Os bugs Meltdown e Spectre: ponto da situação e remédios

Más notícias para quem utiliza um computador. Isso é: más notícias para todos os que estão a ler estas linhas. Há duas graves falhas de segurança que afectam todos os processadores actualmente presentes no mercado.

E atenção: não estamos a falar de “sistema operativo” (como Windows 7 ou 10, Ubuntu, Mint, etc.) mas de “processador”, o que afecta a totalidade das máquinas, pois podemos entender o processador como o “coração” de qualquer computador, samrtphone, server, sistema cloud, etc.

As falhas são graves porque põem em risco os dados pessoais de biliões de utilizadores e porque não se fala aqui dalguns vírus mais ou menos exóticos mas de “erros” de projectação, o que torna tudo mais difícil de corrigir. Os antivírus não podem detectar tão facilmente um aplicativo que se aproveite das brechas Meltdown ou Spectre e no sistema não ficam rastos, pelo que é difícil até descobrir se o nosso computador já foi atingido.

Vamos ver do que se trata e como remediar (quando possível).

O que acontece se um hacker explorar Meltdown ou Spectre

O
problema das duas falhas em teoria é muito simples: ao executar
um programa, o sistema carrega na memória as informações dos aplicativos
em execução. E nestas informações há praticamente tudo, inclusive dados
de login e password.
Meltdown e Spectre (estes os nomes das falhas) permitem o acesso a esta
memória que deveria ser inacessível. No caso do Meltdown pode ser suficiente um
código javascript posto em qualquer página internet para acessar a
esta memória e enviar os dados para um servidor remoto.
Isso
significa que em perigo não estão apenas os nossos dados pessoais, mas
todos os dados de todos os computadores: milhões de servidores no mundo,
em hospitais, bancos, sistemas de defesa… todos são vulneráveis.

Primeira falha: Meltdown

Meltdown é a falha que diz respeito apenas aos processadores Intel produzidos nos últimos dez anos (com exceção dos Intel Itanium e dos Intel Atom produzidos antes de 2013).

Solução: mudar o processador (!!!) ou aplicar uma patch chamada Kaiser, a qual, todavia, provoca abrandamentos do sistema. Segundo a Intel o abrandamento não é lá grande coisa, mas as estimativas apontam para valores entre 5% até 27% de velocidade.

Meltdown não afecta os processadores AMD, o que é uma boa notícia. A mesma AMD já distribui a patch Kaiser para os sistemas Linux com um controle que verifica a marca do processador, para evitar que os processadores AMD sejam penalizados por uma patch inútil.

A Microsoft e a Apple já lançaram alguns patches, enquanto tanto a Amazon quanto a Microsoft fizeram alterações à infraestrutura dos seus centros de dados para proteger as máquinas. Entre os usuários da Amazon AWS, alguns já experimentaram um declínio das prestações mas devemos considerar que estamos apenas no começo da história: as falhas foram tornadas públicas há poucas horas.

Segunda falha: Spectre

Spectre afecta todos os processadores do mercado, independentemente da marca de produção. É uma falha de projetação que os fabricantes arrastam há mais de 20 anos,
desde 1995.

Bilhões e bilhões de chips foram projetados com um único
propósito: tornar o processador o mais rápido possível, sem se perguntar
se a maneira como esta velocidade tinha sido obtida oferecesse os mais altos
critérios de segurança. Agora temos a resposta: não, os processadores devem ser redesenhados.

Boa notícia: explorar esta falha para acções criminosas não é nada simples. No entanto, é uma questão que afecta todos os processadores no mercado e, por enquanto, não existe solução: é necessário repensar a forma como os
processadores são projetados e isso de acordo com os especialistas
pode levar até uma década.

O que dizem as empresas

Do site Tecnoblog:

A Intel divulgou um comunicado afirmando que tem conhecimento do problema, mas ressaltou que as brechas não estão restritas a seus chips, citando nominalmente a AMD e a ARM. Diz ainda que “qualquer impacto no desempenho depende da carga de trabalho e, para o usuário comum, não deve ser significativo”.

A AMD admitiu que seus chips são vulneráveis, mas em uma escala menor. “A ameaça e a resposta às três variantes diferem de acordo com a fabricante do processador, e a AMD não é suscetível a todas as três variantes. Devido às diferenças na arquitetura da AMD, acreditamos que existe risco quase zero para os processadores da AMD neste momento”.

Em novo comunicado, a AMD informa que não está sujeita ao Meltdown; uma das variantes do Spectre têm risco quase zero de ser explorada nos chips da marca, devido às diferenças de arquitetura; e outra variante do Spectre poderá ser mitigada por correções de software, com “impacto insignificante na performance”.

A ARM confirma que alguns núcleos Cortex-A (A8, A9, A15, A17, A57, A72, A73 e A75), utilizados principalmente em smartphones com chips da Qualcomm, MediaTek e Samsung, são afetados, mas não os Cortex-M, focados em internet das coisas. O método “requer um malware rodando localmente e pode resultar em dados sendo acessados de uma memória privilegiada”, segundo a ARM.

O que fazer

Em primeiro lugar: actualizar o sistema operativo. Não que isso resolva tudo (como vimos, no caso de Spectre não há solução), mas pode limitar os riscos. A Microsoft, por exemplo, produziu uma patch para os datacenter, Amazon modificou o sistema Linux que gere as suas máquinas.

Para o Linux, as patches Kaiser estão disponíveis, é só preciso verificar se a nossa distribuição já as disponibilizou. 

Microsoft corrigiu Windows 10 com a patch KB4056892.
Windows 7 e Windows 8 atualmente não são corrigidos no Windows Update, mas as patches podem ser aplicadas à mão:

Windows 7 SP1 and Windows Server 2008 R2:
4056897 January 3, 2018—KB4056897 (Security-only update)
2018-01 Security Only Quality Update for Windows Server 2008 R2 (KB4056897)
https://support.microsoft.c…

Windows 8.1 and Windows Server 2012 R2:
January 3, 2018—KB4056898 (Security-only update)
2018-01 Security Only Quality Update for Windows Server 2012 R2 (KB4056898)
https://support.microsoft.c…

Windows Server 2012:
https://support.microsoft.c…

Apple fechou temporariamente o problema no último MacOS 10.13.2 (mas será importante actualizar para MacOS 10.13.3, com uma patch mais efectiva).

Para os sistemas Android (portanto: smartphones) a Security Patch de Janeiro já trata do problema Meltdown. Mais uma vez: actualizar.

Até aqui, basicamente, as soluções para a primeira falha, a Meltdown: e no caso da Spectre? Aqui a situação é mais complicada porque não há solução, a não ser uma intervenção em cada software para que as aplicações não carreguem na memória dados sensíveis. Nada simples.

Google publicou uma lista de produtos que podem ter problemas: pode ser encontrada neste link. Os serviços cloud supostamente já foram corrigidos, enquanto as várias aplicações precisam de actualizações a serem adoptadas pelos usuários.

Ipse dixit.

5 Replies to “Os bugs Meltdown e Spectre: ponto da situação e remédios”

  1. Nota: Meltdown é conhecido desde Junho, Spectre há anos. Foram tornados públicos só agora. Entretanto, biliões e biliões de dados sensíveis ficaram à disposição de quem sabia como explorar estes bugs. Só para ter uma ideia…

  2. Max, mais uma vez grato pela informação,que pode ser classificada como "de utilidade pública" tal o alcance da notícia. Possivelmente esse tempo todo sem a devida "providência" que só foi disponibilizada após a noticia "vazar" já foi amplamente utilizada por QUEM sabia.
    Um grande abraço pra ti.

  3. "Os bugs Meltdown e Spectre"
    O que se le em todo o lado. Para mim isto nao sao bugs, sao bem mais do que isso.
    Sao mesmo falhas de arquitectura de processadores, cometidas pelas 3 maiores empresas do ramo em 3 arquitecturas distintas x86, x64 e ARM.

    Porque razao isto aconteceu?
    – Seria devido a competicao pelo processador mais rapido e a seguranca deixada para 2 plano ?
    – Seria alguma directiva governamental para que fosse deixado uma brecha na segurança para que os serviços secretos pudessem utilizar?

    Porque foi isto divulgado agora sendo que ja sabiam ha tanto tempo destas falhas?
    – Porque so agora teem a solução para o problema?
    – Ou sera que e a velha tecnica de arranjar um problema para depois oferecer a soluçao e essa soluçao costuma ser sempre um cavalo de troia?
    – Ou sera que se mantiveram calados que nem ratos ate que alguem descobriu essas falhas e as comecou a utilizar em seu proveito?

    Deixo este link que da uma explicacao mais tecnica das razoes destas falhas:

    http://abertoatedemadrugada.com/2018/01/meltdown-e-spectre-deixam-em-risco.html

    Max… foste tu que me deste a conhecer o Trivium e as Falacias 😉
    EXP001

  4. A divulgação do problema é importante no sentido de perceber do quanto a população mundial está exposta a principal ferramenta de chamada "globalização", cujas consequencias são imprevisíveis.

  5. O mais estranho é que certas instruções dos processadores afectados possuem extensões, que por exemplo estão desactivadas(o próprio processador não pode executar) para a China e o seu crescente mercado. A dedução é que já estavam fartos de saber disso, aparentemente fecham os olhos, até porque vendem que se fartam, mas para consumo interno a coisa muda…
    Chaplin já ao tempo que andam nisto, em resposta às centrifugadoras iranianas por Israel meteram cega a torre de controlo de Heathrow e já mais recentemente em N.Iorque por segundos(só para dizer não se metam connosco). É aparentemente estas máquinas de cálculo, já andam com erros desde 1995 o ano (mais coisa menos coisa que a web pegou, uma ideia meio conspira mas aqui não existem verdades absolutas. Por exemplo no Irão quando não conseguiram colocar diretamente o malware/vírus/etc foi remotamente.
    Quanto mais aparelhados mais apanhados numa teia meio bizarra, bem que o Snowden tinha avisado, mas quem lhe deu ouvidos e agora que está fora da "spotlight" o pessoal esquece e volta aos velhos hábitos.
    Apesar das aparências e sistemas diferentes basicamente as 3,4 ou 5 potências pertencem diretamente ou indirectamente ao BIS ao FMI globalisatas, em globalização ou globalizados etc… é o mesmo com métodos diferentes, é uma ilusão a juntar a muitas.

    nuno

Obrigado por participar na discussão!

This site uses User Verification plugin to reduce spam. See how your comment data is processed.

Este site utiliza o Akismet para reduzir spam. Fica a saber como são processados os dados dos comentários.

%d bloggers like this: