• О проекте
  • Услуги
  • Заказать услугу
  • Новости
  • Блог
  • Глоссарий
  • Контакты
  • Блог

    Spectre и Meltdown – первые уязвимости 2018 года

    Новый год начался с обсуждения серьезнейших брешей безопасности в процессорах ARM, AMD и Intel. Новость облетела весь мир и вынудила разработчиков в кратчайшие сроки взяться за выпуск обновлений. Что это значит для рядовых пользователей и почему это так опасно? Разберемся подробнее!

    Об уязвимостях Meltdown и Spectre заговорили в новостных лентах 3 января. Выявленный в ОС и архитектуре изъян потряс мировое сообщество и напугал сотни тысяч юзеров. Все обеспокоились не на шутку, потому как бреши способны спровоцировать утечку конфиденциальных данных, которые хранятся на любом компьютере.

    Метод Meltdown, затрагивающий процессоры Intel, дает возможность хакеру воспользоваться запущенным на сервере вредоносным процессом, чтобы прочитать всю память ядра. Таким образом, сообщения в соцсетях и почте, пароли, регистрационная информация, документы, мультимедиа и любые другие файлы, которые находятся в кэше системы – всё это можно без труда считать с компьютера, который работает под управлением процессоров Intel.

    Метод Spectre тоже опирается на принцип предсказания переходов и кэш, как и Meltdown, но отличается более широкой областью действия и сложностью в реализации. Уязвимость позволяет управлять любым процессом, заставляя его выдать содержимое своей памяти. Воспользовавшись данным механизмом, специалистам удалось выделить два главных типа атак: через гаджеты и через «секретный байт». Универсальной реализации не существует, выявленная уязвимость обладает огромным количеством вариаций применения, поэтому выпустить действительно качественное и эффективное обновление будет достаточно сложно.

    Spectre и Meltdown – первые уязвимости 2018 года

    Эксперты обнаружили, что различные процессоры становятся уязвимыми в зависимости от метода атаки. От Meltdown способны пострадать:

    • реализованные на ARM-процессорах iOS-устройства;
    • CPU на ядрах ARM Cortex-A75;
    • все CPU линеек Xeon, Core, Celeron, а также Pentium, работающие на Core-ядрах.

    Что касается Spectre, то механизм способен навредить ряду процессоров AMD, всем CPU Intel, а также ARM-ядрам, которые поддерживают спекулятивное выполнение кода. Как видим, пострадать может как всемирно известная корпорация, так и домашние пользователи.

    Интереснее всего, что эксперты из Google Project Zero выявили бреши еще в июне прошлого года, но приняли решение не предавать информацию огласке до января 2018-го. Из-за утечки информации ряду СМИ удалось получить результаты исследований раньше оговоренной даты.

    В результате этого разработчикам всех современных ОС пришлось в авральном режиме выпускать обновления, которые способны побороть уязвимость. По состоянию на сегодняшний день патчи для Windows  и Linux не решили проблему, а обновления Android  и iOS считаются не слишком эффективными из-за специфики дыр в безопасности.

    Так, в одних случаях обновление попросту невозможно установить, в других установка конфликтует с установленным антивирусным приложением, в третьих – замедляет работу компьютера вплоть до полного отказа.

    Эксперты утверждают, что уязвимости Meltdown и Spectre открыты на аппаратном уровне, поэтому никакое обновление не способно защитить процессор на 100%. Патчи помогут затруднить вмешательство, но не смогут нейтрализовать атаку. Единственным верным решением, по мнению аналитиков, является замена скомпрометированного процессора на CPU нового поколения.

    Как обезопасить себя тем, кто не планирует обновлять «железо»? Помогут следующие советы:

    • не открывайте файлы и сообщения, которые приходят на почту или соцсети от неизвестных лиц;
    • регулярно обновляйте антивирусное ПО, ОС и другие приложения на компьютере;
    • не переходите по непроверенным  и незнакомым сайтам (к новому типу атак уязвимы все современные браузеры, ведь получить доступ к памяти можно через встроенный в любой сайт Javascript);
    • повышайте осведомленность корпоративных и домашних пользователей в вопросах информационной безопасности.