacions. En aquest cas sí que afecta més microprocessadors, però pot arreglar amb simples modificacions del programari i la pèrdua de rendiment és pràcticament nul·la ...

Això és tot pel que fa a Meltdown i Spectre explicat d'una manera simple i sense usar llenguatge molt tècnic perquè tots ho entenguin. En definitiva el que hem vist és que Meltdown i Spectre poden accedir a dades guardades en memòria dels programes en execució i això amb gestes i codi maliciosos és una amenaça. Ara bé, i això en què em pot afectar a la meva. Doncs la resposta és senzilla també, ja que poden permetre modificar dades, filtrar contrasenyes i dades confidencials, fotos, emails, dades de formularis, etc.. Per tant és un gran problema de seguretat, probablement un dels més grans dels últims temps.

Linus Torvalds s'ha pronunciat

Linus Torvalds, El creador de NVIDIA Fuck you! ara sembla que li ha donat un toc d'atenció a Intel per l'error tan enorme que han comès. I en els fils de discussió sobre el problema que s'han mantingut per veure afectat el nucli Linux no s'han fet esperar les primeres paraules de l'creador:

Per què tot això s'ha sense opcions de configuració? Un enginyer de la CPU competent arreglaria això assegurant-se que l'especulació no passi a través de dominis de protecció. [...] Crec que intel necessita fer una ullada als seus CPU, i realment admetre que tenen problemes en lloc d'escriure una xerrameca de relacions públiques dient que tot funciona com ho van dissenyar. (Referint-se a les declaracions d'Intel). ...i això realment vol dir que tots aquests pegats per mitigar el problema haurien de ser escrits amb un «no tots els CPU són escombraries» en ment. (En referència al fet que el pegat s'aplica i afecta tots els microprocessadors x86-64, inclosos els AMD tot i no estar afectats amb la consegüent pèrdua de rendiment) O està Intel bàsicament dient 'estem compromesos a vendre't merda per sempre per sempre, sense arreglar res mai '? [...] Perquè si és el cas, potser hauríem de començar a mirar més cap al costat de la gent de ARM64 (Referint-se a si Intel va o no resoldrà el problema o seguirà venent productes problemàtics). Si us plau, parlin amb administració. Perquè jo realment veig exactament dues possibilitats:

1. Intel no pretén arreglar res mai.
2. O aquestes solucions tenen una forma de desactivar-se.

Les declaracions fan referència al fet que el codi de l' pegat aplicat perjudiquen seriosament a l'rendiment de la CPU i afecten tots els processadors d'aquesta família, estiguin o no afectats per la vulnerabilitat. Per això AMD ha indicat que treballen per evitar que els seus microprocessadors també tinguin la pèrdua de rendiment de l'pegat ja que no estan afectats.

A què processadors afecta?

Aquesta és la qüestió de l'milió, ja que no només afecta Linux ni de bon tros, És un problema de el xip i per tant afecta tant a macOS, com a Windows, Android i fins i tot iOS, etc. Per tant no és una cosa puntual, i ara veurem què xips estan afectats per aquest problema de disseny:

Microprocessadors afectats per Meltdown:

pràcticament tots els microprocessadors Intel fabricats des de 1995 fins a l'actualitat estan afectats per aquest greu problema, ja que aprofita l'execució fora d'ordre per al seu aprofitament. Això implica portàtils, sobretaules, servidors i superordinadors que usin aquests processadors, i fins i tot alguns dispositius mòbils amb xips Atom, etc. Les excepcions són els Intel Atom que fan servir una execució en ordre (els que van sortir abans de 2013, ja que els Atom més moderns sí que fan servir OoOE) i també els Itanium que ningú tindrà un a casa ja que estan destinats a grans màquines.

* DIARI DE: ARM Cortex-A75 també està afectat per Meltdown. De moment només aquest model sembla estar afectat, però ja saps que ARM llicència cores IP per a altres dissenyadors de SoCs i si aquests tenen un Cortex-A75 també estaran afectats. Però sí que sembla que l'afectació és mínima en aquest cas ...

Els microprocessadors AMD i els basats en ARM (Qualcomm, Samsung, Apple, Mediatek, etc.) no estan afectats per aquest problema. Si tens un d'aquests xips pots respirar tranquil... Això ha provocat que es venguin accions d'Intel i aquestes caiguin en la borsa de forma estrepitosa a el mateix temps que les d'AMD s'han incrementat. El motiu és que AMD no permet referències a memòria d'aquest tipus, incloses les referències especulatives, per tant són invulnerables a Meltdown.

Microprocessadors afectats per Spectre:

En aquest cas s'amplia el nombre de dispositius i xips afectats, Ja que també veiem com les tablets, smartphones, equips de sobretaula, portàtils, servidors, superordinadors, etc. estan afectats. En aquest cas els xips d'Intel estan afectats, tots aquells ARM Cortex-A, i també es podrien veure afectats els de AMD.

* En el cas d'ARM, afecta gran quantitat de SoCs que implementen dissenys modificats o nuclis IP ARM en el seu interior com els de Qualcomm Snapdragon, Samsung Exynox, Apple A-Series, Mediatek, NVIDIA (no em refereixo a les GPUs, sinó als SoCs basats en ARM), etc.

*** Alguns mitjans han confós la notícia, però les GPUs no estan afectades (vegeu ACTUALITZACIÓ (última hora)).

** Ara anem a el cas d'AMD, a la web oficial de l'dissenyador de CPU podem veure una taula que ens porta a l'optimisme i ens deixa una mica més tranquils:

Les diferències en el disseny d'AMD evita els problemes causats per Meltdown, ja que aquestes CPU no especulen les càrregues de codi d'usuari directament a la memòria de l'nucli. I el ASID d'AMD també bloqueja els problemes per als guest VMs i usuaris root en aquests.

Microprocessadors NO afectats per Spectre:

Aquesta llista de microprocessadors estan nets de vulnerabilitats com Spectre causa que la seva llera d'instruccions és més rigorós i es fa en ordre (no són microarquitectures OoOE) o perquè inclouen característiques que els fan immunes. Alguns et poden semblar molt antics, però altres en canvi són força moderns com és el cas de SPARC i els AMD Zen. Així que si tens una CPU que estigui en la següent llista no has de preocupar-te per res:

• StrongARM
• SuperSPARC
• Transmeta Crusoe i Efficeon
• PowerPC 603
• x86 vells: Pentium I i clons, tots els vells xips de 8 bits i 16 bits, IDT WinChip, VIA C3, 386 i clons, 486 i clons
• z80
• 6500 i similars
• 68k
• ARM Cortex-A7 MPCore (Raspberry Pi 2)
• ARM Cortex-A5
• ARM Cortex-A53 MPCore tot i que té una execució diferent als anteriors i amb bifurcació, no sembla estar afectat. S'inclouen aquí els de la Raspberry Pi 3 i alguns smarphones i tablets com els Qualcomm Snapdragon 625 ...
• Intel Atom anteriors a 2013, és a dir, els basats en microarquitectures com Diamondville, Silverthorne, Pineview, etc.-, ja que no fan servir execució fora d'ordre.
• VIA C7 fa servir un esquema bàsic de predicció de bifurcacions però no es veuen afectats.
• Itanium (IA-64)
• IBM POWER6 té predicció de bifurcacions limitada així que sembla que és invulnerable.
• Xeon Phi i GPGPUs
• SPARC T Sèries
• AMD Zen: Els microprocessadors Ryzen i EPyC tenen interessants funcions per poder interrompre o ser invulnerables a Spectre. Aquesta configuració de la qual parlo és SME / SEV (Secure Memory Encryption & Secure Encrypted Virtualization) que evitaria qualsevol recuperació de memòria que pogués comprometre el sistema i entorns de virtualització.

Quina és la solució?

Cercar pegats o actualitzar el nostre sistema, Sigui el que sigui, i amb els pegats tindrem una possible pèrdua de rendiment que aclarirem quin és en l'últim punt, però al menys a nivell de seguretat estarem una mica més protegits. Dir que ja hi ha pedaços contra Meltdown per a Linux, i altres sistemes operatius. El pitjor és que fa als dispositius Android, que no tots gaudeixen d'actualitzacions per OTA ...

podeu veure Més informació a l'respecte a aquests enllaços:

• Llista de correu del kernel de Linux
• Xen Project
• Intel
• AMD
• ARM
• google
• Mozilla
• Debian
• Ubuntu
• SUSE
• Red Hat
• CERT
• VMWare
• Citrix

Quina és la pèrdua de rendiment?

Ens trobem amb dues possibles solucions:

1. per programari: Implica implementar pegats per als sistemes operatius macOS, Linux, Windows, iOS i Android, però aquests desgraciadament no vénen només a resoldre el problema de seguretat sinó que van a fer que el nostre sistema sigui més lent a causa de la manera en què actuen afectant aquesta execució fora d'ordre, l'execució especulativa o esborrant el TLB de la nostra CPU amb pèrdues bastant notables de rendiment. Alguns parlaven de fins a un 50% menys de rendiment en la nostra CPU, altres prediccions menys negatives parlen d'entre 5 i 30% de rendiment perdut segons el tipus de programari que executem. Alguns estan intentant calmar l'alarma i al·leguen que alguns videojocs sobre els quals s'han realitzat proves tan sols han donat una pèrdua de el 2% de l'rendiment pel que fa a FPS (només en el cas de Linux, en Windows no han estat analitzats), ja que en els videojocs rarament el joc demana saltar a l'espai de l'nucli, però què passa amb altres programes i amb programari el codi tinguin moltes instruccions dependents de condicions ... ¿? Aquí la pèrdua de rendiment sí que pot ser considerable. El que sí és cert és que alguns com Intel i altres webs han intentat calmar els usuaris i dir que les pèrdues de rendiment no seran apreciables per a la majoria d'usuaris domèstics i que es tracta d'un problema que afectarà més a datacenters, servidors, i superordinadors ... A què previsions creiem? La veritat és que caldrà mantenir la calma i esperar a veure què passa.
2. per maquinari: Implica una revisió dels xips actuals i un redisseny de les actuals microarquitectures perquè això no passi, la qual cosa porta molt de temps, és molt costós, i no podem esperar solucions aviat. En el fet que Intel es decideixi a substituir els xips de tots els seus clients afectats jo crec que la resposta més clara és: jajaja, espera assegut. Això suposaria pèrdues multimilionàries per a la companyia i no crec que passi.

Les pèrdues de rendiment no es notaran en tots els usos i tots els models de CPU de la mateixa manera, evidentment, així que caldrà models que es vegin més afectats que altres. I sí, és una gran putada pagar per un xip d'última generació i veure que per un d'aquests pegats no pots explotar el seu rendiment a el 100%, però és el que hi ha quan alguns no fan bé la seva feina.

Ja s'han vist afectats grans centres de dades com els de Amazon Web Service, Microsoft Azure i també Google Cloud per aquest problema a l'usar microprocessadors Intel en els seus servidors, les pèrdues de rendiment s'estimen al voltant de l'20% en aquests casos on es manegen bases de dades SQL. També és cert que altres com Google diuen que la pèrdua de rendiment és insignificant.

ACTUALITZACIÓ (Ultima hora):

A mesura que passen les hores anem coneixent coses noves sobre aquest cas:

• Una d'elles és la demanda contra Intel que no s'ha fet esperar. Concretament el gegant dels xips ha rebut tres dels Estats Units i possiblement vinguin més. Els tribunals de Califòrnia, Indiana i Oregon han estat els primers a actuar per acusacions com fallada a l'revelar l'existència de vulnerabilitats a temps, alentir els seus processadors mitjançant les actualitzacions i fallar a l'hora de protegir la seguretat dels usuaris.
• Les accions d'Intel cauen mentre les d'AMD repunten, i això també ha deixat en evidència una acció que de no haver ocorregut això hagués passat inadvertida. I és que el CEO d'Intel ha venut gairebé la meitat de les seves accions en un mes just abans que es revelés la fallada de seguretat. Brian Krzanich s'ha desfet de les seves accions i això, encara que diuen des de la companyia que no té res a veure amb la notícia, podria fer pensar que suposadament ja coneixien el problema abans i per això va actuar en conseqüència.
• apareixen noves arquitectures afectades pel problema, Encara que aquestes no estiguin tan esteses sí que són importants en servidors i superordinadors. Parlem de Power8 d'IBM (Little Endian i Big Endian), IBM System Z, IBM POWER9 (Little Endian) i veurem si hem d'ampliar la llista promptament.
• El nucli Linux ha estat redissenyat amb pegats per evitar que els grans centres de dades, servidors i grans sistemes que depenen d'ell es vegin greument afectats. Concretament s'ha tocat el KPTI (Kernel Page Table Isolation), que abans es coneixia com KAISER o col·loquialment FUCKWIT (Forcefully Unmap Complete nucli With Interrupt Trampolins), que aïlla millor l'espai d'usuari de l'espai de l'nucli en memòria dividint el contingut en dos taules de paginació per separat. A l'dividir la taula s'està constantment purgant la memòria cau de l'TLB amb el consegüent augment de fallades i necessitat de més cicles de rellotge per buscar dades i instruccions en la memòria, és a dir, disminueix el rendiment considerablement i en funció de les trucades a sistema que faci un programa afectarà més o menys, però al menys evita que es exploti Meltdown. S'han agregat algunes defenses proactives com ASLR i han estat implementades en Linux 4.14.11 i altres versions LTS anteriors: 4.9.74, 4.4.109, 3.16.52, 3.18.91 i 3.2.97.
• Estimacions de les pèrdues de rendiment més actuals parlen d'un 5% de pèrdua de rendiment segons ha comentat Linus Torvalds, però també diu que en CPU alguna cosa més antigues que no inclouen PCID l'impacte seria bastant més gran.
• De moment els investigadors de seguretat no creuen que aquestes fallades hagin estat aprofitats per a realitzar atacs, a el menys importants.
• Luke Wagner de Mozilla, Un enginyer especialitzat en JavaScript i WebAssembly ha afirmat que han realitzat POCS i es confirma que es poden realitzar atacs basats en JavaScript a través dels navegadors. Per tant ja treballen en solucions ... Google també està treballant per actualitzar Google Chrome i el 23 de gener es publicarà Chrome 64 amb el enmiendo. De moment podem fer el següent:
  • Mozilla Firefox: No cal fer molt, ells s'han encarregat d'actualitzar les seves versions des de la 57 modificant la funció performance.now () i deshabilitant la característica SharedArrayBuffer i treballen en altres mesures de seguretat.
  • Google Chrome: Mentrestant pots activar mecanismes de protecció per aïllar llocs webs de forma manual. Per a això pots accedir a l'adreça chrome: // flags / # enable-site-per-process i habilitem l'opció marcada en groc que diu Script Site Isolation. Si tens Chrome en Android també pots accedir a aquesta opció en chrome: // banderes però pot generar conflictes o pèrdua de rendiment.
• Els pegats per arreglar els problemes estan generant altres més enllà de l'rendiment. Al Windows per exemple està havent problemes amb alguns antivirus i es generen pantallazos blaus pel conflicte. Així que es necessiten antivirus compatibles ...
• Google treballa en una actualització que es publicarà avui 5 de gener de 2018 per Android, però només arribarà a aquells telèfons que admetin hi via OTA, els primers seran els Pixel 2 i la resta dependrà dels fabricants del nostre terminal ...
• poma també prepara pegats per iOS i per macOS però no han realitzat declaracions de moment ... Sembla que en macOS High Serra 10.13.2 s'ha solucionat aparentment el problema, però sembla que en la versió 10.13.3 hi haurà més novetats. Veurem què fan amb iOS per als seus iPhones i iPads.
• ARM també està oferint pegats per als seus processadors afectats, i els pegats ja estan disponibles per al nucli Linux a més de recordar-nos que s'usi el ARM Trusted Firmware per a més seguretat.
• Wine i el programari d evirtualización són els tipus de programari que podrien tenir més pèrdues de rendiment en la seva execució per la quantitat de syscalls necessàries per a la seva execució.
• No només estan afectats els ordinadors i dispositius mòbils, també altres dispositius com els cotxes connectats, sistemes industrials que tenen SoCs basats en els xips afectats, domòtica, certs productes IoT, etc.
• NVIDIA ha actualitzat els seus controladors per als seus models GeGorce, Quadro i NVS perquè podrien estar afectats per Spectre en el seu controlador, per això s'han afanyat a actualitzar els drivers. Però no afecta la GPU a si ... és uma simple actualització de l'driver per evitar gestes en sistemes vulnerables, com també s'estan actualitzant navegadors, antivirus, i altres programari. Les notícies de les GPUs afectades són falses ...
• Ampliació d'arquitectures afectades, ja saps que Meltdown és només problema d'Intel (tant ARM com AMD no s'han pogut veure afectades en les POCS realitzades de manera satisfactòria), mentre que Spectre també afecta:

• Mentrestant Intel segueix llançant models a el mercat afectats sense haver solucionat res més enllà dels pegats .. Compraries avui un microprocessador que saps que està afectat? No només se segueixen venent models més antics en estoc, sinó també models llançats ara que acaben de sortir de la factoria com els Coffe Lake ...
• Seguirem ampliant la informació i pendents de l'última hora, Ja que és probable que sorgeixin noves contramesures de seguretat i també és possible que es treguin variants noves que puguin seguir generant problemes ...

com dic el culebró només acaba de començar, I tinc la sensació que s'escriurà molt d'aquesta notícia que s'ha convertit en LA FALLADA DE SEGURETAT MÉS GRAN DE LA HISTÒRIA:

No oblidis deixar els teus comentaris... Si tens comentaris que afegir, dubtes, o el que sigui.