Meltdown e Spectre - Entendendo as falhas de processador

11:47 Leandro Narezi Tonello 0 Comentarios



A finalidade deste artigo é apresentar informações sobre as vulnerabilidades Meltdown e Spectre, resumindo os resultados publicados pelos pesquisadores que identificaram as falhas.

Ambas as falhas exploram vulnerabilidades críticas em processadores modernos. Essas vulnerabilidades de hardware permitem a captura de dados sendo processados no computador em tempo real. Enquanto os softwares geralmente não possuem autorização para ler dados de outros programas, um software malicioso pode explorar as falhas Meltdown e Spectre para obter dados secretos armazenados na memória, provenientes de outros programas em execução. Isso pode incluir: senhas armazenadas em um gerenciador de senhas ou navegador, suas fotos pessoais, e-mails, mensagens instantâneas e até mesmo documentos sigilosos.

Tanto o Meltdown quanto o Spectre funcionam em computadores pessoais, smartphones e fornecedores de serviços na nuvem. Em algumas infraestruturas em nuvem, pode ser possível capturar informações de outros clientes.

Meltdown (CVE-2017-5754)

O Meltdown foi chamado assim porque "derrete" limites de segurança normalmente aplicados por hardware. Através da falha é possível fragmentar o isolamento fundamental entre as aplicações do usuário e o sistema operacional. Este ataque permite que um software acesse diretamente a memória, permitindo também o acesso de dados privados de outros programas e do próprio sistema operacional.

Caso o seu computador pessoal tenha um processador vulnerável e execute um sistema operacional sem patch de segurança, não é seguro trabalhar com informações confidenciais sem que haja o perigo de vazamentos de informação. Isso se aplica tanto aos computadores pessoais, quanto a infraestruturas processadas na nuvem.

O vídeo acima demonstra como o Meltdown, permite aos atacantes ler não só a memória do kernel, mas também a memória física do alvo.

Para mais informações acesse o artigo técnico feito pelos pesquisadores da falha:
https://meltdownattack.com/meltdown.pdf


O nome Spectre (fantasma) é baseado na causa raiz, execução especulativa. Como não é fácil de mitigar e pelo fato que nos “amedrontará” por algum tempo, o nome “fantasma” veio bem a calhar.

Da mesma forma que o Meltdown, o Spectre burla o isolamento entre diferentes aplicativos. Ele permite que um invasor manipule um software, supostamente seguro, para que o mesmo vaze dados secretos sem que haja em sua execução.
A falha Spectre é mais difícil de explorar do que Meltdown, mas também é mais difícil de mitigar.

Para mais informações acesse o artigo técnico feito pelos pesquisadores da falha: https://spectreattack.com/spectre.pdf

O que deve ser feito? Mitigações e patches

Muitos fornecedores possuem patches de segurança disponíveis para um ou ambos os ataques:
  • Windows - A Microsoft emitiu uma atualização de patch de atualização para o Windows 10, enquanto outras versões do Windows serão corrigidas nos tradicionais patches semanais;
  •  MacOS - A Apple já havia corrigido a maioria dessas falhas de segurança no MacOS High Sierra 10.13.2 no mês passado, mas o MacOS 10.13.3 aprimorará ou completará essas atenuações;
  • Linux - Os desenvolvedores do kernel do Linux também lançaram patches implementando o isolamento da tabela de página do kernel (KPTI) para mover o kernel para um espaço de endereçamento totalmente separado.
  • Android - O Google lançou patches de segurança para usuários de Pixel/Nexus como parte da atualização de patches de segurança do Android. Outros usuários precisam esperar que seus fabricantes de dispositivos liberem uma atualização de segurança compatível.

É aconselhável que empresas e pessoas físicas, tirem algum tempo para considerar seus requisitos de segurança. É um ano novo e certamente temos novos desafios por vir com ele.

Mesmo se você sentir que você “fugiu da vulnerabilidade”, passe algum tempo hoje pensando sobre como a sua organização irá lidar com a próxima grande falha. Todos nós interessados por segurança da informação, sabemos que não é uma questão de "se", mas uma questão de "quando e como" a próxima vulnerabilidade irá surgir.

Referências:

0 comentários: