В процессорах всех PC, iPhone и Android найдены критические дыры: что делать?
Исследователи из команды Google Project Zero, компании Cyberus Technology, Грацского технического университета и еще ряда учебных заведений обнаружили две критические уязвимости, которые затрагивают почти все компьютеры, серверы, смартфоны и планшеты на планете. Delfi TechLife рассказывает, надо ли уже паниковать.
1. Что случилось?
Исследователи обнаружили две критические уязвимости в инструкциях процессоров компьютеров и смартфонов. Они получили название Meltdown и Spectre. Они затрагивают все компьютеры (в том числе и серверы) на базе процессоров Intel и AMD, а также "значительную часть" мобильных устройств на базе процессоров ARM, в первую очередь смартфонов и планшетов.
2. Как они работают?
Говоря простым языком, процессоры для ускорения вычислений используют "предсказания" — они заранее выполняют ряд инструкций, которые, как они "думают", потребуются в следующий момент времени. Если они "угадывают" и нужные вычисления уже произведены — получается выигрыш в производительности. Если нет — ничего страшного, процессоры посчитают все как обычно, а заранее произведенные вычисления, которые не понадобились, просто "выкидываются в мусорник". Meltdown и Spectre используют этот полезный механизм в злонамеренных целях, позволяя получить доступ к данным, к которым иначе получить доступ нельзя.
3. В чем опасность?
Meltdown "расплавляет" (отсюда и название) границу между операционной системой и приложением, позволяя считать из памяти ОС данные, к которым вообще-то доступа иметь не должен. Например, можно создать JavaScript, который без ведома пользователя при заходе на сайт будет считывать информацию о логинах и паролях из "памяти" браузера, который этот скрип и выполняет.
Spectre — еще более злобная дыра. Этот "призрак" бродит между приложениями, получая из одного данные другого, причем от него не спасают даже границы, созданные, например, виртуальными машинами. Обычно считается, что если запустить что-то подозрительное на виртуальной машине, то за безопасность данных на других виртуальных машинах можно не волноваться, но в данном случае от Spectre это не спасет.
По словам исследователей, Meltdown использовать довольно просто, а Spectre намного сложнее. Найти техническую документацию об обеих уязвимостях можно здесь.
4. Используют ли уже хакеры уязвимости?
Неизвестно. Известно лишь, что исследователи обнаружили их в июне 2017 года, сразу же сообщили производителям процессоров и разработчикам операционных систем. Они также договорились опубликовать данные по дырам 9 января 2018 года, но случилась утечка раньше срока, и информация появилась уже сегодня. Вполне возможно, что на самом деле утечка случилась еще раньше и хакеры, будь они на службе криминала или отдельных государств, уже успели создать эксплоиты и что-то и кого-то взломать.
5. Что спасает от дыр? Как насчет антивирусов?
От Meltdown и Spectre спасают только патчи на уровне операционных систем. Антивирусы не помогут, потому что использование дыр не оставляет в системе следов и вообще происходит незаметно.
Microsoft уже выпустила заплатку для Windows 10, патчи для Windows 7 и 8.1 тоже в работе — надо не мешать Windows установить их.
Apple MacOS частично защищена уже в версии 10.13.2, которая вышла 6 декабря 2017 года, но полностью дыры закроют в следующей версии, которая сейчас проходит бета-тестирование.
ARM подтвердила, что дыры затрагивают ее чипы Cortex-A, на которых с 2012 года создано огромное количество устройств — от смартфонов и планшетов (включая флагманы Apple и под управлением Android) до медиа-плееров и рутеров.
Пока неизвестно, когда и как дыры будут закрыты в iOS и Android. Но можно говорить достаточно уверенно, что почти наверняка старые "дроиды" останутся уязвимыми навсегда.
Первоначально прозвучала информация о том, что патчи замедлят работу компьютеров на 5-30%, однако Intel быстро опровергла эти предположения. Замедление ожидается, но обычные пользователи его не увидят и не почувствуют.
6. Надо ли волноваться лично мне?
Meltdown и Spectre — очень плохие новости для индустрии и специалистов, защищающих чувствительные данные и системы с критической информацией. А вот простым людям особо беспокоиться не надо.
Если у вас Windows 7/8.1/10 или свежая macOS — обновите их сразу, как они предложат. Если ваша машина работает под управлением Windows XP, то она уже и так настолько уязвима, что еще одна дыра ничего не изменит. Цинично, но, к сожалению, это правда.
Если у вас iPhone, iPad или свежий (представленный хотя бы в 2016 году) смартфон/планшет под управлением Android — в ближайшее время ваше устройство также получит патч. Не мешайте ему установить обновление! Если же у вас какой-нибудь Android 4.2 на смартфоне 2013 года выпуска, то, как и в случае с Windows XP, ваше устройство уже и без того подвержено большому количеству самых разных угроз. Еще одна ничего принципиально не изменит.
Надо помнить, что для эксплуатации уязвимости хакерам надо запустить код на устройстве-жертве. Это довольно легко сделать на компьютерах, а вот с мобильными устройствами — сложнее. В общем, как обычно, не стоит запускать незнакомые программы, особенно на смартфонах под управлением Android!
