¿Cómo afecta la vulnerabilidad meltdown y spectre? ¿Me afecta a mí?

¿Cómo afecta la vulnerabilidad meltdown y spectre? ¿Me afecta a mí? ¿Cómo solucionarlo?… Son unas de las muchas preguntas que han dado que hablar sobre el tema. Hace tan sólo un mes, se han desclasificado unas vulnerabilidades descubiertas en el diseño de los procesadores (Meltdown y Spectre). Todos los fabricantes, tanto de procesadores como de software, están poniendo todos sus recursos en desarrollar actualizaciones y «microcódigo» para paliar el problema.

Como es muy fácil escuchar posicionamientos de todo tipo respecto a esta situación, desde HSI queremos aportar nuestra visión del tema, ahora que han pasado unos días y la información está más contrastada.

Lo más importante, ¿es grave?

Sí, lo es. Probablemente, es la mayor vulnerabilidad de la historia. Además, afecta a prácticamente todos los procesadores fabricados desde 1995, por lo que la superficie de ataque es muy amplia. El tipo de acceso que, potencialmente, se podría llegar a obtener explotándola es muy profundo, porque sería capaz de leer datos de la memoria reservada del sistema. Esto puede llegar a incluir contraseñas o claves de cifrado.

¿Me afecta?

Como se explica en el punto anterior, sí. Casi con total seguridad, dado que afecta a cualquier tipo de procesador. Otra cosa es que sea sencillo que un atacante malicioso pueda sacar provecho real, este punto no es fácil de determinar actualmente.

¿Cómo funcionan?

Estas vulnerabilidades explotan un hueco de seguridad de una característica de diseño llamada «ejecución especulativa». Esta función permite anticiparse a supuestos considerados probables. Es decir, si en un código hay dos opciones posibles, como «guardar» y «eliminar», el procesador prepara ambas para ahorrar tiempo. Cuando el usuario valida la correcta, el resto de opciones que tenía preparadas en caché se destruye. Como la mayoría de las veces acierta en la predicción, se aumenta notablemente la agilidad de la respuesta del sistema a ojos del usuario.

Pues bien, estas vulnerabilidades permitirían acceder a estos datos preparados en la caché del procesador, enviándole peticiones para aprovechar los datos descartados y tomar su información.

Mitigar estas vulnerabilidades significa eliminar esta característica que mejora el rendimiento, y que ha sido una piedra angular en el diseño de procesadores en las últimas décadas.

Los reportes provisionales hablan desde una merma de rendimiento inapreciable hasta una penalización de entre el 5 y el 30%, en función del tipo de procesador del sistema afectado y otras consideraciones. Hay que pensar que estamos en la fase inicial del tratamiento del problema, así que es pronto para sacar conclusiones fiables.

Estos son los detalles más técnicos de ambas vulnerabilidades:

– Meltdown: afecta a los procesadores Intel fabricados a partir de 1995, excepto Itanium (muy poco frecuentes) y Atom anteriores a 2013. Rompe el aislamiento entre las aplicaciones de usuario y el sistema operativo, permitiendo a una aplicación sin privilegios elevados leer la memoria del sistema.
– Spectre: afecta a cualquier tipo de procesador, tanto Intel como AMD y ARM. Rompe el aislamiento entre diferentes aplicaciones. Esta vulnerabilidad es más compleja de explotar, pero también está resultando más difícil de paliar. Tanto es así, que de momento ninguna compañía ha desarrollado una forma real de protección contra Spectre. Por tanto, hay que ir actualizando parches con frecuencia y esperar acontecimientos.

¿Qué hago ahora?

Todos los fabricantes están concentrando sus esfuerzos en desarrollar soluciones para mitigar estas vulnerabilidades, así que se espera que vayan surgiendo novedades a buen ritmo. De momento, lo más importante es actualizar el sistema operativo y los navegadores:

– Windows: publicados fixes el 3 de enero (no para 2012 ni 2008 sin R2). Estos parches incluyen actualizaciones para Internet Explorer y Edge. También han publicado una guía para activar la mitigación: https://support.microsoft.com/en-us/help/4072698/windows-server-guidance-to-protect-against-the-speculative-execution
– Firefox: ya publicada la v.57
– Chrome: se publicará una versión nueva el 23 de enero. Mientras tanto, se recomienda activar el aislamiento entre sitios poniendo esto en la barra de navegación: chrome://flags#enable-site-per-process
– VMware: Parece ser que no es vulnerable a Meltdown, aunque sí a Spectre. Se han publicado algunos parches para mitigar el impacto: https://www.vmware.com/us/security/advisories/VMSA-2018-0002.html