Чипапокалипсис сегодня — все обладатели компьютеров и мобильных гаджетов в опасности

04 января 2018 18:06


Благодаря усилиям журналистов раньше времени (и раньше выпуска срочных патчей) была опубликована информация об очень серьезных уязвимостях Meltdown и Spectre, аппаратно заложенных в большинство современных процессоров. Эту проблему обнаружили эксперты Google, и к 9 января производители операционных систем намеревались выпустить закрывающие патчи. Наиболее опасным является то, что уязвимость присутствует во всех процессорах Intel, выпускавшихся c 1995 года. В меньшей степени подвержены опасности компьютеры на процессорах AMD и устройства на ARM.

Аппаратная уязвимость позволяет получить доступ к защищенной памяти, например, других процессов, без наличия необходимых прав. Причина проблемы – внедрение в середине 90-х годов Intel и другими чипмейкерами технологии спекулятивного исполнения команд в микропроцессорах. Это значит, что при выполнении сложных вычислений процессор будет предугадывать, какие вычисления потребуются в будущем и заранее считать результат для ускорения работы.

 

Уязвимость в процессорах Intel может замедлить ПК на 5–30 %

 

Как оказалось, архитектура спекулятивного выполнения команд дает злоумышленникам доступ к информации в общей памяти в кэше микропроцессора. На основании уязвимостей спрогнозирована возможность двух типов атак. Meltdown — нарушение границы между выполняемым приложением и памятью операционной системы, что дает злоумышленнику возможность считывать любые данные в памяти ОС. Вторая, Spectre, это доступ процесса к памяти других приложений.

Главная проблема этой уязвимости — распространенность процессоров Intel и наличие проблемы практически у всех моделей, находящихся в данный момент в эксплуатации. Для компьютеров на базе чипов и архитектуры AMD вероятность использования таких уязвимостей почти нулевая. Также в зоне риска ARM микропроцессоры с ядрами Cortex-A, в том числе и многие устройства Apple.

Google Project Zero утверждает, что метод атаки Meltdown в данный момент подтвержден на процессорах Intel, а Spectre можно эксплуатировать на чипах Intel, AMD и ARM. На практике это означает что можно запустить JavaScript в браузере и он получит полный дамп памяти системы, или вредоносное ПО на виртуальном сервере получит доступ к информации любого VPS клиентов холстинговой компании.

Уязвимость можно компенсировать только заплатками для операционных систем. Для операционок на базе Linux уже вышло обновление ядра. Google готовит обновление своего браузера и Chrome OS, а Microsoft выпустила 4 января срочный патч, устраняющий возможность использования данной уязвимости процессоров.

Вторая проблема из-за этой уязвимости состоит в том, что по мнению многих экспертов использование единственно возможной защита от этой уязвимости — с помощью изоляции процессов (заплатки ядра ОС называются патчем KPTI Kernel Page Table Isolation). В результате производительность компьютеров может упасть на 7-30%. Что уже успели ощутить пользователи AWS и скоро почувствуют клиенты Microsoft Azure. Но альтернативы нет. Это очень серьезная, фундаментальная уязвимость аппаратного уровня которая подвергает опасности любые данные на мобильных устройствах, локальных компьютерах или серверах в дата-центрах.





Обсудить материал (0)


Предыдущая статья

В кафе в Аргентине ноутбуки клиентов заставляли майнить криптовалюту
Следующая статья

Директор ARM прокомментировал уязвимости Meltdown и Spectre



Google Chrome сканирует файлы, из лучших побуждений

Интернет-общественность возмутила новость о том, что браузер Chrome, занимающий 60% рынка, периодически сканирует все файлы на компьютере пользователей. Не только файлы относящиеся к самой программе, но и документы пользователя.  Это обнаружил один из экспертов по ИТ безопасности и новость быстро распространилась через социальные сети. Также об этом написало издание Motherboard.

Читать далее...

За февраль 2018 от майнинга пострадало 42% компаний

Исследовательская компания Check Point опубликовала отчет Global Threat Impact Index в котором сообщается, что по всему миру 42% компаний пострадали от заражения и скрытого майнинга на корпоративных компьютерах. Особенно серьезный удар по инфраструктуре компаний тайный       майнинг нанес в феврале 2018 года.

Читать далее...

Израильская компания нашла способ взламывать все модели iPhone

Компания Cellebrite нашла уязвимость в iOS11 позволяющую обходить защиту всех моделей смартфонов под управлением этой мобильной операционки. Согласно информации, оказавшейся в распоряжении Forbes, новый способ взлома iPhone уже был опробован по заданию американского министерства внутренней безопасности. Хотя в публичном доступе сведений о данной уязвимости нет, все обладатели IPhone находятся в опасности, даже если не являются целью разработки спецслужб.

Читать далее...

Новшества в будущем обновлении Windows 10 Redstone 4

Приближается выход нового крупного обновления операционной системы Windows 10. Пока разработчики завершают тестирование намеченного на весну обновления, а маркетологи Microsoft придумывают очередное замысловатое название, энтузиасты и фанаты этой операционки изучают новинку. Большинство новшеств Redstone 4 уже можно увидеть в сборках для тестирования Insider Preview.

Читать далее...

Директор ARM прокомментировал уязвимости Meltdown и Spectre

Серьезные уязвимости в процессорах Meltdown и Spectre ставшие главной предновогодней новостью прошлого года, продолжают волновать специалистов. Даже на выставке CES 2018 к вопросу проблем спекулятивных вычислений в процессорах Intel, AMD и части ARM возвращались постоянно. Журналисты TechCrunch поинтересовались мнением об этих уязвимостях у Саймона Сегарса, исполнительного директора компании ARM.

Читать далее...

В кафе в Аргентине ноутбуки клиентов заставляли майнить криптовалюту

Один директор аргентинской технологической компании зашел в Буэнос-Айресе в кафе, входящее в сеть Starbucks и при использовании общественного Wi-Fi обнаружилась попытка хакерской атаки на ноутбук. Как выяснилось, целью несанкционированного подключения было загрузить на компьютер клиента кафе код для скрытого майнинга криптовалюты. Этим занимался местный провайдер интернета.

 

Читать далее...

Google отучит подсматривать в экран чужого смартфона

Один из разработчиков Google опубликовал небольшое видео, демонстрирующее новую систему «электронной защитой экрана». Это технология призвана защитить пользователей мобильных устройств от распатроненного и неприятного явления — заглатывания в экран, когда вы смотрите что-то на смартфоне в транспорте или в кафе. Это известная проблема, которой мало уделяют внимание, а ведь дело не только в неприятном подглядывании, но и в опасности утечки личных данных.

 

Читать далее...

Российский эксперт нашел в Linux 14 уязвимостей, связанных с USB

Сотрудник Google и эксперт по безопасности из России Андрей Коновалов опубликовал информацию о 14 новых уязвимостях, которые он обнаружил в Linux. Все эти дыры в безопасности связанны с работой драйверов USB. Эта подсистема и раньше часто критиковалась за баги, позволяющие злоумышленникам захватывать контроль над компьютерами пользователей, запускать на системах произвольные программы или выполнять команды. Новые уязвимости, обнаруженные Коноваловым, позволяют взломать Linux-систему с помощью специально подготовленной USB флешки

Читать далее...



Приглашаем все магазины цифровой и портативной техники разместить у нас свои прайс-листы.
Вы можете зарегистрироваться прямо сейчас, ознакомившись с правилами участия и заполнив предложенную форму.

Вход для магазинов