Meltdown e Spectre - Entendendo as falhas de processador
A finalidade deste artigo é
apresentar informações sobre as vulnerabilidades Meltdown e Spectre, resumindo
os resultados publicados pelos pesquisadores que identificaram as falhas.
Ambas as falhas exploram
vulnerabilidades críticas em processadores modernos. Essas vulnerabilidades de
hardware permitem a captura de dados sendo processados no computador em tempo
real. Enquanto os softwares geralmente não possuem autorização para ler dados
de outros programas, um software malicioso pode explorar as falhas Meltdown e
Spectre para obter dados secretos armazenados na memória, provenientes de outros programas em
execução. Isso pode incluir: senhas armazenadas em um gerenciador de senhas ou
navegador, suas fotos pessoais, e-mails, mensagens instantâneas e até mesmo
documentos sigilosos.
Tanto o Meltdown quanto o
Spectre funcionam em computadores pessoais, smartphones e fornecedores de
serviços na nuvem. Em algumas infraestruturas em nuvem, pode ser possível capturar
informações de outros clientes.
Meltdown (CVE-2017-5754)
O Meltdown foi chamado assim
porque "derrete" limites de segurança normalmente aplicados por
hardware. Através da falha é possível fragmentar o isolamento fundamental entre
as aplicações do usuário e o sistema operacional. Este ataque permite que um software
acesse diretamente a memória, permitindo também o acesso de dados privados de
outros programas e do próprio sistema operacional.
Caso o seu computador pessoal
tenha um processador vulnerável e execute um sistema operacional sem patch de
segurança, não é seguro trabalhar com informações confidenciais sem que haja o
perigo de vazamentos de informação. Isso se aplica tanto aos computadores
pessoais, quanto a infraestruturas processadas na nuvem.
O vídeo acima demonstra como o Meltdown, permite aos
atacantes ler não só a memória do kernel, mas também a memória física do alvo.
Para mais informações acesse o artigo técnico feito pelos pesquisadores da falha: https://meltdownattack.com/meltdown.pdf
Para mais informações acesse o artigo técnico feito pelos pesquisadores da falha: https://meltdownattack.com/meltdown.pdf
Spectre
(CVE-2017-5753 e CVE-2017-5715)
O nome Spectre (fantasma) é
baseado na causa raiz, execução especulativa. Como não é fácil de mitigar e
pelo fato que nos “amedrontará” por algum tempo, o nome “fantasma” veio bem a
calhar.
Da mesma forma que o
Meltdown, o Spectre burla o isolamento entre diferentes aplicativos. Ele permite que um
invasor manipule um software, supostamente seguro, para que o mesmo vaze dados
secretos sem que haja em sua execução.
A falha Spectre é mais
difícil de explorar do que Meltdown, mas também é mais difícil de mitigar.
Para mais informações acesse
o artigo técnico feito pelos pesquisadores da falha: https://spectreattack.com/spectre.pdf
O que deve ser feito? Mitigações e patches
Muitos fornecedores possuem patches
de segurança disponíveis para um ou ambos os ataques:
- Windows - A Microsoft emitiu uma atualização de patch de atualização para o Windows 10, enquanto outras versões do Windows serão corrigidas nos tradicionais patches semanais;
- MacOS - A Apple já havia corrigido a maioria dessas falhas de segurança no MacOS High Sierra 10.13.2 no mês passado, mas o MacOS 10.13.3 aprimorará ou completará essas atenuações;
- Linux - Os desenvolvedores do kernel do Linux também lançaram patches implementando o isolamento da tabela de página do kernel (KPTI) para mover o kernel para um espaço de endereçamento totalmente separado.
- Android - O Google lançou patches de segurança para usuários de Pixel/Nexus como parte da atualização de patches de segurança do Android. Outros usuários precisam esperar que seus fabricantes de dispositivos liberem uma atualização de segurança compatível.
É aconselhável que empresas
e pessoas físicas, tirem algum tempo para considerar seus requisitos de
segurança. É um ano novo e certamente temos novos desafios por vir com ele.
Mesmo se você sentir que
você “fugiu da vulnerabilidade”, passe algum tempo hoje pensando sobre como a sua
organização irá lidar com a próxima grande falha. Todos nós interessados por segurança da informação, sabemos que não é uma questão de
"se", mas uma questão de "quando e como" a próxima
vulnerabilidade irá surgir.
Referências:
0 comentários: