Luka w zabezpieczeniach procesorów Intela, AMD i ARM - czy jest się czego bać?

Informacje o luce w procesorach Intela wywołały spore zamieszanie w sieci. Czytelnicy zaczęli obawiać się nie tylko o swoje prywatne dane, ale o… spowolnienie komputerów. Na nowe doniesienia zareagowała nawet giełda, gdzie przez pewien czas akcje producenta zaczęły gwałtownie spadać (podczas gdy konkurencja zaczęła gwałtownie zyskiwać). Na czym polega problem, których systemów dotyczy i czy rzeczywiście mamy czego się obawiać?

Zacznijmy jednak od początku, a więc od genezy problemu. Wprawdzie pierwsze informacje o usterce zostały opisane w pracach naukowych i artykułach specjalistycznych już pół roku temu, ale publicznie temat omówiono pod koniec ubiegłego roku na konferencji 34 Chaos Communication Congress (34C3). Poniżej możecie zapoznać się z nagraniem wykładu, aczkolwiek polecamy go bardziej doświadczonym czytelnikom.

Co prawda Intel zareagował na doniesienia o usterce już jakiś czas temu i podjął działania w celu wyjaśnienia sytuacji, ale cała sprawa została objęta embargiem informacyjnym. Niestety, jak to zwykle w takich sprawach bywa, w sieci zaczęły pojawiać się przecieki i spekulacje, które nie zawsze były prawdziwe. Przekaz był jasny – procesory Intela zawierają poważną lukę, która wpływa na bepieczeństwo komputerów. Producenci przygotowują poprawki, ale ich zaaplikowanie poskutkuje znacznym spadkiem wydajności. No właśnie nie do końca...

Na czym polega problem?

Co prawda oficjalne oświadczenie Intela nie ujawnia tutaj zbyt wielu szczegółów (bo bardziej skupia się na ochronie dobrego imienia firmy), ale ciekawe informacje w tej sprawie zdradził zespół Projektu Zero, który opublikował specjalny wpis na blogu Google Security.

W procesorach występuje krytyczna luka, która pozwala na uzyskanie dostępu do innych procesów i wykradzenie istotnych informacji typu hasła przechowywane w menadżerze haseł lub przeglądarce internetowej, wiadomości e-mail, prywatnych zdjęć czy poufnych dokumentów. W przypadku dostawców usług w chmurze, możliwe jest wykradzenie danych klientów. Wykryta luka pozwala na dwa rodzaje ataku: Meltdown i Spectre.

Meltdown jest mniej groźnym atakiem, bo umożliwia odczytanie zawartości pamięci systemowej przez obcy proces. Co istotne, luka występuje w procesorach Intela produkowanych od 1995 roku z wyłączeniem modeli Atom i Itanium sprzed 2013 roku (na tę chwilę nie jest jasne czy jednostki AMD i ARM też są podatne na atak). Zagrożone są zatem komputery stacjonarne, laptopy i serwery chmurowe. Szczegółowe informacje znajdziecie w tym dokumencie.

Większe obawy budzi atak typu Spectre – trudniejszy do przeprowadzenia, ale pozwalający obcemu procesowi na odczytywanie pamięci innych procesów. W tym przypadku podatne są procesory Intel, AMD i ARM, więc problem dotyczy nie tylko komputerów, laptopów i serwerów, ale również urządzeń mobilnych. Tutaj szczegółowy opis ataku. Warto jednak wspomnieć, iż testy na układach AMD wykonano w niesprzyjającej konfiguracji. Nie wiadomo jak wygląda podatność w przypadku domyślnej.

Co istotne, według badaczy Projektu Zero, ataki nie pozostawiają żadnych śladów w komputerze ofiary. Zasada działania jest inna od złośliwego oprogramowania, więc oprogramowanie antywirusowe najprawdopodobniej nie wykrywa prób ataku. Nie możemy więc sprawdzić czy ktoś wykorzystał lukę i dobrał się do naszych poufnych informacji.

Jak zabezpieczyć się przed atakami?

Póki co łatwiej zabezpieczyć się przed atakiem Meltdown. Poprawki dla systemów Windows są po pierwszych testach w programie Insider Preview i zostały już udostępnione w usłudze Windows Update dla Windows 10 i Windows Server 2016 (poprawka KB4056892). Użytkownicy systemów Windows 7 i Windows 8/8.1 będą musieli poczekać na stosowne łatki trochę dłużej, bo do 9 stycznia. Poprawka może wywołać nieoczekiwane problemy z oprogramowaniem antywirusowym, więc tutaj producenci najprawdopodobniej też wprowadzą swoje aktualizacje.

Podobnie wygląda sytuacja z systemem macOS – wersja 10.13.2 zawiera podstawowe zabezpieczenia, a kolejne powinny zostać wprowadzone w kompilacji 10.13.3. Systemy z rodziny Linux również zostały wyposażone w odpowiednią łatkę – system Page-Table Isolation (PTI) został zaimplementowany w jądrach Linux 4.4.110 i Linux 4.9.75. Najwięksi dostawcy usług w chmurze (Amazon i Microsoft) już wprowadzili poprawki do serwerów.

Gorzej wygląda sprawa z zabezpieczeniem się przed atakiem typu Spectre, bo tutaj luka nie jest tak prosta do załatania. Wiadomo jednak, że firmy Intel, AMD i ARM, a także dostawcy systemów operacyjnych nawiązali współpracę, która ma na celu rozwiązanie problemu. Badacze twierdzą, że luka będzie dawać o sobie znać przez dłuższy czas.

To jednak nie wszystko, bo firma Google zaleca użytkownikom przeglądarki Chrome włączenie funkcji Site Isolation, a więc osobnej przestrzeni adresowej dla każdej z zakładek. Zadanie nie jest skomplikowane, a powinno choć trochę poprawić bezpieczeństwo systemu (tym bardziej, że jednym ze sposobów ataku może być umieszczenie złośliwego kodu JavaScript na stronie, który pozwoli na wykradzenie plików cookies).

Co ze spadkami wydajności?

Pierwsze informacje wskazywały na spore spadki wydajności, co dla niektórych użytkowników było znacznie większym zmartwieniem, aniżeli możliwość wykradzenia poufnych informacji (!). W rzeczywistości sytuacja nie jest tak zła, jak sugerowały pierwsze komunikaty w mediach. Zwykli, domowi użytkownicy komputerów raczej nie powinni odczuwać spowolnienia działania komputera.

Serwis ComputerBase opublikował pierwsze testy wydajności, które porównują działanie komputera przed i po wgraniu poprawki (do porównania wykorzystano testową kompilację systemu dostępną w programie Windows Insider).

Porównanie wydajności w testach procesorowych (źródło: ComputerBase)

Spadek wydajności w testach procesorowych jest marginalny (wynosi co najwyżej 1%).

Porównanie wydajności w grze (źródło: ComputerBase)

Trochę inaczej wygląda sytuacja w grach (za przykład posłużył Assassin's Creed: Origins). O ile przy wysokich ustawieniach graficznych płynność animacji praktycznie jest taka sama, tak przy niskich ustawieniach spadek wydajności wyniósł już 3%.

 
Porównanie wydajności dysku SSD (źródło: ComputerBase)

Testy wydajności dysku na przykładzie Samsunga SSD 960 PRO 512 GB też pokazały pewne różnice – szczególnie jest to widoczne przy odczycie próbki 4KiB Q32T1 i zapisie 4KiB Q1T1.

Mimo wszystko temat spadków wydajności na systemach Windows pozostaje otwarty. Nie wiadomo bowiem jaki wpływ na wydajność miała zaimplementowana poprawka, a jaki inne aktualizacje, które przy okazji mogły pojawić się w kompilacji.

Kilka słów podsumowania

Temat problemów z procesorami wywołał spore poruszenie w sieci. Co prawda duże obawy wiązano ze spadkami wydajności, ale jednak główne zaniepokojenie budzi podatność na ataki. Takie podejście z pewnością napawa optymizmem, bo bezpieczeństwo to jeden z tych tematów, który nie powinien być przez nas bagatelizowany.

Cieszy nas również fakt, iż czołowi gracze na rynku odpowiednio szybko zareagowali na komunikaty i ustosunkowali się do doniesień (chociaż na początku pojawiały się sprzeczne informacje – np. o podatności na ataki w przypadku układów AMD). Na pochwałę zasługuje również to, iż firmy podjęły współpracę w celu rozwiązania problemów i poprawy interesu swoich klientów.