Los investigadores de Google que descubrieron las vulnerabilidades, le pusieron nombre, se llaman Meltdown y Spectre. Por lo que sabemos el 9 de enero saldría todo a la luz (cuando se pretendía levantar un embargo), pero bajo las nuevas circunstancias, la investigación se hizo pública. Las empresas involucradas están emitiendo declaraciones sobre los hallazgos de los investigadores.
Un investigador de Project Zero, Jann Horn, dijo que para aprovechar esta vulnerabilidad, el atacante primero debe poder ejecutar código malicioso en el sistema de destino.
Los investigadores del Project Zero descubrieron tres métodos (variantes) de ataque, que son efectivos bajo diferentes condiciones. Las tres variantes de ataque pueden permitir que un proceso con privilegios de usuario normal realice lecturas no autorizadas de datos de memoria, las cuales pueden contener información confidencial como contraseñas, material de claves criptográficas, etc.
Para mejorar el rendimiento, muchas CPU pueden optar por ejecutar instrucciones especulativamente sobre la base de suposiciones que se consideran probables. Durante la ejecución especulativa, el procesador verifica estas suposiciones; si son válidos, entonces la ejecución continúa. Si no son válidos, se desenrolla la ejecución y se puede iniciar la ruta de ejecución correcta en función de las condiciones reales. Es posible que esta ejecución especulativa tenga efectos secundarios que no se restauran cuando se desenrolla el estado de la CPU, y puede conducir a la divulgación de información. No hay una solución única para las tres variantes de ataque; cada uno requiere protección de forma independiente. Muchos proveedores tienen parches disponibles para uno o más de estos ataques.”
Google dijo que tenian programada una fecha de divulgación para el 9 de enero de 2018 pero debido a los informes públicos existentes y la creciente especulación en la prensa y la comunidad de investigación de seguridad sobre el tema, lo que aumenta el riesgo de explotar este problema. El informe completo de Project Zero está disponible aquí.
AMD
Hoy se especula mucho sobre un posible problema de seguridad relacionado con los microprocesadores. Como solemos hacer cuando se identifica un posible problema de seguridad, AMD ha estado trabajando con todas sus herramientas para evaluar y responder al ataque.
Para ser claros, el equipo de investigación de seguridad identificó tres problemas. La amenaza no afecta a los CPUs de AMD. Debido a las diferencias en la arquitectura de AMD, creemos que hay un riesgo cercano a cero con los procesadores de AMD en este momento. Esperamos que la investigación de seguridad se publique más tarde y proporcione más actualizaciones sobre este tema.
ARM
Este método requiere un malware que se ejecute localmente y podría dar como resultado que se acceda a los datos desde la memoria. Nuestros procesadores Cortex-M, que están presentes en dispositivos de IoT, no se ven afectados.
Intel
Intel y otras compañías de tecnología han tenido conocimiento de nuevas investigaciones de seguridad que describen métodos de análisis de software que, cuando se utilizan con fines maliciosos, tienen el potencial de recopilar datos confidenciales de manera inadecuada de dispositivos informáticos que están operando según lo diseñado. Intel cree que estos exploits no tienen el potencial de corromper, modificar o eliminar datos.
Los recientes informes de que estos exploits son causados por un “bug” o un “error” y que son exclusivos de los productos de Intel son incorrectos. Con base en el análisis hasta la fecha, muchos tipos de dispositivos informáticos, con muchos procesadores y sistemas operativos de diferentes proveedores, son susceptibles a estos exploits.
Intel está comprometida con la seguridad de los productos y los clientes, y colabora estrechamente con muchas otras compañías tecnológicas, incluidas AMD, ARM Holdings y varios proveedores de sistemas operativos, para desarrollar un enfoque sectorial que resuelva este problema de manera rápida y constructiva. Intel comenzó a proporcionar actualizaciones de software y firmware para mitigar estos exploits. A diferencia de algunos informes, cualquier impacto en el rendimiento depende de la carga de trabajo y, para el usuario medio, no debería ser significativo y se mitigará con el tiempo.
Intel está comprometida con la mejor práctica de la industria de divulgación responsable de posibles problemas de seguridad, razón por la cual Intel y otros proveedores planearon divulgar este tema la próxima semana cuando hubieran más actualizaciones de software y firmware disponibles. Sin embargo, Intel está haciendo esta declaración hoy debido a los informes inexactos por los medios actuales.
Verifique con el fabricante de su sistema operativo o fabricante del sistema y aplique las actualizaciones disponibles tan pronto como estén disponibles. Seguir las buenas prácticas de seguridad que protejan el equipo contra el malware en general también ayudará a protegerse contra la posible explotación hasta que se puedan aplicar las actualizaciones.
Intel cree que sus productos son los más seguros del mundo y que, con el apoyo de sus socios, las soluciones actuales a este problema brindan la mejor seguridad posible para sus clientes.
Microsoft
Somos conscientes del problema que tiene la industria y hemos estado trabajando estrechamente con los fabricantes de chips para desarrollar y probar solucione para proteger a nuestros clientes. Estamos en el proceso de implementar parches para los servicios en la nube y también hemos lanzado actualizaciones de seguridad para proteger a los clientes de Windows contra las vulnerabilidades que afectan a los chips de Intel, ARM y AMD. No hemos recibido ninguna información que indique que estas vulnerabilidades se hayan utilizado para atacar a nuestros clientes.