Informacje o nowych podatnościach, znalezionych we współczesnych procesorach po raz pierwszy ujawnił niemiecki serwis c’t / Heise (zainteresowanych odsyłam do pełnego tekstu w języku angielskim). Każda z ośmiu nowo wykrytych luk wymaga odrębnej, niezależnie opracowanej łaty. Przy czym należy pamiętać, próby łatania luk Meltdown i Spectre wpływały zauważalnie na wydajność samych układów. Warto przy tym zaznaczyć, że obecnie wiadomo, że na nowe formy ataków z grupy Spectre-ng są podatne procesory Intela, ale badacze dysponują już wstępnymi dowodami, że znalezione luki mogą dotyczyć również niektórych procesorów ARM. Kwestia czy układy AMD pozostają odporne na nowe formy ataków, wciąż jeszcze pozostaje otwarta.
Dokładne informacje techniczne dotyczące znalezionych luk nie zostały jeszcze podane do publicznej wiadomości, głównie dlatego, by nie ułatwiać zadania cyberprzestępcom. Na baczności powinni się mieć szczególnie dostawcy usług hostingowych oferujący wirtualne serwery, ponieważ podatność umożliwia dostęp do wrażliwych danych hosta, na którym działa maszyna wirtualna (np. wirtualny serwer).
Intel nieoficjalnie intensywnie pracuje nad kodem, który umożliwi usunięcie dziur wykorzystywanych przez grupę ataków Spectre-ng. Stosowne łaty opracowywane są we współpracy z producentami systemów operacyjnych. Niestety, nie wiadomo kiedy użytkownicy np. Windows otrzymają niezbędne aktualizacje. Są powody, by sądzić, że Intel planuje wprowadzenie poprawek w dwóch fazach. Publikacja pierwszych aktualizacji przewidywana jest w maju, natomiast data drugiej fazy poprawek to sierpień br. Bardzo możliwe, że użytkownicy Windows otrzymają pierwsze aktualizacje neutralizujące część ataków Spectre-ng już w najbliższy wtorek 8 maja (pierwszy wtorek miesiąca to w Microsofcie tzw. “patch tuesday” – dzień publikacji aktualizacji systemu).
Kolejna zła wiadomość jest taka, że Intel klasyfikuje cztery luki w grupie Spectre-ng jako “wysokiego ryzyka”, pozostałe są “średnio ryzykowne”. Nie zmienia to jednak zasadniczej kwestii: Meltdown i Spectre wykryte w ubiegłym roku nie były jednorazową wpadką producenta procesorów. Znalezienie ośmiu kolejnych luk dowodzi, że problem jest jeszcze poważniejszy niż dotychczas sądzono. Po pierwsze, bardzo możliwe, że wkrótce znajdziemy jeszcze więcej luk we współczesnych procesorach. Po drugie trudno pominąć fakt, że oto jeden z najważniejszych elementów globalnej infrastruktury IT ma poważny problem z bezpieczeństwem. Werner Haas z niemieckiej firmy Cyberus Technology i zarazem jedna z osób, które odkryły podatności Spectre/Meltdown uważa, że możliwe jest opracowanie wysoko wydajnych i jednocześnie bezpiecznych procesorów, ale wymaga to uwzględnienia aspektu zabezpieczeń w samych fundamentach projektu. Opracowywane na szybko łaty, choć konieczne, nie są w dłuższej perspektywie dobrym rozwiązaniem, bo – jak mieliśmy okazję się przekonać podczas prób łatania Meltdown i Spectre – generują one nowe problemy. | CHIP