anatoligreen

В начале января IT-исследователи рассказали о крупнейшей уязвимости, которой подвержены практически все современные компьютеры и телефоны. Дыра в безопасности, в результате которой злоумышленники могут получить доступ к личным данным пользователей, была обнаружена независимыми группами исследователей еще полгода назад, однако разработчики процессоров попросили до 9 января не разглашать данные, чтобы успеть исправить ошибку. «Медуза» рассказывает, что нужно знать об уязвимостях и как с ними бороться.

Что за уязвимости?

Уязвимости, получившие названия Meltdown и Spectre, были найдены командами Google Project Zero и Грацского технического университета. 1 июня 2017 года они отправили отчеты о проблеме компаниям Intel, AMD и ARM, занимающим более 90 процентов на рынке производителей процессоров.

Обнаруженные исследователями уязвимости особенно масштабны, поскольку фундаментальная ошибка содержится не в программном обеспечении, а в самих процессорах.

Meltdown («Расплавление») разрушает изоляцию между пользовательскими приложениями и операционной системой при спекулятивном выполнении команд. Таким образом, программа-злоумышленник может получить несанкционированный доступ к оперативной памяти ядра — и прочитать закрытые данные.

Spectre («Призрак», общее название для еще двух уязвимостей) позволяет вредоносному агенту считывать данные, к которым он не должен иметь доступ, — например, пароли из интернет-браузера.

Уязвимости Meltdown подвержены практически все процессоры, выпущенные компанией Intel с 1995 года (кроме моделей Intel Itanium и Intel Atom, выпущенных до 2013 года). Spectre же касается не только процессоров Intel, но и AMD и ARM (семейства Cortex-A и Cortex-R). Проще говоря, это почти все устройства — от персональных компьютеров и ноутбуков до смартфонов. При этом следов вторжения Meltdown и Spectre не оставляют — пользователи вряд ли смогут определить, украли ли у них данные.

Почему о них стало известно только сейчас?

2 января 2018 года об уязвимостях сообщил сайт The Register. 9 января производители процессоров и другие крупные IT-компании намеревались выпустить совместный отчет о решении проблемы — однако информация оказалась в публичном доступе за неделю до того. Обнаружившая уязвимости команда исследователей Грацского университета создала сайт с подробным описанием своих находок.

Что говорят производители процессоров и программ?

3 января компания Intel заявила, что в курсе проблемы и вместе с другими производителями работает над ее решением. Компания пообещала в ближайшие дни выпустить официальные обновления, которые устранят возникшие уязвимости. При этом в Intel подчеркнули, что выявленные ошибки «не могут повредить, изменить или удалить данные пользователей» — хотя проблема с уязвимостями прежде всего не в повреждении или изменении данных, а в их возможной краже.

В Apple подтвердили, что уязвимость присутствует на всех компьютерах и телефонах, произведенных компанией. В Google заявили, что устранили все уязвимости во всех своих продуктах, — и опубликовали технические инструкции по защите от потенциальных атак с помощью Meltdown и Spectre. Представители Amazon сообщили, что все клиенты компании защищены от уязвимостей Meltdown и Spectre. В компании также отметили, что не наблюдали значительного влияния уязвимостей на производительность своих продуктов.

Как с этим бороться? Мне что-то угрожает?

Если совсем просто: обновить все, что можно обновить (а лучше — включить автоматические обновления).

Уязвимость Meltdown проще эксплуатировать, однако для ее устранения достаточно обновить операционную систему — и Microsoft, и Apple уже выпустили соответствующие обновления для своего программного обеспечения. Если у вас версия Windows ниже 10, придется скачать и установить обновление вручную; в противном случае система обновится автоматически. Обновления, которые позволяют устранить Meltdown, способны серьезно (на треть) замедлить операции, которые требуют обращения к ядру системы, — например, если вам нужно посмотреть размер папки на диске, — однако для более обычных действий вроде просмотра сайтов в интернете или видеоигр таких операций требуется совсем немного.

Использовать во вредоносных целях уязвимость Spectre сложнее, но тоже возможно. Чтобы устранить ее, придется обновлять отдельные программы. Главным образом — браузеры: благодаря Spectre можно получать доступ к пользовательским паролям; это уже обнаружили и поправили в Firefox.

Производители (например, Apple) также рекомендуют не пользоваться никаким подозрительным программным обеспечением и скачивать приложения только из проверенных источников.