El Chipocalypse 2018 no solo afectó a Windows y Linux, como se dijo en algunos lugares al principio. Los dispositivos iOS y Android también están en riesgo. Y si los administradores del sistema y los usuarios de PC competentes al menos se están preparando para un ataque, aunque sea mentalmente, los propietarios de teléfonos inteligentes no parecen pensar que se pueda acceder a sus contraseñas y otra información. ¿Cómo reaccionan Apple y Google ante la vulnerabilidad más grave de los procesadores durante todas las décadas de su existencia, y qué podemos hacer?
De que estamos hablando
Si alguien acaba de salir de la hibernación y se perdió las principales noticias de TI de 2018, Oleg Artamonov hizo excelentes críticas para Meltdown y para Spectre en GT. En resumen, estas son vulnerabilidades para casi todos los procesadores lanzados en los últimos veinte años (todos los chips con núcleos Intel, AMD, ARM). Durante la ejecución especulativa de las operaciones necesarias para aumentar la productividad, el chip potencialmente abre el acceso a los datos para aquellos procesos que no deberían haberlos recibido.
The Verge dibuja una analogía de Meltdown con un banco:
En el centro del banco hay una caja fuerte con contraseña. Junto a él hay un guardia de seguridad con una pistola. Si entras y abres la caja fuerte, te matarán. En una medida paralela, vas al banco y te matan, pero te las arreglas para buscar en la caja fuerte y gritar la contraseña. Y en esta dimensión, escuchas un grito con esta contraseña y obtienes acceso a los datos. Aunque nunca ingresaste a este banco.
Las vulnerabilidades Meltdown y Spectre se relacionan con los núcleos del procesador, es decir, este es un problema de hardware. Pero cuando (o si) se realiza malware debajo de ellos, recibirá acceso a esta vulnerabilidad, así como a sus contraseñas e información cifrada, a través del software. No puede comprar hierro nuevo "invulnerable", no existe (a excepción de los teléfonos muy antiguos lanzados a principios de siglo), por lo que la única forma de protegerse es seguir a los desarrolladores de sistemas operativos y sus recomendaciones.
En iOS
Apple lanzó su respuesta el jueves, el mismo día después de que los reporteros revelaron información sobre la presencia de vulnerabilidades de hardware en los microprocesadores. Ella confirmó que todos los dispositivos Mac e iOS están afectados por este problema. Todavía no hay exploits que funcionen, pero nuevamente se recomienda a los usuarios descargar aplicaciones de fuentes confiables (App Store) y no visitar sitios potencialmente peligrosos: los ataques son posibles a través de JavaScript.
El equipo de investigación, que descubrió Meltdown y Spectre, informó a todos los principales fabricantes de software y hardware en julio, e incluso hubo un parche para Windows 10 en noviembre que intentaba reducir la amenaza. Apple también lanzó dicho parche, iOS 11.2.1, en diciembre. El parche está diseñado para combatir Meltdown, y si ya ha actualizado el dispositivo a esta versión (ha estado disponible desde diciembre), los ataques de este lado aún no pueden temer. A juzgar por las pruebas de GeekBench 4, JetStream y Speedometer, el rendimiento del sistema no disminuye al instalar el parche.
No hay protección contra Spectre todavía. Pero la buena noticia es que será un orden de magnitud más difícil para los ciberdelincuentes desarrollar scripts para él, incluso para aplicaciones que se ejecutan localmente en un iPhone o iPad. Un exploit potencial solo puede aparecer en un navegador con JavaScript (y luego solo teóricamente). Para contrarrestar esto, Apple está trabajando en una actualización para Safari para iOS y macOS. La compañía promete que la desaceleración será inferior al 2.5%.
Apple Watch usa un tipo diferente de procesador, y las vulnerabilidades de Meltdown y Spectre no se ven afectadas inicialmente.
En Android
Los usuarios de Android corren un mayor riesgo. Google fue uno de los que encontró una vulnerabilidad en los chips y fue el primero en trabajar para solucionarlo. Logró desarrollar varios parches , especialmente para dispositivos Android con procesadores ARM. Y los lanzó para sus socios en diciembre. Pero cada desarrollador individual de teléfonos inteligentes no podrá desarrollar y lanzar rápidamente una actualización para su firmware. Además, los parches no afectan a todos los chips, y para la mayoría de los dispositivos todavía no hay una solución.
Los procesadores Intel son susceptibles a todo, los núcleos ARM son susceptibles a casi todo (desde Cortex-A53 y superior). Las vulnerabilidades se confirmaron en los procesadores Cortex-A15, Cortex A-17, Cortex A-72, Cortex-A75, y estos son Exynos 5, Exynos 7, Qualcomm Snapdragon 650, 652, 653, 808 y 810, Mediatek Helio X20. Samsung, LG, HTC, Xiaomi, Meizu y otros: para dispositivos a través de Meltdown y Spectre, sus dispositivos aún están abiertos.
Los más molestos, según ARM, en la categoría de "vulnerables" fueron los procesadores con la arquitectura Cortex-A73. Y este es el Snapdragon 835, insertado en la mayoría de los teléfonos inteligentes emblemáticos de 2017: Galaxy S8, S8 +, Note 8, Google Pixel 2, OnePlus 5, etc. Lo mismo ocurre con los buques insignia de 2015 con el procesador Snapdragon 810, en el que se encuentran los núcleos Cortex-A57. Es decir, cuanto más caro sea su teléfono inteligente, mayor será la probabilidad de que sea propenso a atacar.
La buena noticia es que si tiene un teléfono inteligente o tableta con núcleos ARM, que no se mencionan anteriormente, y el desarrollador de su dispositivo está en una etapa corta con Google, y ha instalado las últimas actualizaciones, debe estar seguro. Puede ingresar de manera segura a la banca por Internet e ingresar contraseñas de los sistemas de pago. Además, Google dice que ha desarrollado el nuevo parche Retpoline de Spectre, que apenas ralentiza el sistema. Ella ya trabaja en los productos de la compañía y debería ayudar a otros fabricantes.
Que se puede hacer
Hasta ahora, incluso las grandes corporaciones de TI están confundidas. Nadie tiene una solución elegante: puede ser necesario esperar el lanzamiento de procesadores con una nueva arquitectura para obtener una garantía total. Y esto es más de un año: los procesadores actuales ya están en desarrollo, y hasta ahora no los van a eliminar de la línea de ensamblaje ARM e Intel. Hasta ahora, nuestra seguridad está en nuestras propias manos. Hay algunas reglas (bastante obvias) a seguir:
1. Instale todas las actualizaciones de su fabricante.
Es posible que no nos digan qué contiene exactamente la actualización. Entonces, por ejemplo, Microsoft lo hizo para Windows 10 para no causar pánico, y también trataron de actualizar "silenciosamente" Linux. Para teléfonos inteligentes y tabletas, esto es aún más importante. El desarrollador de su dispositivo debería lanzar el parche literalmente esta semana (si aún no lo ha hecho). Y, muy probablemente, lanzará más de un parche protector después de eso, a medida que se encuentren nuevas soluciones al problema. El rendimiento del sistema puede disminuir en un 5-30%, pero de hecho no lo notará. Las aplicaciones y juegos más potentes hacen poco uso de las llamadas al sistema, y la caída de velocidad en ellas no debe superar el 3%.
Para los teléfonos inteligentes Apple, las actualizaciones de seguridad salieron en diciembre, para Samsung aún no (actualizaciones relacionadas con otros aspectos), pero se esperan en enero. Los dispositivos de Google, incluidos Nexus 5X, Nexus 6P, Pixel C, Pixel, Pixel 2, recibieron actualizaciones.
Asegúrese de actualizar su navegador.
2. Tenga cuidado con la instalación de nuevas aplicaciones.
Tener un parche [por ahora] no garantiza nada. Un parche, incluso si se adapta a su procesador, solo complica el uso de Spectre y Meltdown para romper el dispositivo. Y aquí debe comprender que si se crea un exploit que rompe un teléfono inteligente, casi con seguridad saldrá como una aplicación. Cualquier aplicación en ejecución tiene acceso al procesador durante la operación, y eso es todo lo que se necesita para aprovechar la vulnerabilidad. JavaScript en el navegador también es código ejecutado localmente, pero los nuevos Chrome, Firefox y Safari ya han hecho que sea extremadamente difícil usarlo en un ataque. Si no descarga aplicaciones no verificadas, especialmente APK de terceros sitios, las posibilidades de "capturar" un exploit se reducen considerablemente.
Instale un antivirus, especialmente si tiene Android. Compruebe siempre quién descargó la aplicación en App Store o en Google Play. No descargue utilidades innecesarias. La implementación práctica del malware es extremadamente difícil, y lo más probable es que los bancos y corporaciones ataquen, y no nuestras contraseñas de GT y Telegram en teléfonos inteligentes. Pero la probabilidad permanece, y hay suficiente malware en los teléfonos inteligentes y tabletas en nuestra cabeza. En 2017, se encontraron 90 millones de virus en el mundo, y a juzgar por las noticias de esta semana, este año amenaza con empeorar. Especialmente en relación con los últimos pronósticos de que los ataques de piratas informáticos en 2018 serán liderados por AI. Eso dice el 62% de los principales expertos en seguridad encuestados por Cylance.
Para Intel, por cierto, la situación actual puede convertirse en una ganancia: los chips que no contienen estas vulnerabilidades, que se lanzarán en un par de años, estarán en demanda como nunca antes. El más difícil de esos. las empresas tienen Microsoft y Amazon: sus servicios gigantes en la nube (AWS, Azure) y sus máquinas virtuales están bajo una gran amenaza, y si algunos piratas informáticos intentan "montar" Spectre y Meltdown, uno de los primeros ataques será lógico para dirigirlos.
PS
Nuevos dispositivos de EE. UU. Se pueden llevar a través de nosotros. Incluyendo un Apple Watch totalmente seguro con un procesador patentado. 30-40% más barato que en la Federación de Rusia, porque sin el Impuesto Mikhalkov y otros aranceles. Los lectores que ingresan el código GEEKTIMES después del registro reciben $ 7 en la cuenta.