Er Spectre og Meltdown stadig en trussel? De patches, du har brug for

Reklame

Afsløringerne af Specter- og Meltdown-processor-sårbarheden var en chokerende start på 2018. Sårbarhederne påvirker næsten enhver processor på tværs af stort set ethvert operativsystem og arkitektur. Processorproducenter og operativsystemudviklere udstedte hurtigt patches for at beskytte mod sårbarhederne.

Men der var også nogle alvorlige børnesygdomme.

Nu, over et år fra de indledende rapporter, er vi tættere på at virkelig rette Meltdown- og Specter-sårbarhederne?

Sårbarheder i Specter og Meltdown Seneste

Specter- og Meltdown-sårbarhederne, der blev opdaget i begyndelsen af ​​2018, fortsætter med at påvirke computeren. Meltdown påvirker specifikt Intel-mikroprocessorer, der strækker sig tilbage til 1995. Denne lang levetid betyder, at de fleste af verdens Intel-processorer er i fare og endda tjenester som Microsoft Azure og Amazon Web Services.

Spectre har en lignende global virkning. Specter-sårbarheden påvirker mikroprocessorer fra Intel såvel som andre større designere, herunder AMD og ARM. Således gør Spectre og Meltdown det meste af verdens computing sårbart, en situation, der går tilbage over 20 år.

#Nedsmeltning & #Spectre - En sammenligning fra side til side#cybersecurity#DataBreach#humanfactors# CES2018#malware#Teknologi

CC: @ ipfconline1@JimMarous@evankirstel@MikeQuindazzi@pierrepinna@ jblefevre60@ reach2ratan@KirkDBorne@Ronald_vanLoonpic.twitter.com/0S79P5jDbV

- Shira Rubinoff (@Shirastweet) 10. januar 2018

Åbenbaringerne medfører fortsat konstatering for forbrugere og virksomheder både. Bekymringen er mangesidig. Intel, AMD og ARM frigav alle patches til sårbarhederne; vil disse lapper arbejde? Er det enklere at udskifte hele lagre af mikroprocessorer? Hvornår kommer en fuldt sikker processor på markedet? Og hvad med omkostningerne?

”Vi har aldrig set en så ekspansiv fejl som denne, der påvirker bogstaveligt talt enhver større processor,” siger David Kennedy, administrerende direktør for TrustedSec, der udfører penetrationstest og sikkerhedskonsulent til selskaber.

”Jeg var i mindst ti opkald i sidste uge med store virksomheder og to i går og forklarede, hvad der sker. De har ingen idé om, hvad de skal gøre, når det kommer til at lappe. Det skaber virkelig rod. ”

Spøg næste generation

Nej, det er ikke James Bond-Star Trek crossover, du har drømt om. Specter Next Generation er den anden generation af Specter-sårbarheder. Den anden generation blev afsløret af Googles Project Zero (der også afslørede den første generation).

Project Zero er Googles taskforce til at finde og ansvarsfuldt afsløre nul-dages sårbarheder, før uheldige personer opdager dem.

Jeg vil ikke gå i dybden med alle detaljerne her, men her er en artikel, der forklarer implikationer af Spectre Next Generation Intels sårbarhed vender tilbage som et spøgelse fra fortidenSpecter / Meltdown-afsløringerne i begyndelsen af ​​2018 rystede computerverdenen. Nu har sikkerhedsforskere afsløret otte nye Specter-stil sårbarheder, der påvirker Intel CPU'er, hvilket kan betyde, at din computer er i yderligere risiko. Læs mere .

Er der specter- og smelteplader?

Det store udvalg af sårbare enheder tilbyder et andet problem. Hver type hardware har brug for en lidt anderledes individuelt lavet løsning. Opdateringen af ​​processen siden januar 2018 har været intet mindre end at virke.

Intel skyndte sig at udvikle og frigive en sikkerhedspatch. Ulempen var alvorlige præstationsproblemer. Intel sagde berygtet, “enhver ydelsespåvirkning er afhængig af arbejdsbyrden, og det bør for den gennemsnitlige computerbruger ikke være signifikant og vil blive afbødet over tid. ” Udsagnet var da usande og forbliver det på tidspunktet for skrivning.

Selv nyere processorer, der kun kommer på markedet, føler stadig virkningen.

Faktisk tilbagetrækkede Intel den 22. januar 2018 en af ​​sine Specter-patches, fordi det forårsagede et tilfældigt genstartproblem. Intel foreslog, at netværksadministratorer simpelthen skulle tilbageføre alle opdateringer, der allerede er installeret, med Intels direktør Neil Shenoy at sige "Jeg undskylder for enhver forstyrrelse denne ændring i vejledning kan forårsage." VMware, Lenovo og Dell fremsatte alle lignende meddelelser på samme tid.

I slutningen af ​​januar meddelte Microsoft også, at Specter- og Meltdown-programrettelserne til Windows 10 kompromitterede ydelsen og forårsagede tilfældige fatale fejl og bekræftede, at deres sikkerhedsrettelser var buggy.

Åh, og Apple trak tilsvarende tilbage påstander om beskyttelse mod ældre maskiner og frigav en overflod af patches til High Sierra, Sierra og El Capitan.

Linus og Linux

Linus Torvalds, skaberen og hovedudvikleren af ​​Linux-kernen, er fortsat meget kritisk over for hele Specter / Meltdown-patchprocessen. (Hvad er en kerne alligevel? Hvad er en kerne i Linux, og hvordan kontrollerer du din version?Linux er et operativsystem, ikke? Nå, ikke nøjagtigt! Det er faktisk en kerne. Men hvad er Linux-kernen? Læs mere ). Faktisk gik Torvalds så langt som at erklære Intel-lapperne som "FULDFULDT OG YDRE SORBAGE."

Du kan læse resten af ​​hans tirade her. Det er værd at læse.

Linus analyserede lapperne. Han fandt Intel forsøgte at gøre sikkerhedsrettelser valgfri såvel som OS-baserede, så de ikke har det til fuldstændig eftersyn af deres CPU-design (som er den eneste mulighed for reel sikkerhed - jeg forklarer hvorfor i en øjeblik).

Et alternativ ville være at udstede to programrettelser, hvor den ene muliggør sikkerhedsrettelser og den anden, der implementerer rettelserne til kernen.

I stedet hævder Torvalds, at Intel tvinger de to sammen til at glans over performance hits ved at tillade en "Valgfri sikker tilstand" hvorved brugeren skal vælge deres CPU til fixen og gøre ydeevnen ramt af kundernes beslutning i stedet for at Intel tager flak. Desuden, hvis og når brugere starter et ældre operativsystem, der aldrig har kendt programrettelsen, vil de være øjeblikkeligt sårbare.

Den 29. januar blev Linux 4.15-kernen gjort tilgængelig med nyligt udvidede sikkerhedskapaciteter i Intel- og AMD-CPU'er på Linux-enheder. Og selvom Linus Torvalds hævdede Linux-fokus, er det tydeligt, at Intel-patches ikke var op til bunden for noget operativsystem.

Vidste Kina om specter og Meltdown?

På trods af at Intel undgår en kugle med hensyn til dens indtjeningsrapporter (på trods af den kritiske sårbarhed, der findes i de fleste af verdens computere, chugles Intel-overskuddet ganske godt sammen pænt), Intel tog masser af kritik for, efter sigende at have afsløret både Meltdown og Spectre til sine massive kinesiske kunder, som Alibaba og Lenovo, før det fortalte USA regering.

Flere store amerikanske agenturer blev kun gjort opmærksomme på Specter og Meltdown, da rapporter blev offentlig, snarere end enhver underretningsproces før afsløring. Og selvom der ikke er noget, der tyder på, at oplysningerne blev brugt forkert (f.eks. Videregivet og brugt af den kinesiske regering), rejser det betydelige bekymringer over Intels valg af, hvem de skal informere.

I betragtning af dybden og omfanget af den kinesiske internetovervågning synes det helt usandsynligt, at den kinesiske regering ikke var klar over sårbarhederne før den amerikanske regering.

Windows 10 Retpoline Specter Fix

Retpolin er en "Softwarekonstruktion til at forhindre injektion af filialmål." Med andre ord er det et program, der beskytter mod Spectre ved at introducere en alternativ forudsigelsesgren og holde systemet sikkert mod spekulation i Specter-stil angreb.

I december 2018, Microsoft gjorde retpoline-fix tilgængelig til sit Insider-program. Insider-programmet og Insider-forhåndsvisningerne er, hvor Microsoft tester den kommende version af Windows 10, før det rammer mainstream-udgivelse. Den seneste opdatering, 19H1, indeholder retpoline-opdateringen.

I marts 2019 meddelte Microsoft imidlertid, at retpoline-fixen er tilgængelig for alle, der ønsker at downloade den. Der er et par bestemmelser:

• Systemet skal køre Windows 10 oktober 2018-opdatering.
• Fixet fungerer kun for pre-Intel Skylake-processorer og ældre (fixet fungerer også til AMD-maskiner, AMD-læsere).

Usikker på, hvilken Windows 10-version du i øjeblikket bruger? Trykke Windows Key + I, derefter System> Om. Du kan se din nuværende Windows-version under Windows-specifikation. Hvis det står 1809, kan du installere opdateringen. Hvis ikke, bliver du nødt til at vente, indtil din Windows-version kommer ind.

Retpoline-opdateringen, KB4470788, ankommer på dit system via den almindelige Windows Update-proces. Du kan dog downloade KB4470788-opdateringen via Microsoft Update Catalog. Download den rigtige version til din operativsystemarkitektur (f.eks. X64 til 64-bit, x86 til 32-bit), og installer derefter.

Vil Spectre og Meltdown nogensinde blive rettet for godt?

Den første generation af Specter- og Meltdown-programrettelser var midlertidige løsninger. Onus bør ikke falde på forbrugerne for at aktivere sårbarheden, der blokerer programrettelser, så meget let bliver nødt til at beslutte om udvekslingen mellem sikkerhedsproblemer på kerneniveau og CPU-ydelsest hits. Det er simpelthen uretfærdigt, hvad så meget desto uetisk.

Den langsomme udrulning af retpolin-rettelser er bedre for forbrugerne, der lapper systemets sårbarheder og returnerer systemhastigheden tilbage til tidligere niveauer. Nogle brugere har stadig ikke fordelen ved en retpoline-fix, så det er ikke et magisk båndhjælpemiddel.

Tilbage i begyndelsen af ​​2018 indeholdt Intel's økonomiske rapport information fra administrerende direktør Brian Krzanich, der lovede, at chips med ægte hardwarefixes ville begynde at sende i år. Desværre uddybede Krzanich ikke, hvad den dristige erklæring betød.

Fordi Krzanich bekræftede Intel's planer om at fortsætte med at udvikle sine 14nm-produkter (Intel CPU'er fra 2014 og fremover - Kaby Lake, Coffee Lake, Skylake osv.) I hele 2018. Dette skaber muligheder: “in-silicium” rettelser til den aktuelle generation af CPU'er og rettelser til de kommende Cannon Lake-processorer, eller den ene eller den anden.

Senere i 2018 meddelte Intel, at hardwarefixes - det er en i silicium, processor-baseret fix - kommer med den kommende Intel CPU-generation. Nogle rettelser ruller ud med lav-effekt processor-serien, Whiskey Lake, mens flere er klar til at komme med de facto 10. generation af processorer, Ice Lake. Den nye generation af Intel CPU'er burde også beskytte mod Foreshadow-sårbarheden, også.

Tror du ikke er påvirket af Spectre og Meltdown? Tjek liste over computerhardware, der ikke påvirkes af sårbarhederne Er der ikke computere, der ikke påvirkes af Meltdown og Spectre-fejl?Meltdown- og Specter-sårbarhederne har påvirket hardware overalt i verden. Det ser ud til, at alt er usikkert. Men det er ikke tilfældet. Tjek denne liste over sikker hardware og vores tip til fremtiden. Læs mere , og tænk igen.