Критическая уязвимость в современных процессорах: что нужно знать и чего стоит бояться

В чем проблема и чем опасны уязвимости?

В 2017 году команда Google Project Zero совместно с исследователями из различных университетов обнаружили массовую проблему, затрагивающую большинство современных процессоров.

Речь идет об уязвимости в так называемом спекулятивном исполнении команд — технология «предугадывает», какие команды чипу нужно будет исполнить в будущем и таким образом в определенных сценариях ускоряет работу устройств.

Эксперты из Грацкого технического университета (Австрия) сообщили о трех типах потенциальных атак на устройства. Первую они назвали Meltdown, еще две схожих объединили под общим именем Spectre.

Meltdown разрушает барьер между приложениями и внутренней памятью операционной системы, что открывает доступ к данным, хранимым в памяти. Spectre уничтожает такой барьер между самими приложениями (по сути, один сервис может залезть в память другого).

Если упрощенно, то с помощью уязвимостей злоумышленники могут получить доступ к памяти компьютера — от файлов до паролей.

Кто может пострадать от атак?

Изначально сообщалось, что атакам подвержены лишь компьютеры с процессорами Intel, выпущенными примерно с 1995 года.

Более того, исправить уязвимость можно лишь патчами операционной системы, что может замедлить работу устройства на 5−30%. Это незамедлительно отразилось на курсе акций компании.

Однако уже на следующий день Google опубликовала новые данные — выяснилось, что могут быть атакованы и компьютеры с процессорами AMD, и мобильные устройства с ARM-чипами. Впрочем, последние подвержены уязвимостям лишь частично (только Spectre, как утверждают в Google), а патчи для них не так замедлят гаджеты, как в случае с Intel.

Тем не менее глобальный характер проблемы (по сути затронуты почти все устройства в мире) позволил западным журналистам уже окрестить выявленные уязвимости «чипокалипсисом».

Как защитить свой компьютер и смартфон?

Microsoft уже выпустила патч для Windows 10, который будет принудительно установлен уже сегодня. «Заплатка» для Windows 7 и Windows 8 также вышла (будет принудительно установлена в ближайшие дни). Если для вас важна защита персональной информации, не игнорируйте их, даже учитывая возможность замедления работы системы.

Также утверждается, что уязвимость для компьютеров Apple частично закрыта в последнем апдейте macOS 10.13.2 (High Sierra), защита будет усилена и в грядущем обновлении 10.13.3. Обновления для Linux уже выходят с начала декабря.

В Google утверждают, что Android-производители получили патчи еще в декабре (однако не факт, что успели их выпустить). В любом случае, следите за обновлениями и обязательно устанавливайте их. Кроме того, Google выпустит в январе патчи для собственных актуальных устройств — Nexus 5X, Nexus 6P, Pixel C, Pixel/XL и Pixel 2/XL.

На момент публикации доподлинно неизвестно, касается ли уязвимость iPhone и когда Apple планирует устранить (или уже устранила) ее.

Что дальше?

На данный момент не сообщается о том, использовали ли хоть раз злоумышленники найденную уязвимость. Однако после опубликования всей информации такую возможность не стоит исключать.

Очевидно, что производителям процессоров придется перестраивать архитектуру современных чипов, чтобы устранить уязвимости еще на уровне «железа». Скорее всего пользователей будут подталкивать к покупке компьютеров с «защищенными» процессорами, а более старые модели будут дешеветь.