Luki zabezpieczeń w procesorach. Duża liczba zagrożonych urządzeń

Ujawnione w tym tygodniu luki zabezpieczeń - nazywane Meltdown i Spectre - nie są ograniczone do Intela. Jak podał dziennik "New York Times", występują również w produktach firm AMD i ARM, zagrażając większości procesorów na świecie. Meltdown pozwala działającym na komputerze programom na dostęp do pamięci jądra (podstawowej części) systemu operacyjnego. Własne poprawki zabezpieczające przed wykorzystaniem luki w zabezpieczeniach wprowadziły już Amazon, Google, a także Microsoft i twórcy Linuxa.

Brytyjski The Register szacował, że zależnie od wykonywanego zadania i rodzaju procesora aktualizacje tego typu mogą powodować spadek wydajności procesora od 6 do nawet 30 proc. Serwis zaznaczył przy tym, że większość użytkowników komputerów nie odnotuje żadnej zmiany w codziennym funkcjonowaniu.

Odrębny i trudniejszy do wyeliminowania problem stanowi Spectre. Ta luka umożliwia aplikacjom (w tym złośliwym skryptom na stronach internetowych) wykradanie haseł, informacji logowania i innych wrażliwych danych uruchomionych na komputerze procesów.

W notatce zamieszczonej na blogu firmowym Apple stwierdziło, że "wykorzystanie podatności Meltdown i Spectre wymaga użycia złośliwego oprogramowania zainstalowanego na urządzeniu" i zaleciło instalowanie aplikacji pochodzących jedynie z wiarygodnych źródeł, takich jak należący do firmy sklep z oprogramowaniem App Store.

Apple to ostatnia z wielkich firm technologicznych, która odniosła się do spraw podatności bezpieczeństwa, które powstały w wyniku wad projektowych procesorów Intel i ARM, z których korzystają urządzenia produkowane przez ten koncern.

Koncern poinformował również, że już pracuje nad ograniczeniem negatywnych konsekwencji, które może spowodować Meltdown. Zapowiedział jednocześnie, że wyda łatki bezpieczeństwa dla systemów iOS 11.2, Mac OS 10.13.2, a także tvOS 11.2.

Apple planuje również wydać aktualizację dla przeglądarki Safari zarówno w wersji na komputery, jak i na urządzenia mobilne, celem zapewnienia lepszej ochrony użytkowników przed Spectre. Luka ta może zostać znacznie łatwiej wykorzystana przez hakerów - wystarczy do niej wykonywalny złośliwy kod JavaScript umieszczony na odwiedzanej przez użytkownika stronie internetowej. Spectre to podatność, która dotyczy wszystkich architektur procesorowych zarówno od Intela, jak i AMD oraz ARM. W notatce na firmowym blogu Apple znalazła się również informacja potwierdzająca, że inteligentne zegarki Apple Watch nie są dotknięte przez Meltdown.

Luki bezpieczeństwa Meltdown i Spectre zostały odkryte przez specjalistów ds. zabezpieczeń z zespołu Google Project Zero i naukowców współpracujących z Paulem Kocherem, którzy poinformowali o nich Intela, AMD i ARM jeszcze w czerwcu 2017 roku. Oba problemy dotyczą przydzielania dostępu aplikacjom zainstalowanym na komputerze czy urządzeniu mobilnym do pamięci jądra systemu operacyjnego. W praktyce oznacza to, że hakerzy mogą uzyskać dostęp do danych takich, jak hasła, klucze kryptograficzne czy inne informacje znajdujące się w pamięci bez wiedzy i zgody użytkownika.

Daniel Gruss, ekspert z politechniki w Grazu ocenił, że wadą mogą być dotknięte miliardy urządzeń. Chodzi o komputery stacjonarne, laptopy czy smartfony.

Brian Krzanich, dyrektor zarządzający Intela, stwierdził, że firma wie o błędzie "od jakiegoś czasu" i testowane są już poprawki, które rozwiążą problem. Mają one trafić do użytkowników komputerów w przyszłym tygodniu. - Zanim sprawa stała się publiczna, planowaliśmy poinformować o niej 9 stycznia, kiedy do użytkowników trafią łatki rozwiązujące problem - powiedział Brian Krzanich i zaprzeczył jednocześnie, że łatki spowodują znaczne spowolnienie działania komputerów opartych na układach Intela. - W przeciwieństwie do tego, co wynika z niektórych publikacji, wpływ na wydajność będzie zależny od obciążenia procesora. Dla przeciętnego użytkownika komputera nie powinien być on znaczący i będzie łagodzony w miarę upływu czasu - mówił Krzanich.

Co ciekawe, Krzanich sprzedał znaczną część swojego udziału w spółce w listopadzie, czyli kilka miesięcy po tym, jak specjaliści firmy Google poinformowali Intel o luce, ale jeszcze zanim ten problem stał się powszechnie znany.

Szef koncernu pozbył się akcji wartych co najmniej 24 miliony dolarów. Zostało mu zaledwie 250 tysięcy akcji, czyli minimum, jakiego wymaga od niego zajmowane w spółce stanowisko.

Autor: tol//dap / Źródło: PAP, CNN Money