Meltdown e Spectre: il punto della situazione

Si stima che le gravi falle di sicurezza, Meltdown e Spectre, scoperte nelle ultime ore interessano più del 90% dei dispositivi informatici di tutto il mondo.

[AdSense-A]

La questione si sta facendo più grave ora dopo ora: sto parlando dei tre bug soprannominati Meltdown e Spectre (due varianti) presenti nella quasi totalità dei processori realizzati da vent’anni a questa parte. La serietà sta nel fatto che colpisce in modo trasversale i produttori AMD, ARM ed Intel, intaccando di conseguenza anche tutti i sistemi operativi (desktop, embedded e mobile). Questo difetto di progettazione consente di poter accedere alla memoria protetta del Kernel (che dovrebbe essere inaccessibile) attraverso un qualsiasi programma eseguibile a livello utente; Semplificando ancora di più il concetto: qualsiasi malintenzionato può raccogliere password e dati sensibili presenti nella memoria del nostro dispositivo in uso senza lasciare alcuna traccia, anche tramite una semplice pagina web. Tuttavia c’è una differenza sostanziale tra Meltdown e Spectre.

Meltdown

E’ il primo ad essere stato scoperto e colpisce solo i processori marchiati Intel prodotti dal 1995 in poi, con l’esclusione degli Itanium e degli Atom precedenti al 2013. Rispetto a Spectre è più facile sfruttare questa falla ma al tempo stesso è anche quella più semplice da correggere: basta infatti applicare una patch di sicurezza, che isola correttamente la porzione di memoria interessata dal problema. Apple, Google e Microsoft stanno già rilasciando in queste ore gli aggiornamenti di emergenza, che riguarderanno anche funzionalità di protezione per i propri browser mentre per i sistemi Linux è presente il fix chiamato KPTI (in precedenza KAISER).

Spectre

La seconda falla è quella più grave perché colpisce tutti i processori di AMD, di ARM (utilizzati anche da Apple e Samsung) e di Intel attualmente in circolazione. Tutti noi siamo esposti (Android, iOS, Linux, MacOS, Windows, ecc.) ma l’exploit è difficile da realizzare per i malintenzionati, così come è dura (se non quasi impossibile) trovare una correzione visto che riguarda un errore di progettazione che i produttori di microchip si portano avanti da 20 anni. Spectre, a differenza di Meltdown, agisce sfruttando le altre applicazioni usate dall’utente (quindi considerate sicure) per portarle a leggere i dati nella memoria protetta, ottenendo tutti i dati sensibili.

La situazione attuale

I commenti sulla vicenda non si sono fatti attendere ma la cosa davvero importante è capire come si stanno muovendo i colossi dell’informatica. Come detto prima per Meltdown sono già a disposizione i fix a livello di sistema operativo mentre per Spectre la strada è tutta in salita e non si vede una via d’uscita nel breve periodo: per quest’ultimo bisognerà rivedere completamente la progettazione hardware e i compiti associati che si potranno eseguire. Molti esperti hanno già ipotizzato un calo prestazionale importante, poiché bisognerà fare a meno dell’elaborazione predittiva/speculativa. Il consiglio di rito è quello di installare gli ultimi aggiornamenti disponibili anche se purtroppo sappiamo che molti dispositivi datati non ricevono già da molto tempo patch di sicurezza. Non si esagera nel dire che è la falla di sicurezza più grave nel mondo dei microchip.

Se volete maggiori informazioni, come ad esempio gli autori delle scoperte, vi consiglio di visitare questa pagina dedicata.