Meltdown e Spectre sono vulnerabilità di sicurezza che riguardano la maggior parte delle moderne CPU. Gli exploit pratici per queste vulnerabilità sono stati scoperti autonomamente nel 2017 dai ricercatori dell'Università di Tecnologia di Graz in Austria e dal Progetto Zero di Google in California. Le vulnerabilità sono state formalmente annunciate il 3 gennaio 2018.

La fusione è una vulnerabilità specifica delle CPU Intel. Quando alle CPU Intel viene chiesto di precaricare i dati, leggono i dati prima di verificare i privilegi dell'utente. Sebbene i dati privilegiati non vengano consegnati all'utente non privilegiato, la CPU opera in modo diverso in base ai dati specifici che sono stati recuperati. Un utente malintenzionato può monitorare le prestazioni del processore in un canale laterale e discernere dettagli importanti sui dati. Questa informazione migliora o garantisce la possibilità che i successivi attacchi abbiano successo.

L'effetto è simile al vedere qualcuno che muove qualcosa dietro una tenda. Non puoi vedere la cosa, ma se riesci a vedere la sua forma e il suo movimento nella tenda, puoi fare un'ipotesi plausibile su cosa sia. Si chiama "Meltdown" perché la barriera informativa che protegge i dati privilegiati viene effettivamente dissolta dall'attacco.

Il video qui sotto, creato dai ricercatori che lo hanno scoperto, mostra un attacco di Meltdown proof-of-concept in azione.

Spettro

Spectre è simile a Meltdown, ma invece di attaccare il comportamento proprietario di un chip, ha come obiettivo la debolezza precedentemente sconosciuta di un paradigma di progettazione della CPU fondamentale.

Il paradigma, l'esecuzione fuori ordine, utilizza l'esecuzione speculativa per "indovinare" quale operazione dovrebbe succedere dopo, e fare un po 'di quel lavoro in anticipo. Se l'ipotesi è corretta, viene raggiunta un'importante accelerazione. Le CPU con questo design sono chiamate processori superscalari. Le CPU più moderne sono superscalari, come quelle dei moderni desktop, laptop e dispositivi mobili.

Spectre sfrutta i processori superscalari manipolando le loro previsioni sui rami speculativi (ipotesi). L'utente malintenzionato emette istruzioni elaborate per causare supposizioni errate da parte della CPU, che consente l'analisi del canale laterale. Spectre quindi usa queste informazioni per manipolare il codice che la CPU esegue successivamente, incluse le istruzioni private di un altro programma in esecuzione. Questo tipo generale di attacco è chiamato iniezione bersaglio di ramo .

Gli attacchi Spectre sono difficili da attuare, perché devono mirare in modo specifico al software della vittima. Sono anche più difficili da prevenire, perché riguardano tutti i processori superscalari, compresi quelli creati da Intel, AMD e ARM.

La vulnerabilità è chiamata "Spectre" in riferimento all'elaborazione speculativa e poiché questo problema "perseguiterà" il mondo dei computer per molti anni a venire.

Perché sono importanti?

Queste vulnerabilità esistono nei circuiti fisici della CPU, quindi sono molto difficili da risolvere.

Meltdown colpisce ogni CPU Intel creata negli ultimi vent'anni. Lo spettro colpisce una parte fondamentale della maggior parte delle moderne CPU.

Gli attacchi di fusione possono essere mitigati dalle modifiche al sistema operativo, il che si tradurrà in prestazioni più lente. Tuttavia, per gli attacchi Spectre, nessuna mitigazione basata sul software potrebbe essere possibile.

Il mio dispositivo è interessato?

Computer desktop e portatili

La fusione ha effetti su tutti i processori Intel risalenti almeno al 1995. Al momento, le correzioni sono in fase di sviluppo per Microsoft Windows, macOS X e sistemi operativi Linux. Queste correzioni mitigano la possibilità di attacco a livello di kernel, con un costo stimato delle prestazioni del 5-10%.

Spectre colpisce tutti i processori superscalari, che include la maggior parte delle CPU consumer. I processori scalari non sono interessati. Ad esempio, il Raspberry Pi utilizza processori ARM scalari, che non impiegano l'elaborazione speculativa e non sono vulnerabili a questo attacco.

Dispositivi mobili

I dispositivi Android e iOS, come smartphone e tablet, sono teoricamente suscettibili a entrambi gli attacchi. Tuttavia, le versioni più recenti di Android e iOS includono aggiornamenti per mitigare Meltdown; e gli attacchi Spectre, mentre possibile, si sono dimostrati altamente impraticabili.

Browser Web

Se si utilizza Firefox Quantum (versione 57 o successiva), si è protetti da fusione quando si esegue il codice, ad esempio JavaScript, nel browser.

Google ha annunciato che la versione 64 di Chrome, con una data di rilascio stimata del 23 gennaio 2018, mitigherà Meltdown nel browser.

Gli utenti di Microsoft Edge possono aspettarsi che il browser venga corretto automaticamente da Windows Update. Opera ha anche annunciato un imminente aggiornamento sulla sicurezza per mitigare Meltdown.

Come posso proteggere il mio dispositivo?

Per proteggere il tuo dispositivo dall'attacco di Meltdown, installa tutti gli aggiornamenti attualmente disponibili per il tuo sistema operativo.

• Per Windows 10, 8 e 7, verificare la presenza di un nuovo aggiornamento di Windows.
• Per macOS X, controlla i nuovi aggiornamenti di sicurezza nell'App Store.
• Per Android, installa l'aggiornamento di sicurezza di Google dicembre 2017 sul tuo smartphone o tablet. Puoi trovare gli aggiornamenti in Impostazioni, Informazioni sul dispositivo . I nuovi telefoni Pixel, Nexus e Galaxy sono immediatamente idonei per l'aggiornamento della sicurezza. Rivolgiti al produttore se non sei sicuro che l'aggiornamento sia disponibile per il tuo dispositivo.
• Per iOS, installa iOS 11.2 o versioni successive sul tuo smartphone o tablet. Per verificare la disponibilità di aggiornamenti, vai su Impostazioni, Generale, Aggiornamento software .