Exploits Meltdown &Spectre:8 insights essenciais para proteger seus sistemas

Quase todos os computadores e dispositivos em todo o mundo foram expostos a falhas de segurança que os deixam vulneráveis a ataques. Felizmente nenhum vazamento de informações foi relatado até o momento, mas os bugs descobertos podem ser considerados uma das piores falhas de segurança nos processadores.

Abaixo, cobrimos quase todos os aspectos (técnicos e comerciais) desse bug. Então vamos descobrir o que exatamente aconteceu.

1. Quais são as falhas?

Existem dois bugs de segurança semelhantes, apelidados de Meltdown e Spectre.

Colapso:  Uma vulnerabilidade de hardware que afeta computadores desktop, laptops e servidores executados em processadores Intel. Ele quebra o isolamento fundamental entre o sistema operacional e os aplicativos do usuário, permitindo que o programa acesse a memória e, portanto, os segredos de outros programas.

Especificamente, o Meltdown aproveita os efeitos colaterais da execução fora de ordem nos chips atuais para ler locais arbitrários de memória do kernel. O ataque não depende de nenhum sistema operacional ou vulnerabilidade de software.

Uma vez que o dispositivo é afetado, o Meltdown pode ler a memória de outros processos ou máquinas virtuais na nuvem sem quaisquer privilégios ou permissões de usuário, afetando praticamente todos os usuários de um PC.

Informações detalhadas: colapso



Espectro: Tem um alcance mais amplo. Afeta computadores, tablets e smartphones com tecnologia Intel, AMD e ARM. Ele pode quebrar o isolamento entre diferentes aplicativos e permitir que invasores engane programas livres de erros para que vazem seus dados privados.

Spectre explora a “Execução Especulativa” usada em quase todos os chips modernos. Ele engana o processador, fazendo-o executar especulativamente sequências de instruções que não deveriam ter sido executadas durante a execução correta do programa.

Além de violar os limites de isolamento do processo por meio de código nativo, os ataques Spectre também podem ser usados em código JavaScript executado em um navegador para acessar a memória no processo do invasor.

Informações detalhadas: Ataques Espectrais - Explorando a Execução Especulativa

Ambos usam canais laterais para extrair os dados do local de memória acessado. Se você comparar os dois, o Spectre é muito mais difícil de explorar do que o Meltdown, mas também mais difícil de mitigar.

2. Que tipo de informação está em risco?

Esses bugs podem vazar senhas em um navegador ou gerenciador de senhas, pressionamentos de tecla, mensagens instantâneas, e-mails, suas fotos pessoais e dados críticos para os negócios.

3. Quais sistemas são afetados e qual é o seu tamanho?

Como mencionamos acima, a falha Meltdown se aplica apenas a processadores Intel (não AMD ou ARM). Os pesquisadores o testaram em CPUs lançadas já em 2011. Teoricamente, todo processador Intel lançado depois de 1995 é um alvo. A Intel acredita que essas falhas não têm potencial para modificar, corromper ou apagar informações.

A falha Spectre, por outro lado, é muito pior, pode prejudicar todos os dispositivos rodando em processadores Intel, AMD e ARM. Além disso, dependendo do design e da infraestrutura dos provedores de nuvem, poderá ser possível roubar dados confidenciais de outros clientes. Serviços como LXC, Docker e OpenVZ estão em risco.

Portanto, se você está curioso para saber se o seu dispositivo é afetado por esses bugs, diríamos que certamente sim.

4. Como proteger computadores?

Todas as empresas afetadas estão trabalhando para lançar patches o mais rápido possível. Felizmente, patches de software estão disponíveis para o Meltdown. Google, Microsoft e Mozilla estão lançando patches para seus navegadores como primeira linha de defesa.

Aqui está o passo rápido que você pode dar-

1. Atualize a versão mais recente do Chrome (lançada em 23 de janeiro) e do Firefox 57.
2. Verifique se você instalou o KB4056892 para Windows 10.
3. Os usuários do Linux podem conferir o KAISER.
4. Verifique o site do OEM para obter atualizações de firmware e informações de suporte e aplique-as rapidamente.

O Google afirma que corrigiu os problemas de seus dispositivos Android (Nexus e Pixel) com as atualizações de segurança mais recentes.

Os pesquisadores também estão trabalhando para encontrar uma solução permanente contra a exploração futura do Spectre. Como não é fácil de consertar, vai nos assombrar por um bom tempo.

5. A correção deixará seu dispositivo lento?

Infelizmente, a resposta é sim. Alguns pesquisadores afirmaram que qualquer correção pode deixar seu dispositivo lento em até 30%. No entanto, a Intel acredita que são apenas afirmações superestimadas. Segundo a Intel, qualquer impacto no desempenho depende da carga de trabalho; para os utilizadores médios de computadores, o impacto não deverá ser significativo.

Isso significa que, se você usar seu computador para verificar e-mails e navegar na web, não sentirá nenhuma diferença.

6. Como a indústria tecnológica e o mercado reagiram?

Esses são provavelmente um dos piores bugs de processador já descobertos e são um grande problema para todos os setores de tecnologia. Eles precisarão redesenhar o sistema operacional e ajustar a arquitetura do processador.

O Google afirmou que notificou as empresas afetadas sobre o bug Spectre em junho de 2017 e posteriormente informou sobre o bug Meltdown em julho.

Em novembro de 2017, o CEO da Intel, Brain Krzanich, vendeu US$ 24 milhões em ações. BusinessInsider relatou que estava ciente da vulnerabilidade do chip quando vendeu ações.

Esses bugs estão atingindo fortemente as ações da Intel, enquanto a participação da rival AMD está disparando.



Como Spectre e Meltdown revelam falhas fundamentais na forma como os processadores de computador são estruturados, haverá um sério impacto e será repensado sobre como essa tecnologia será desenvolvida no futuro.

7. Quem relatou esses bugs?

A falha Meltdown foi descoberta e relatada por três equipes – pesquisadores da Cyberus Technology, Graz University of Technology e Google Project Zero.

Os mesmos pesquisadores do Google Project Zero e da Graz University of Technology descobriram e relataram o Spectre.

8. Referências Oficiais

Leia:15 piores vírus de computador de todos os tempos | Explicado

O CVE (Vulnerabilidades e Exposições Comuns) é o padrão para vulnerabilidade de segurança da informação e seus nomes e IDs estão listados no sistema MITRE e no Banco de Dados Nacional de Vulnerabilidades dos EUA.

A referência oficial ao Meltdown é CVE-2017-5754, enquanto para o Spectre é CVE-2017-5715 e CVE-2017-5753.