Project Zero на Google пронајде критичен пропуст во процесорите

Минатата година Project Zero тимот на Google пронајде два безбедносни пропусти во процесорите. Пропустите се однесуваат на Intel, AMD и ARM процесорите изработени последните 20 години. Или најверојатно, сите паметни уреди кои ги поседуваме се подложни на овие пропусти. Пропустите се присутни кај сите оперативни системи: Linux, macOS и Windows.

Според објавата, заедничко соопштение на сите засегнати компании било предвидено за 9 јануари. Причината што Google побрза со објавата е што веста непредвидено веќе пристигна до медиумите. Поради ова, компаниите стравува дека можеби ќе дојде до злопупотреба.

Првите вести погрешно навестија дека подложни на пропустот се единствено процесорите од Intel. Сега дознаваме дека проблемот е многу поголем и не само што е присутен кај сите процесори за компјутери, туку ни телефоните не се поштедени.

Пропустите доаѓаат под имињата Meltdown и Spectre и може да им овозможат на напаѓачите да дојдат до чувствителни податоци од корисницие. Specter е опасност за Intel, AMD и ARM процесорите, a Meltdown е пропуст на процесорите на Intel.

„Пропустите се вистинска катастрофа“, вели безбедносниот експерт Метју Хики за BBC.

И двата пропусти произлегуваат од начинoт на кој процесорот ги извршува наредбите.

Добра вест е дека дел од закрпите веќе се испорачани на компјутерите. Сите процесори ги извршуваат наредбите под претпоставка дека условите се точни. Ако се покаже дека не биле точни, пресметките се отфрлаат. Вака не се прави никаква грешка и се добиваат подобри перформанси, но за жал ова не е без проблем. На основно ново во кеш меморијата ќе се вчитуваат податоци кои не треба да бидат таму, овие податоци можат да бидат забележани и извлечени, а со тоа може да се извлечат и чувствителни податоци на корисникот.

Безбедносните експерти од Google објавиja дека веќе се надминати проблемите на неколку уреди. За Android ова важи за сите уреди кои доаѓаат со најновата верзија на оперативниот систем. За жал, ова е ограничено единствено на Nexus и Pixel уредите за кои е достапна надградба на софтверот.

Intel објави дека се надминати проблемите на 80% од десктоп компјутерите и 90% од лаптопите.

Сепак, сите не го делат овој оптимизам. CERT Computer Emergency Response Team во изјава објасни дека не постои начин за поправка на пропустот преку закрпи. Единствен начин за надминување на пропустот е со замена со безбеден процесор.

„Ранливоста во основа е предизвикана од иплементацијата на изборот за оптимизација кај процесорот. За целосно отстранување на ранливоста неопходна е замена на ранливиот хардвер, односно процесорот“, велат од CERT.

Од нападот се погодени: Intel, ARM, AMD, Microsoft, Google, Apple, Linux Kernel и Mozilla.


Совети од Националниот центар за одговор на компјутерски инциденти

Многу производители имаат објавено безбедносни закрпи достапни за еден или двата од овие напади.

Windows – Microsoft издаде закрпа / надградба за Windows 10, додека за другите верзии на Windows ќе биде објавена закрпа како дел од  традиционалниот Patch Tuesday на 9 јануари 2018 година. Според Известувањето од Microsoft, ова се надградбите со кои се надминуваат ранливостите Meltdown и Spectre за различни Windows дистрибуции.

Верзија на оперативен систем
Големина на Update KB
Windows Server, version 1709 (Server Core Installation) 4056892
Windows Server 2016 4056890
Windows Server 2012 R2 4056898
Windows Server 2012 не е достапна
Windows Server 2008 R2 4056897
Windows Server 2008 не е достапна

За некои уреди е неопходно и дополнителна надградба на CPU firmware за ублажување на Spectre нападите.

MacOS – Apple веќе ги поправи повеќето од овие безбедносни недостатоци во macOS High Sierra 10.13.2 минатиот месец, но се очекува дека во следната верзија на MacOS 10.13.3 овие ранливости целосно ќе се елиминираат.
Linux – објавени се закрпи со имплементирање на кернел изолација на страници (KPTI) за да се пренесе кернелот во целосно одделен адресен простор.
Android – Google издаде безбедносни закрпи за корисниците на Pixel / Nexus уредите, како дел од ажурирањето на безбедносните ажурирања на Android за јануари. Корисниците на уреди од други производители треба да проверуваат кога производителот ќе изде компатибилено безбедносено ажурирање.

Помош за корисниците на Chrome

Бидејќи овие ранливости може да се искористат и преку веб-страници, корисниците на Chrome можат да ја вклучат функцијата Site Isolation на нивните уреди за ублажување на овие недостатоци.

Следуваат чекори за активирање на опцијата Site Isolation на Windows, Mac, Linux, Chrome OS или Android:

1. Копирајте го текстот  и ставете го во полето за URL на врвот на вашиот Chrome веб-прелистувач , и потоа кликнете на копчето Enter.

2. На ново отворениот екран побарајте ја опцијата 

3. На крај изберете 

Коментирај

Вашата адреса за е-пошта нема да биде објавена.

You may use these HTML tags and attributes: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>

*

Слични статии