Meltdown & Spectre Exploits: 8 essentiële inzichten voor het beschermen van uw systemen

Bijna alle computers en apparaten wereldwijd zijn blootgesteld aan beveiligingslekken die ze kwetsbaar maken voor aanvallen. Gelukkig is tot nu toe geen informatielek gemeld, maar de bugs die ontdekt zijn kunnen beschouwd worden als een van de ergste beveiligingslekken in processors.

Hieronder hebben we bijna alle aspecten (technisch en zakelijk) van deze bug gedekt. Laten we ontdekken wat er precies is gebeurd.

1. Wat zijn de fouten?

Er zijn twee vergelijkbare beveiligingsbugs, gedoopt als Meltdown en Spectre.

Meltdown: Een hardware-kwetsbaarheid die desktopcomputers, laptops en servers met Intel-processors beïnvloedt. Het breekt de fundamentele isolatie tussen besturingssysteem en gebruikersapplicaties, waardoor het programma toegang krijgt tot het geheugen en dus de geheimen van andere programma's.

Specifiek profiteert Meltdown van de neveneffecten van out-of-order-uitvoering op de huidige chips om willekeurige kernel-geheugenlocaties te lezen. De aanval is niet afhankelijk van besturingssysteem- of softwarekwetsbaarheden.

Eenmaal beïnvloed, kan Meltdown het geheugen van andere processen of virtuele machines in de cloud lezen zonder enige privileges of gebruikersmachtigen, wat vrijwel elke PC-gebruiker beïnvloedt.

Spectre: Het heeft een breder bereik. Het beïnvloedt computers, tablets en smartphones aangedreven door Intel, AMD en ARM. Het kan de isolatie tussen verschillende applicaties breken, en aanvallers in staat stellen om foutloze programma's te laten lekken van hun privésdata.

Spectre exploiteert de "Speculative Execution" die in bijna alle moderne chips gebruikt wordt. Het lokt de processor om speculatief instructiereeksen uit te voeren die niet uitgevoerd hadden moeten worden tijdens correcte programma-uitvoering.

Naast het schenden van procesisolatiegrenzen via native code, kunnen Spectre-aanvallen ook gebruikt worden in JavaScript-code die in een browser draait om toegang te krijgen tot geheugen in het proces van de aanvaller.

Beiden gebruiken zij-kanaalen om de data uit de toeganggeheugenlocatie te extraheren. Als je deze twee vergelijkt, is Spectre tamelijk moeilijker te exploiteren dan Meltdown, maar ook moeilijker te mitigeren.

2. Wat voor type informatie is in gevaar?

Deze bugs kunnen wachtwoorden in een browser of wachtwoordbeheerder, toetsaanslagen, direct berichten, e-mails, je persoonlijke foto's en bedrijfskritische data lekken.

3. Welke systemen zijn beïnvloed en hoe groot is het?

Zoals hierboven vermeld, geldt Meltdown-kwetsbaarheid alleen voor Intel-processors (niet AMD of ARM). Onderzoekers hebben het getest op CPU's gelanceerd vanaf 2011. Theoretisch is elke Intel-processor uitgegeven na 1995 een doelwit. Intel gelooft dat deze fouten niet het potentieel hebben om informatie te wijzigen, te corrumperen of te wissen.

Spectre-kwetsbaarheid is aan de andere kant veel erger, het kan alle apparaten schaden die draaien op Intel, AMD en ARM-processors. Bovendien, afhankelijk van het ontwerp en de infrastructuur van cloudproviders, kan het mogelijk zijn om gevoelige data van andere klanten te stelen. Diensten zoals LXC, Docker en OpenVZ zijn in gevaar.

Dus als je benieuwd bent of je apparaat beïnvloed wordt door deze bugs, zouden we zeggen: zeker ja.

4. Hoe computers te beschermen?

Alle beïnvloede bedrijven werken aan het uitgeven van patches zo snel mogelijk. Gelukkig zijn softwarepatches beschikbaar voor Meltdown. Google, Microsoft en Mozilla geven patches voor hun browsers uit als eerste verdedigingslijn.

Hier de snelle stappen die je kunt nemen:

1. Update naar de nieuwste versie van Chrome (uit te geven op 23 januari) en Firefox 57.
2. Zorg dat je KB4056892 voor Windows 10 hebt geïnstalleerd.
3. Linux-gebruikers kunnen KAISER bekijken.
4. Controleer OEM-website voor firmware-update en ondersteuningsinformatie en pas eventuele snel toe.

Google zegt dat het de issues voor hun Android-apparaten (Nexus en Pixel) heeft opgelost met de nieuwste beveiligingsupdates.

Onderzoekers werken ook aan een permanente oplossing tegen toekomstige exploitatie van Spectre. Aangezien het niet makkelijk te fixen is, zal het ons nog even lastigvallen.

5. Zal de fix je apparaat vertragen?

Helaas, het antwoord is ja. Een paar onderzoekers stelden dat elke fix je apparaat tot 30 procent kan vertragen. Echter, Intel gelooft dat ze alleen overschattingen zijn. Volgens Intel hangt elke prestatie-impact af van de workload; voor gemiddelde computergebruikers zou de impact niet significant moeten zijn.

Dat betekent, als je je computer gebruikt voor e-mails checken en web browsen, zul je geen verschil ervaren.

6. Hoe reageerde de tech-industrie en markt?

Dit zijn waarschijnlijk een van de ergste processorbugs ooit ontdekt, en dit is een huge deal voor alle tech-industrieën. Ze zullen besturingssystemen moeten herontwerpen en processorarchitectuur aanpassen.

Google stelde dat het de beïnvloede bedrijven over de Spectre-bug in juni 2017 had geïnformeerd, en later over de Meltdown-bug in juli.

In november 2017 verkocht Intel CEO Brian Krzanich $24 miljoen aan aandelen. BusinessInsider rapporteerde dat hij op de hoogte was van de chip-kwetsbaarheid toen hij aandelen verkocht.

Deze bugs slaan Intel's aandeel hard, terwijl concurrent AMD's aandeel stijgt.

Omdat Spectre en Meltdown zeer fundamentele fouten onthullen in hoe computerprocessors gestructureerd zijn, zal er een serieuze impact en heroverweging zijn over hoe dergelijke technologie in de toekomst wordt ontwikkeld.

7. Wie rapporteerde deze bugs?

Meltdown-kwetsbaarheid werd ontdekt en gerapporteerd door 3 teams – onderzoekers bij Cyberus Technology, Graz Universiteit van Technologie en Google Project Zero.

Dezelfde onderzoekers bij Google Project Zero en Graz Universiteit van Technologie ontdekten en rapporteerden Spectre.

8. Officiële referenties

De CVE (Common Vulnerabilities and Exposures) is de standaard voor informatiebeveiligingskwetsbaarheid en hun namen en ID's zijn opgenomen in het MITRE-systeem en in de US National Vulnerability Database.

De officiële referentie voor Meltdown is CVE-2017-5754, terwijl voor Spectre het CVE-2017-5715 en CVE-2017-5753 is.