Ir al contenido
Shiba87

Inseguridad por diseño. A vueltas con con Meltdown y Spectre

Recommended Posts

oV3eYVo.png

 

Comenzamos el año con una noticia perturbadora dentro del mundo tecnológico y de la que son protagonistas Meltdown y Spectre, dos vulneravilidades graves y que afectan a millones de dispositivos.

 

La prensa sensacionalista no se ha hecho de rogar y están, dicho de manera simple y llana, tirando mierda como si no hubiera mañana, con grandes muestras de fanatismo por cierta marca o su rival y nubes y claros por la zona de levante.

Si hay algo que se puede sacar en claro es que estos medios se especializan en pintar las cosas de tonos de amarillo y rosa y poco más.

 

¿Qué ocurre realmente? Pues vamos a intentar indagar un poco a ver si no enteramos. Y dado que Pablo Isua ha hecho un análisis bastante cortito y comprensible, a la par que completo, en su cuenta de Twiter, vamos a partir de ahí

 

 

 

 

 

En primer lugar debemos saber que hablamos de un problema de seguridad a nivel de hardware que se remonta dos décadas o más, por lo que podemos decir con casi total certeza que todos nuestros dispositivos serán vulnerables.

Tanto Spectre como Meltdown se aprovechan de ciertas características de los microprocesadores conocidas como ejecución especulativa y ejecución fuera de orden, técnicas muy antiguas y que, dicho de manera sencilla, buscan "predecir" la instrucción a ejecutar a continuación por el procesador para aprovechar los tiempos en que este está ocioso para adelantar trabajo y aprovechar mejor los recursos en lugar de ejecutar instrucción tras instrucción de manera secuencial.

El rastro de este proceso es lo que hace posibles las dos vulnerabilidades antes mencionadas:

 

JIaJT0y.png

 

Meltdow permitiría acceder, desde un proceso con bajos privilegios, a la zona reservada en el mismo para el kernel, permitiendo tener acceso directo a la memoria física y acceder a información confidencial.

Es una vulnerabilidad que es relativamente fácil de explotar y está es la razón por la que ha cundido el pánico.

La solución planteada en este momento es radical, a la espera de mejores alternativas, y es deshabilitar todo lo relacionado con estas características de la CPU. Resultando en la tan mencionada y polémica pérdida de rendimiento de entre un 5 y un 30% de la que tanto eco se hacen los medios. En el caso de Linux hemos visto como el parche se centra en proveer un aislamiento de la tabla de páginas del núcleo (Page Table Isolation o PTI) para procesadores de arquitectura x86, que ha aplicado de manera inmediata en versiones activas y en desarrollo del kernel.

 

 

Esta vulnerabilidad parece afectar EXCLUSIVAMENTE a procesadores Intel (a excepción de los Itanium y Atom), aunque con el paso de los días y según avance la investigación al respecto, podremos estar más seguros.

 

 

jiN7uqE.png

 

Spectre, por su parte, rompe la barrera entre aplicaciones, permitiendo manipular o "engañar" al kernel para que revelen información sensible almacenada en zonas de memoria que controle el proceso relacionado con dicha aplicación.

Este malware es más complejo a la hora de explotarlo y requeriría que el malware estuviera presente y ejecutándose en el mismo equipo a vulnerar.

 

Esta vulnerabilidad es de carácter general, basada en una gama más amplia de de características de ejecución especulativa. Esto afecta a cualquier procesador, tanto Intel como AMD e incluso procesadores de arquitectura ARM son vulnerables a Spectre y, de momento, no existe ninguna solución posible para este problema.

 

 

Repercusiones

 

Más allá de tomar nosotros mismos la decisión radical de iniciar nuestro equipo con la opción pti=off (haciendo así caso omiso del parche que corrige la vulnerabilidad), como usuarios no podemos hacer gran cosa al respecto hasta que los fabricantes y desarrolladores no den con una solución al problema.

No obstante, como usuarios tampoco nos veremos afectados en prácticamente ningún aspecto por los daños colaterales que suponen las soluciones actuales para estas vulnerabilidades.

En un escenario donde se haga uso de aplicaciones que hagan múltiples cambios al modo kernel, que son todas, o al menos la inmensa mayoría de aplicaciones que utilizamos a diario, no habrá ninguna penalización de rendimiento.

Donde sí resultará un drama será en centros de datos, servicios en la nube y similares, tanto en la parte que respecta a la seguridad, como en lo que se refiere a pérdida de rendimiento.

 

Las primeras pruebas que se han hecho públicas en diferentes portales así lo avalan. No hay diferencia apreciable de rendimiento a la hora de jugar, reproducir contenido multimedia, trabajar con documentos y otras aplicaciones de uso común, así que de momento lo que debemos hacer es mantener nuestros equipos actualizados y seguir pendientes de nueva información acerca de este gigantesco problema con el que los fabricantes están obligados a lidiar, de una manera u otra, a partir de ahora, aunque desde el CERT (Computer emergency response team) ya han asegurado que la única solución a la vista es, dado que se trata de un problema que radica en el hardware, sustituir todos los microprocesadores afectados por nuevos componentes sin este problema de diseño.

 

https://meltdownattack.com/

 

 

Compartir este post


Enlace al post
Compartir en otros sitios

Pues andaba yo bastante liado con este tema, que no preocupado, pq tal como dices le estan dando mucho bombo sensacionalista y ante estas cosas yo reacciono, generalmente, de forma totalmente contraria, me quedo mas tranquilo que unas pascuas.

 

Pero eso, que mucho bombo pero en ningun sitio decian las cosas realmente como son, asi que he caido y he dicho, voy a ver a mis linuxeros que ahi seguro que te lo cuentan tal cual es sin mas.

 

Agradecido de la informacion, de todo lo que circula por internet sobre esto, ha sido donde unicamente me enterado realmente de que va.

 

Pues nada, yo sigo con xubuntu y con fedora 27 y pues ya se actualizaran y solucionaran. 

 

A mi me llamo mucho la atencion que estas vulnerabilidades llevan desde 1995 y si, seran graves, claro esta, pero de momento no ha pasado nada que se sepa en todos estos años, ahora que se ha echo publico, pues sacan la solucion que sea y a correr, todos lo demas es como bien dices prensa sensacionalista, etc, que parece que se acabe el mundo.

 

Saludos a todos.

Editado por Einar

Compartir este post


Enlace al post
Compartir en otros sitios

usar NoScript en el navegador, instalar aplicaciones desde repositorios (nada de npm, pip, cargo o similar) y actualizar con unos dias despues de publicadas las actualizaciones... para no terminar con un ladrillo, en resumen "lo normal"

 

huuu, mi hardware  habitual se murio y tube que renovar, una fecha muy jodida para hacer cambio de equipo, entre procesadores con pasta de dientes (intel), "vulneravilidades", sistemas operativos embebidos (intel-amd), fallos de diseño (rizen) y la ram con precio en bitcoins el panorama esta jodido

Compartir este post


Enlace al post
Compartir en otros sitios

Registra una cuenta o conéctate para comentar

Debes ser un miembro de la comunidad para dejar un comentario

Crear una cuenta

Regístrate en nuestra comunidad. ¡Es fácil!

Registrar una cuenta nueva

Iniciar Sesión

¿Ya tienes cuenta? Conéctate aquí.

Iniciar Sesión

×