Badaczom podatności sprzętowych się nie nudzi w tym roku.Odkrycie podatności Spectre i Meltdown zapędziło ich doposzukiwania w procesorach kolejnych luk, za pomocą których możnawydobyć z pamięci wrażliwe dane. Tym razem kolejne rozdanie należydo Niemców. Magazyn c’t jako pierwszy doniósł o ośmiu nowychpodatnościach w procesorach Intela, wynikających z tego samegobłędu projektowego. Być może dotyczą też niektórych czipówAMD, a nawet układów w architekturze ARM – ale nie jest topotwierdzone. Łatki pewnie w końcu się pojawią, zapewne jeszczebardziej spowolnią nam komputery, a my będziemy mogli jedyniemarzyć o dniu, w którym zostawimy za sobą zaszłości XX wieku iprzejdziemy na współczesne architektury mikroprocesorowe, takie jakRISC-V.

bEUhzSXV

Do tej pory osobom postronnym niewiele tak naprawdę wiadomo. Ztego co ujawniłredaktor heise.de Martin Fischer, błędy zostały odkryte przezkilka niezależnych zespołów badaczy. Póki co jest ich osiem,każdy dostał swój numer CVE, w przyszłości każdy pewniedostanie swoją ładną nazwę, ale póki co nazywa się je zbiorowoSpectre-NG.

Cztery z tych błędów zostały przez Intela ocenione jakozagrożenia wysokiego stopnia. Pozostałe uznano za zagrożenieśredniego stopnia. Z nielicznych dostępnych informacji wynika, żepodobnie jak Spectre pozwalają one na odczytanie pamięci innegoprogramu poprzez ślady pozostawiane w operacjach na cache procesora,jednak różnią się w jednej kwestii – i to na gorsze.

Spectre-NG: Neue hochriskante Sicherheitslücken in Intel-Prozessoren

Jeden z tych błędów pozwalać ma na łatwe wyprowadzanie atakuz poziomu maszyny wirtualnej, uzyskując dostęp do pamięci hosta iinnych maszyn wirtualnych. To fatalna wiadomość dla operatorówchmur obliczeniowych – napastnik, który wynajmie u nich wirtualnyserwer może przejąć hasła i klucze kryptograficzne zarównoadministratora jak i innych klientów. W przeciwieństwie do Spectre,atak ten ma być też względnie łatwy do przeprowadzenia.

bEUhzSXX

Jak więc widać, zagrożenie dotyczy tego, co dziś w ITnajważniejsze – platform chmurowych. To one najbardziej ucierpiałyna łatkach wydanych przez Intela i AMD, jak równieżzabezpieczeniach wprowadzonych do Windowsa i Linuksa. Wydajnośćniektórych serwerowych obciążeń roboczych spadła wówczas naweto 40%. Kolejne poprawki nieco poprawiły stan rzeczy, ale nawetkilkunastoprocentowy spadek wydajności serwerów zmusił wiele usługi aplikacji do przeprojektowania architektury. Oczywiście nie zadarmo – dodatkowe maszyny wirtualne kosztują.

Trzeba też podkreślić, że te problemy z łatkami Spectre iMeltdown (problemy wydające się nie mieć końca – dopiero cookazało się, że łatka na Meltdown w Windowsie 10 była odpoczątku bezwartościowa) występują mimo tego, że producencisprzętu i oprogramowania wiedzieli o zagrożeniu ponad pół rokuwcześniej. Z nową rodziną luk, którą tu roboczo nazywamySpectre-NG, sytuacja może być jeszcze gorsza.

Czy możemy zaakceptować taki niekończący się strumień łatekna procesory? Magazyn c’t przywołuje opinię Wernera Haasa z firmyCerberus Technology, jednego ze współodkrywców Spectre/Meltdown.Jego zdaniem możliwe jest zbudowanie wydajnych procesorów, którejednocześnie będą bezpieczne. To jednak wymagałoby wzięciakwestii bezpieczeństwa pod uwagę już na samym etapie projektowaniaarchitektury. Czy Intel i AMD są w stanie odejść od umysłowychnawyków, w jakich tkwią od dziesięcioleci?

Póki co heise.de przedstawiła oficjalne komunikaty obu tychproducentów. Intel twierdzi, że ochrona danych klientów izapewnienie bezpieczeństwa produktom są dla niego najwyższympriorytetem. Regularnie współpracuje z klientami, partnerami,innymi producentami i badaczami aby zrozumieć i usunąć wszelkiewykryte problemy, a częścią tych działań jest rezerwowaniebloków numerów CVE. Intel wierzy też w wartość odpowiedzialnegoujawniania informacji i przedstawi dodatkowe informacje po tym, jakzostaną opracowane łatki. Póki co wszyscy powinniśmy aktualizowaćswoje systemy.

bEUhzSYd

AMD powiedziało w zasadzie to samo, ale najwyraźniej łatekjeszcze nie robi – jedynie jest świadome doniesień w mediach iprzygląda się sprawie. Więcej informacji udostępni gdy będzie nato czas.

A więc czekamy na więcej.

Programy

Aktualizacje
Aktualizacje
Nowości
Komentarze (95)
bEUhzSYT