Специалисты по компьютерной безопасности опубликовали список аппаратных уязвимостей, которым подвержены практически все современные устройства с микропроцессорами. Особенность этого типа уязвимости в том, что хакеры могут красть любую информацию – включая пароли.
Чтобы исправить эти ошибки, самые популярные чипы придется замедлить – другой возможности не существует. Одна уязвимость затрагивает только процессоры Intel, вторая – любые чипы, использующие технологию "предсказания ветвлений".
Об уязвимостях независимо заявили исследователи из Google Project Zero, Cyberus Technology и Грацского технического университета.
Meltdown
Суть ошибки в том, что чип пытается предсказать, какие действия от него потребуются в ближайшем будущем, и помещает данные программ в особую зону памяти. Данные остаются там даже после того, как процессор понимает, что предсказание было ошибочным. И любая программа – в том числе и вредоносная – может получить доступ к загруженным данным.
Вот наглядная демонстрация, как хакер, используя стандартный для сайтов язык JavaScript, может узнать пароль. Для этого ему даже не нужно загружать вирус или бэкдор на конкретный компьютер – достаточно, чтобы жертва зашла на сайт.
Этой уязвимости подвержены почти все процессоры, выпущенные Intel с 1995 года. Специалист австрийского Технологического университета Граца (Graz University of Technology) Дэниел Грюсс, который и обнаружил Meltdown, назвал эту ошибку "вероятно, одной из худших ошибок процессора из когда-либо найденных".
Spectre
Эта уязвимость касается и процессоров Intel, и чипов основных конкурентов этой корпорации – AMD и ARM Holdings. Организовать атаку с использованием Spectre сложнее, но и сама уязвимость, в отличие от Meltdown, касается всей логики предсказания ветвлений.
Суть уязвимости в том, что вредоносное приложение может получить информацию из другой программы, в том числе и пароли.
Вот как описал "для своего не слишком технически сведущего отца" атаку один из комментаторов:
"Допустим, вы решили узнать, какие книги берет в библиотеке интересующий вас человек. Библиотека отказывается делиться с вами информацией, кто брал книги, и не хранит записи о читателях под обложкой. Вы знаете только о книгах, которые получали сами.
Тогда вы приходите в библиотеку сразу за человеком, за которым следите. Вы просите у библиотекаря те книги, которыми мог интересоваться этот человек. Если библиотекарь говорит: "Вам повезло, такие книги у меня под рукой", значит вы уже знаете, какие книги читает интересующая вас персона. Если библиотекарь ушел искать заказанные вами книги – вы узнаете, что этот человек не интересовался этими книгами (на этот раз)".
Что делать
Microsoft выпустила экстренное обновление Windows: в версии 10 оно установится автоматически с 4 января (код KB4054022), а для Windows 8 и 7 патчи нужно устанавливать вручную.
Google доработала последние поколения своих мобильных устройств — Nexus 5X, Nexus 6P, Pixel C, Pixel/XL, и Pixel 2/XL: патчи автоматически загрузятся на устройства в январе, однако для завершения установки их будет необходимо перезагрузить.
Компания Google рассказала, какие действия стоит предпринять пользователям, чтобы не пострадать от ошибок.
Директор Intel Брайан Кжанич заявил, что им было известно о недостатках и 9 января они планировали выпустить окончательные предложения по исправлению обнаруженных ошибок. Однако, по его словам, обновления для устранения проблемы могут привести к тому, что чипы Intel будут работать на 5-30% медленнее.
FACEBOOK КОММЕНТАРИИ: