7

Apenas empezando 2018 casi todos los medios mundiales se hacen eco de un grave fallo de seguridad llamado Meltdown and Spectre, que afecta de manera especial a los equipos con procesadores Intel.

  • ¿En qué consiste Meltdown and Spectre?
  • ¿Se podrá corregir a nivel de software?
1

1 respuesta 1

19
+100

Se trata en realidad de dos fallos de seguridad descubiertos hace poco (a finales de 2017).

¿En qué consiste?

Existe ya una página de referencia bastante documentada, llamada meltdownattack.com. Allí se explica con sencillez en qué consiste el fallo:

Meltdown y Spectre aprovechan las vulnerabilidades críticas en los procesadores modernos. Estos errores de hardware permiten a los programas robar datos que actualmente se procesan en la computadora. Si bien los programas normalmente no tienen permiso para leer datos de otros programas, un programa malicioso puede explotar Meltdown y Spectre para obtener secretos almacenados en la memoria de otros programas en ejecución. Esto podría incluir sus contraseñas almacenadas en un administrador de contraseñas o un navegador, sus fotos personales, correos electrónicos, mensajes instantáneos e incluso documentos críticos para el negocio.

Meltdown y Spectre trabajan en computadoras personales, dispositivos móviles y en la nube. Dependiendo de la infraestructura del proveedor de la nube, podría ser posible robar datos de otros clientes.

Como ya se ha dicho antes, son dos tipos de ataques diferentes:

Meltdown

Meltdown rompe el aislamiento más fundamental entre las aplicaciones del usuario y el sistema operativo. Este ataque permite que un programa acceda a la memoria y, por lo tanto, también a los secretos de otros programas y del sistema operativo.

Si su computadora tiene un procesador vulnerable y ejecuta un sistema operativo no parcheado, no es seguro trabajar con información confidencial sin la posibilidad de filtrar la información. Esto se aplica tanto a las computadoras personales como a la infraestructura de la nube. Afortunadamente, hay parches de software contra Meltdown.

¿Qué sistemas se ven afectados por Meltdown?

Las computadoras de escritorio, portátiles y computadoras en la nube pueden verse afectadas por Meltdown. Más técnicamente, cada procesador Intel que implemente la ejecución fuera de servicio puede verse potencialmente afectado, es decir, cada procesador desde 1995 (excepto el Intel Itanium e Intel Atom anteiores a 2013).

Se ha probado con éxito Meltdown en las generaciones de procesadores Intel lanzadas ya en 2011. Actualmente, solo se ha verificado Meltdown en procesadores Intel. Por el momento, no está claro si los procesadores ARM y AMD también se ven afectados por Meltdown.

¿Qué proveedores en la nube se ven afectados por Meltdown?

Proveedores en la nube que usan CPUs Intel y Xen PV con virtualización sin aplicar parches. Además, los proveedores en la nube sin virtualización de hardware real, que dependen de contenedores que comparten un kernel, como Docker, LXC u OpenVZ se ven afectados.

Spectre

Spectre rompe el aislamiento entre diferentes aplicaciones. Permite a un atacante engañar a los programas sin errores, que siguen las mejores prácticas, para filtrar sus secretos. De hecho, los controles de seguridad de dichas mejores prácticas en realidad aumentan la superficie de ataque y pueden hacer que las aplicaciones sean más susceptibles a Spectre

Spectre es más difícil de explotar que Meltdown, pero también es más difícil de mitigar. Sin embargo, es posible evitar exploits conocidos específicos basados en Spectre a través de parches de software.

¿Qué sistemas se ven afectados por Spectre?

Spectre afecta a casi todos los sistemas: computadoras de escritorio, portátiles, servidores en la nube y teléfonos inteligentes.

Más específicamente, todos los procesadores modernos capaces de mantener muchas instrucciones en vuelo son potencialmente vulnerables. En particular, hemos verificado Spectre en procesadores Intel, AMD y ARM.


Según Google, ambos fallos pueden afectar a todos los equipos con procesadores que daten desde el año 1995.

No solamente estarían implicados los procesadores Intel, sino también otros como AMD, pero en menor grado.

Se dice que los parches de seguridad podrán afectar el rendimiento de los equipos (entre un 5 y 30% según informes).

Ver aquí para más detalles sobre estas afirmaciones.


¿Se puede corregir el error a nivel de software?

El error deberá corregirse a nivel de software, aplicando parches de seguridad: a nivel del sistema operativo y a nivel de los navegadores (ya que el problema podría afectar a nuestro contenido sensible en la nube).

En la página meltdownattack.com hay un apartado que recopila los enlaces sobre avisos de seguridad y parches publicados por las principales compañías de sofware.

Según PCWorld:

Ya existen parches para usuarios de Windows, Mac y Chromebook.

Microsoft lanzó una actualización de Windows que protege contra Meltdown el 3 de enero. Las actualizaciones emitidas fuera de los "Martes de parches" mensuales de Microsoft son raras, lo que subraya la gravedad de este problema.

Apple silenciosamente ha protegido contra Meltdown en macOS High Sierra 10.13.2, que se lanzó el 6 de diciembre, según el desarrollador Alex Ionescu. Quien dice que se encontrarán salvaguardas adicionales en macOS 10.13.3.

Para Linux también ya existen los parches del kernel.

Los Chromebooks recibieron protección en Chrome OS 63, que se lanzó el 15 de diciembre. Además, el navegador web Chrome se actualizó para incluir una función experimental opcional llamada "aislamiento de sitio" que puede ayudar a protegerse de los ataques de Meltdown and Spectre. El aislamiento del sitio es más complicado en los dispositivos móviles; Google advierte que puede crear "problemas de funcionalidad y rendimiento" en Android, y dado que Chrome en iOS se ve obligado a usar WKWebView de Apple, las protecciones de Spectre en esa plataforma deben provenir de Apple. Chrome 64 incluirá más mitigaciones.

Mozilla y Microsoft también están tomando medidas para proteger los navegadores contra Spectre. Firefox 57 se lanzó en noviembre con algunas garantías iniciales, y Edge e Internet Explorer recibieron una actualización junto con Windows 10.


Enlaces

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.