Klusa sabrukuma un spektra kļūda: kā tas ietekmē android un hroma lietotājus

Jūs, iespējams, dzirdējāt, ka debesis ir nokritušas un drošības apokalipse ir notikusi divu jaunu uzbrukumu ar nosaukumu Meltdown un Spectre dēļ. Ja strādājat IT vai kādā citā plaša mēroga datoru infrastruktūras jomā, jūs droši vien jūtaties tāds, kāds tas ir, un jau ceram uz jūsu 2018. gada atvaļinājumu dienām.

Plašsaziņas līdzekļu pārstāvji pirmoreiz dzirdēja baumas par šo visa veida mānīšanos 2017. gada beigās, un jaunākie ziņojumi bija mežonīgi spekulatīvi un visbeidzot piespieda tādus uzņēmumus kā Microsoft, Amazon un Google (kuru Project Zero komanda atklāja visu) atbildēt ar sīku informāciju. Šī informācija ir padarījusi interesantu lasījumu, ja jūs interesē šāda veida lietas.

Bet visiem pārējiem neatkarīgi no tā, kuru tālruni vai datoru izmantojat, daudz kas no tā, ko jūs lasāt vai dzirdat, varētu izklausīties kā tas ir citā valodā. Tas ir tāpēc, ka tā ir, un, ja vien jūs brīvi pārzināt kiber-geek-drošības-tehno-runā, jums, iespējams, nāksies to vadīt ar sava veida tulku.

Labas ziņas! Jūs atradāt šo tulkotāju, un šeit ir norādīts, kas jums jāzina par Meltdown un Spectre, un kas jums ar to jādara.

Kas tie ir

Meltdown un Spectre ir divas dažādas lietas, taču, tā kā tās tika atklātas vienlaikus un abas nodarbojas ar mikroprocesoru arhitektūru aparatūras līmenī, par tām tiek runāts kopā. Specter ekspluatācija gandrīz noteikti ietekmē pašreiz izmantoto tālruni, taču pagaidām neviens nav atradis veidu, kā to izmantot.

Procesors jūsu tālrunī nosaka, cik neaizsargāti tas ir pret šiem izmantošanas veidiem, taču drošāk ir pieņemt, ka visi tie ietekmē jūs, ja neesat pārliecināts. Un tā kā viņi neizmanto kļūdu un tā vietā izmanto procesu, kam vajadzētu notikt, bez programmatūras atjaunināšanas to nav viegli labot.

Paskaties uz tālruni tavās rokās; tas ir neaizsargāts pret dažiem no šiem uzbrukumiem.

Datori (ieskaitot tālruņus un arī citus sīkus datorus) drošības dēļ starp lietojumprogrammām paļaujas uz tā saucamo atmiņas izolāciju. Nevis atmiņa, kas ilgtermiņā tiek izmantota datu glabāšanai, bet gan atmiņa, ko izmanto aparatūra un programmatūra, kamēr viss darbojas reālajā laikā. Procesi datus glabā atsevišķi no citiem procesiem, tāpēc neviens cits process nezina, kur un kad tie tiek rakstīti vai lasīti.

Lietotnes un pakalpojumi, kas darbojas jūsu tālrunī, visi vēlas, lai procesors veiktu kādu darbu, un pastāvīgi sniedz tam sarakstu ar lietām, kas tām jāaprēķina. Procesors nedara šos uzdevumus saņemšanas secībā - tas nozīmētu, ka dažas CPU daļas ir dīkstāvē un gaida, kamēr citas daļas tiks pabeigtas, tāpēc otro darbību varētu veikt pēc pirmās darbības pabeigšanas. Tā vietā procesors var pāriet uz priekšu, lai sasniegtu trešo vai ceturto soli, un veikt tos pirms laika. To sauc par ārpus pasūtījuma izpildi, un visi mūsdienu CPU darbojas šādi.

Meltdown un Spectre neizmanto kļūdu - viņi uzbrūk tam, kā procesors aprēķina datus.

Tā kā CPU ir ātrāks nekā jebkura programmatūra varētu būt, tas arī mazliet uzminē. Spekulatīva izpilde ir tad, kad centrālais procesors veic aprēķinu, kas vēl nebija veikts, pamatojoties uz iepriekšējiem aprēķiniem, kurus tas tika lūgts veikt. Daļa no programmatūras optimizēšanas, lai nodrošinātu labāku CPU darbību, ir dažu noteikumu un instrukciju ievērošana. Tas nozīmē, ka parasti tiek ievērota normāla darbplūsma, un centrālais procesors var pāriet uz priekšu, lai būtu gatavi dati, kad programmatūra to pieprasa. Un tā kā tie ir tik ātri, ja galu galā dati nebija nepieciešami, tie tiek mesti malā. Tas joprojām notiek ātrāk, nekā tiek gaidīts pieprasījuma aprēķins.

Šī spekulatīvā izpilde ļauj gan “Meltdown”, gan “Spectre” piekļūt datiem, kurus citādi viņi nevarētu iegūt, lai gan viņi to dara atšķirīgi.

Sakust

Intel procesori, Apple jaunākie A sērijas procesori un citi ARM SoC, kas izmanto jauno A75 kodolu (pagaidām tas ir tikai Qualcomm Snapdragon 845), ir neaizsargāti pret Meltdown izmantošanu.

Meltdown izmanto tā saukto “privilēģiju eskalācijas trūkumu”, kas lietojumprogrammai piešķir piekļuvi kodola atmiņai. Tas nozīmē jebkuru kodu, kas var piekļūt šai atmiņas zonai - kur notiek kodola un kodola komunikācija - būtībā ir pieejams viss nepieciešamais jebkura koda izpildei sistēmā. Kad varat palaist jebkuru kodu, jums ir piekļuve visiem datiem.

Spekts

Spectre ietekmē gandrīz katru moderno procesoru, ieskaitot tālrunī izmantoto.

Spectre nav jāatrod veids, kā izpildīt kodu datorā, jo tas var "pievilināt" procesoru izpildīt tam paredzētās instrukcijas, pēc tam piešķirot piekļuvi citu programmu datiem. Tas nozīmē, ka ekspluatācija varētu redzēt, ko citas lietotnes dara, un nolasīt saglabātos datus. Spektam uzbrūk veids, kā centrālais procesors apstrādā instrukcijas nepareizi filiālēs.

Gan “Meltdown”, gan “Spectre” var atklāt datus, kuri būtu jānoņem smilšukastē. Viņi to dara aparatūras līmenī, tāpēc jūsu operētājsistēma nepadara jūs imunitāti - Apple, Google, Microsoft un visa veida atvērtā koda Unix un Linux operētājsistēmas tiek ietekmētas vienādi.

Tā kā tehnika ir pazīstama kā dinamiskā plānošana, kas ļauj nolasīt datus, jo tā ir skaitļošana, nevis vispirms jāuzglabā, RAM atmiņā ir daudz sensitīvas informācijas, lai uzbrukums varētu lasīt. Ja jūs interesē šāda veida lietas, aizraujoši ir Grāmatas Tehniskās universitātes publicētie fona attēli. Bet jums nav nepieciešams tos lasīt vai saprast, lai sevi aizsargātu.

Vai mani ietekmē?

Jā. Vismaz jūs bijāt. Būtībā visi tika ietekmēti, kamēr uzņēmumi sāka labot programmatūru pret šiem uzbrukumiem.

Programmatūra, kas jāatjaunina, atrodas operētājsistēmā, tas nozīmē, ka jums ir nepieciešams Apple, Google vai Microsoft ielāps. (Ja izmantojat datoru, kurā darbojas operētājsistēma Linux, bet neesat nonācis infosec, arī jau esat ieguvis labojumu. Izmantojiet programmatūras atjauninātāju, lai to instalētu, vai palūdziet draugam, kurš ir infosec, palīdzēt jums atjaunināt jūsu kodola). Satriecošās ziņas ir tādas, ka Apple, Google un Microsoft jau ir ieviesuši vai tuvākajā laikā gatavojas atbalstītajām versijām.

Specifikācijas

• Intel procesorus kopš 1995. gada, izņemot Itanium un ATOM platformu pirms 2013. gada, ietekmē gan Meltdown, gan Specter.
• Spektra uzbrukums ietekmē visus mūsdienu AMD procesorus. AMD PRO un AMD FX (AMD 9600 R7 un AMD FX-8320 tika izmantoti kā koncepcijas pierādījums) CPU ar nestandarta konfigurāciju (kodola BPF JIT iespējots) ietekmē Meltdown. Paredzams, ka līdzīgs uzbrukums sānu kanālu atmiņas lasīšanai ir iespējams pret visiem 64 bitu CPU, ieskaitot AMD procesorus.
• ARM procesori ar Cortex R7, R8, A8, A9, A15, A17, A57, A72, A73 un A75 kodoliem ir aizdomas par Spectre uzbrukumiem. Procesori ar Cortex A75 (Snapdragon 845) serdi ir neaizsargāti pret Meltdown uzbrukumiem. Paredzams, ka mikroshēmām, kas izmanto šo serdeņu variantus, piemēram, Qualcomm Snapdragon līnija vai Samsung Exynos līnija, būs arī līdzīgas vai tādas pašas ievainojamības. Qualcomm strādā tieši ar ARM, un viņam ir šāds paziņojums par šādiem jautājumiem:

Qualcomm Technologies, Inc. ir informēts par drošības pētījumiem par nozares mēroga procesoru ievainojamībām, par kuriem ir ziņots. Tehnoloģiju nodrošināšana, kas atbalsta stabilu drošību un privātumu, ir Qualcomm prioritāte, un tāpēc mēs esam strādājuši kopā ar Arm un citiem, lai novērtētu ietekmi un izstrādātu mazināšanas iespējas mūsu klientiem. Mēs aktīvi iekļaujam un izvēršam risku mazināšanu pret mūsu ietekmēto produktu ievainojamībām, un mēs turpinām strādāt, lai tos pēc iespējas stiprinātu. Mēs pašlaik izvietojam šos mazinājumus mūsu klientiem un mudinām cilvēkus atjaunināt savas ierīces, kad būs pieejami ielāpi.

• NVIDIA ir noteikusi, ka šīs izmantošanas (vai citas līdzīgas iespējas, kas var rasties) neietekmē GPU skaitļošanu, tāpēc to aparatūra lielākoties ir imūna. Viņi sadarbosies ar citiem uzņēmumiem, lai atjauninātu ierīču draiverus, lai palīdzētu mazināt visas CPU veiktspējas problēmas, un viņi novērtē savus uz ARM balstītos SoC (Tegra).

• Webkit - cilvēkiem, kas ir pārlūka Safari atveidotāju dzinējspēks, un Google Blink dzinēja priekštecim - ir lielisks sadalījums, kā tieši šie uzbrukumi var ietekmēt viņu kodu. Liela daļa no tā attiektos uz jebkuru tulku vai kompilatoru, un tas ir pārsteidzošs lasījums. Uzziniet, kā viņi strādā, lai to labotu un neļautu tam notikt nākamreiz.

Vienkārši runājot angļu valodā, tas nozīmē, ka, ja vien jūs joprojām nelietojat ļoti vecu tālruni, planšetdatoru vai datoru, jums vajadzētu sevi uzskatīt par neaizsargātu bez operētājsistēmas atjaunināšanas. Lūk, ko mēs līdz šim zinām šajā frontē:

• Google ir ielāgojis Android gan pret Spectre, gan Meltdown uzbrukumiem ar 2017. gada decembra un 2018. gada janvāra ielāpiem.
• Google 2017. gada decembrī ir nomainījis Chromebook datorus, izmantojot kodola versijas 3.18 un 4.4, izmantojot operētājsistēmu OS 63. Drīzumā tiks labotas arī ierīces ar citām kodola versijām (skatiet šeit, lai atrastu jūsu). Vienkārši runājot angļu valodā: Toshiba Chromebook, Acer C720, Dell Chromebook 13 un Chromebook Pixels no 2013. un 2015. gada (un daži vārdi, par kuriem jūs, iespējams, vēl nekad neesat dzirdējuši) vēl nav ievietoti, taču drīz būs pieejami. Lielākā daļa Chromeboxu, Chromebāžu un Chromebitu nav ielāpoti, bet drīz tiks parādīti.
• Chrome OS ierīcēm, kas nav ielāpotas, jauns drošības līdzeklis ar nosaukumu Vietnes izolācija mazinās visas šo uzbrukumu problēmas.
• Kopš 2018. gada janvāra korporācija Microsoft ir ielāgojusi abus izmantošanas veidus.
• Sākot ar decembra atjauninājumu, Apple ir labojis macOS un iOS pret Meltdown. Pirmā Specter atjauninājumu kārta tika izspiesta janvāra sākumā. Pārbaudiet iMore, lai uzzinātu visu, kas jums jāzina par šiem CPU trūkumiem un kā tie ietekmē jūsu Mac, iPad un iPhone.
• Uz visām atbalstītajām Linux kodola versijām ir nosūtīti ielāpi, un operētājsistēmas, piemēram, Ubuntu vai Red Hat, var atjaunināt, izmantojot programmatūras atjaunināšanas lietojumprogrammu.

Android specifikācijām Nexus 5X, Nexus 6P, Pixel, Pixel XL, Pixel 2 un Pixel 2 XL ir izlaboti, un drīz jums vajadzētu redzēt atjauninājumu, ja vēl neesat to saņēmis. Ja vēlaties, šīs ierīces varat arī manuāli atjaunināt. Ir arī ielāpots Android atvērtā koda projekts (kods, kas tiek izmantots OS izveidošanai katram Android tālrunim), un trešo pušu izplatījumus, piemēram, LineageOS, var atjaunināt.

Kā manuāli atjaunināt Pixel vai Nexus

Samsung, LG, Motorola un citi Android pārdevēji (uzņēmumi, kas ražo tālruņus, planšetdatorus un televizorus) liks savus produktus ar 2018. gada janvāra atjauninājumu. Daži, piemēram, Note 8 vai Galaxy S8, to redzēs pirms citiem, bet Google ir padarījusi plāksteri pieejamu visām ierīcēm. Mēs sagaidām, ka redzēsim vairāk jaunumu no visiem partneriem, lai paziņotu mums, ko un kad gaidīt.

Ko es varu darīt?

Ja jums ir produkts, kas ir viegli ievainojams, ir viegli nokļūt hipejā, taču jums to nevajadzētu darīt. Gan Spectre, gan Meltdown ne tikai "notiek", bet ir atkarīgi no tā, vai jūs instalējat kāda veida ļaunprātīgu programmatūru, kas tos piesaista. Ievērojot dažus drošus paņēmienus, būsit aizsargāts pret jebkura datora aparatūras izmantošanu.

• Instalējiet tikai programmatūru, kurai uzticaties, no vietas, kurai uzticaties. Šī ir laba ideja vienmēr, bet it īpaši, ja jūs gaidāt plāksteri.
• Nostipriniet ierīces ar labu bloķēšanas ekrānu un šifrēšanu. Tas ne tikai aizkavē citas personas atrašanos, jo lietojumprogrammas neko nevar darīt, kamēr tālrunis ir bloķēts bez jūsu atļaujas.
• Izlasiet un saprotiet atļaujas visam, ko palaižat vai instalējat tālrunī. Nebaidieties šeit lūgt palīdzību!
• Izmantojiet tīmekļa pārlūku, kas bloķē ļaunprātīgu programmatūru. Mēs varam ieteikt pārlūku Chrome vai Firefox, un citi pārlūkprogrammas var arī aizsargāt jūs pret tīmekļa ļaunprātīgu programmatūru. Jautājiet cilvēkiem, kuri tos izgatavo un izplata, ja neesat pārliecināts. Tālruņa komplektācijā iekļautā tīmekļa pārlūkprogramma šeit var nebūt labākā opcija, it īpaši, ja jums ir vecāks modelis. Edge un Safari ir uzticami arī Windows vai MacOS un iOS ierīcēm.
• Neatveriet saites sociālajos plašsaziņas līdzekļos, e-pastā vai nevienā ziņojumā no personas, kuru jūs nepazīstat. Pat ja tie ir no cilvēkiem, kurus pazīstat, pirms noklikšķināšanas vai pieskaršanās pārliecinieties, vai uzticaties savam interneta pārlūkam. Tas divkārši attiecas uz novirzīšanas saitēm, kas maskē vietnes URL. Mēs diezgan bieži izmantojam šāda veida saites, un iespējams, ka to izmanto arī daudzi tiešsaistes plašsaziņas līdzekļi. Esi uzmanīgs.
• Neesiet stulbi. Jūs zināt, ko tas jums nozīmē. Uzticieties savam spriedumam un rīkojieties piesardzīgi.

Labā ziņa ir tā, ka veids, kā tiek piestiprināti šie sānu kanāli, neradīs milzīgos palēninājumus, kas tika veikti pirms jebkādu atjauninājumu izlaišanas. Tieši tāpat darbojas tīmeklis, un, ja lasāt par to, kā tālrunis vai dators pēc jebkura labojuma ieviešanas būs par 30% lēnāks, tas notika tāpēc, ka sensacionālisms pārdod. Lietotāji, kuri izmanto atjauninātu programmatūru (un ir bijuši testēšanas laikā), to vienkārši neredz.

Plāksterim nav tādas veiktspējas ietekmes, kāds tika apgalvots, ka tas radīs, un tā ir lieliska lieta.

Tas viss notika tāpēc, ka šie uzbrukumi mēra precīzus laika intervālus un sākotnējie ielāpi maina vai atspējo dažu laika avotu precizitāti, izmantojot programmatūru. Mazāk precīzs nozīmē lēnāku skaitļošanu, un trieciens ir pārspīlēts, lai būtu daudz lielāks nekā tas ir. Pat nelieli veiktspējas samazinājumi, ko rada ielāpi, tiek mazināti citos uzņēmumos, un mēs redzam, kā NVIDIA atjaunina to, kā viņu GPU kraukšķē skaitļus vai Mozilla strādā pie tā, kā viņi aprēķina datus, lai padarītu to vēl ātrāku. Jūsu tālrunis 2018. gada janvāra ielāpā netiks lēnāks, tāpat arī jūsu dators, ja vien tas nav ļoti vecs, vismaz ne tik pamanāmā veidā.

Pārtrauciet uztraukties par to un tā vietā pārliecinieties, ka darāt visu iespējamo, lai jūsu dati būtu droši.

Ko no tā visa atņemt

Drošības bailēm vienmēr ir sava veida reāla ietekme. Neviens nav redzējis, ka savvaļā tiktu izmantotas Meltdown vai Spectre lietas, un tāpēc, ka lielākā daļa ierīču, kuras mēs izmantojam katru dienu, tiek atjauninātas vai drīzumā notiks, ziņojumi, iespējams, paliks šādi. Bet tas nenozīmē, ka tie būtu jāignorē.

Uztveriet nopietnus drošības draudus kā šis, bet neattiecieties uz visu; būt informētam!

Šīs sānu kanāla iespējas varēja kļūt par lielu, nopietnu spēli mainošu notikumu, par kuru cilvēki uztraucas, kad runa ir par kiberdrošību. Jebkura izmantošana, kas ietekmē aparatūru, ir nopietna, un, ja tā uzbrūk kaut kam mērķim, nevis kļūdai, tā kļūst vēl nopietnāka. Par laimi, pētnieki un izstrādātāji spēja noķert, saturēt un ielāpot Meltdown and Specter pirms jebkādas plašas izmantošanas.

Šeit patiešām svarīgi ir tas, ka iegūstat pareizo informāciju, lai jūs zināt, kā rīkoties katru reizi, kad dzirdat par jaunu kiberdzinēju, kas vēlas visas jūsu digitālās lietas. Parasti ir racionāls veids, kā mazināt jebkādas nopietnas sekas, kad esat izgājis garām visiem virsrakstiem.

Esiet drošībā!

Mēs, iespējams, nopelnīsim komisiju par pirkumiem, izmantojot mūsu saites. Uzzināt vairāk.