reklama

Lukom w procesorach nie ma końca? Niemcy ostrzegają przed Spectre-NG

Strona główna Aktualności

O autorze

Hodowca maszyn wirtualnych i psów, poza tym stary linuksiarz, bonvivant i śmieszek. W 2012 roku napisał na DP o algorytmie haszowania Keccak i wciąż pamięta, jak on działa.

Badaczom podatności sprzętowych się nie nudzi w tym roku. Odkrycie podatności Spectre i Meltdown zapędziło ich do poszukiwania w procesorach kolejnych luk, za pomocą których można wydobyć z pamięci wrażliwe dane. Tym razem kolejne rozdanie należy do Niemców. Magazyn c’t jako pierwszy doniósł o ośmiu nowych podatnościach w procesorach Intela, wynikających z tego samego błędu projektowego. Być może dotyczą też niektórych czipów AMD, a nawet układów w architekturze ARM – ale nie jest to potwierdzone. Łatki pewnie w końcu się pojawią, zapewne jeszcze bardziej spowolnią nam komputery, a my będziemy mogli jedynie marzyć o dniu, w którym zostawimy za sobą zaszłości XX wieku i przejdziemy na współczesne architektury mikroprocesorowe, takie jak RISC-V.

Do tej pory osobom postronnym niewiele tak naprawdę wiadomo. Z tego co ujawnił redaktor heise.de Martin Fischer, błędy zostały odkryte przez kilka niezależnych zespołów badaczy. Póki co jest ich osiem, każdy dostał swój numer CVE, w przyszłości każdy pewnie dostanie swoją ładną nazwę, ale póki co nazywa się je zbiorowo Spectre-NG.

Cztery z tych błędów zostały przez Intela ocenione jako zagrożenia wysokiego stopnia. Pozostałe uznano za zagrożenie średniego stopnia. Z nielicznych dostępnych informacji wynika, że podobnie jak Spectre pozwalają one na odczytanie pamięci innego programu poprzez ślady pozostawiane w operacjach na cache procesora, jednak różnią się w jednej kwestii – i to na gorsze.

Jeden z tych błędów pozwalać ma na łatwe wyprowadzanie ataku z poziomu maszyny wirtualnej, uzyskując dostęp do pamięci hosta i innych maszyn wirtualnych. To fatalna wiadomość dla operatorów chmur obliczeniowych – napastnik, który wynajmie u nich wirtualny serwer może przejąć hasła i klucze kryptograficzne zarówno administratora jak i innych klientów. W przeciwieństwie do Spectre, atak ten ma być też względnie łatwy do przeprowadzenia.

Jak więc widać, zagrożenie dotyczy tego, co dziś w IT najważniejsze – platform chmurowych. To one najbardziej ucierpiały na łatkach wydanych przez Intela i AMD, jak również zabezpieczeniach wprowadzonych do Windowsa i Linuksa. Wydajność niektórych serwerowych obciążeń roboczych spadła wówczas nawet o 40%. Kolejne poprawki nieco poprawiły stan rzeczy, ale nawet kilkunastoprocentowy spadek wydajności serwerów zmusił wiele usług i aplikacji do przeprojektowania architektury. Oczywiście nie za darmo – dodatkowe maszyny wirtualne kosztują.

Trzeba też podkreślić, że te problemy z łatkami Spectre i Meltdown (problemy wydające się nie mieć końca – dopiero co okazało się, że łatka na Meltdown w Windowsie 10 była od początku bezwartościowa) występują mimo tego, że producenci sprzętu i oprogramowania wiedzieli o zagrożeniu ponad pół roku wcześniej. Z nową rodziną luk, którą tu roboczo nazywamy Spectre-NG, sytuacja może być jeszcze gorsza.

Czy możemy zaakceptować taki niekończący się strumień łatek na procesory? Magazyn c’t przywołuje opinię Wernera Haasa z firmy Cerberus Technology, jednego ze współodkrywców Spectre/Meltdown. Jego zdaniem możliwe jest zbudowanie wydajnych procesorów, które jednocześnie będą bezpieczne. To jednak wymagałoby wzięcia kwestii bezpieczeństwa pod uwagę już na samym etapie projektowania architektury. Czy Intel i AMD są w stanie odejść od umysłowych nawyków, w jakich tkwią od dziesięcioleci?

Póki co heise.de przedstawiła oficjalne komunikaty obu tych producentów. Intel twierdzi, że ochrona danych klientów i zapewnienie bezpieczeństwa produktom są dla niego najwyższym priorytetem. Regularnie współpracuje z klientami, partnerami, innymi producentami i badaczami aby zrozumieć i usunąć wszelkie wykryte problemy, a częścią tych działań jest rezerwowanie bloków numerów CVE. Intel wierzy też w wartość odpowiedzialnego ujawniania informacji i przedstawi dodatkowe informacje po tym, jak zostaną opracowane łatki. Póki co wszyscy powinniśmy aktualizować swoje systemy.

AMD powiedziało w zasadzie to samo, ale najwyraźniej łatek jeszcze nie robi – jedynie jest świadome doniesień w mediach i przygląda się sprawie. Więcej informacji udostępni gdy będzie na to czas.

A więc czekamy na więcej.

© dobreprogramy
reklama

Komentarze

reklama