Meltdown e Spectre: le vulnerabilità che minacciano PC, smartphone e non solo

Meltdown e Spectre sono i nomi delle due vulnerabilità in oggetto, scoperte, tra gli altri, dai ricercatori di Google Project Zero, un team addetto proprio alla ricerca di potenziali pericoli di questo tipo.
Un attacco che sfrutti un exploit di Meltdown consente ad un programma di accedere alla memoria (ovvero ai dati) di altri programmi e/o del sistema operativo stesso. Spectre ha conseguenze simili, ma metodologie diverse, ed in pratica ingannare altre applicazioni, anche (e soprattutto) quelle prive di errori, per poter comunque accedere ai loro dati.

Tali attacchi possono essere condotti da una semplice pagina web malevola, come confermato indipendentemente anche da Mozilla (ma ribadiamo che la radice del problema non sta nel browser). Questo significa che, a seconda dell'applicazione coinvolta, qualsiasi dato è a rischio: password, dati di navigazione, email, foto, video, chat. Tutto ciò a cui le applicazioni installate hanno accesso, è potenzialmente minacciato.

Quali processori sono minacciati

Spectre è più difficile da sfruttare di Meltdown, ma è anche più difficile da mitigare, visto che è questo il bug che coinvolge la maggior parte dei moderni processori, mentre Meltdown dovrebbe essere ristretto ai soli chip Intel.

In realtà è in corso un pò un rimpallo di responsabilità tra le varie aziende. Intel rifiuta di riconoscere che sia un suo difetto esclusivo, e chiama in causa anche ARM ed AMD. Quest'ultima si proclama invece innocente, cosa sulla quale sia Project Zero che Microsoft dissentono, confermando il coinvolgimento sia di AMD che di ARM.

ARM ha invece riconosciuto il problema, anche se ne ha sminuito la gravità in relazione ai suoi chip. In un dettagliato post l'azienda ha anche elencato quali sono i processori minacciati e da quali varianti. Possiamo quindi con ragionevole certezza affermare che il problema è generale, e che "nessuno è al sicuro", anche se in realtà quest'ultima parte non è vera, nel senso che le varie aziende si sono già mosse per mitigare i possibili rischi.

Come proteggersi

Google afferma che gli smartphone Android con gli ultimi aggiornamenti di sicurezza sono protetti. Allo stesso modo le Google Apps, Google App Engine ed altri device come Google Home e Chromecast sono già sicuri. Google aggiunge però che abilitare l'isolamento dei siti sarebbe buona pratica, e che il prossimo rilascio di Chrome 64 mitigherà ulteriormente le cose.

Microsoft ha già rilasciato in data 3 gennaio un aggiornamento di sicurezza per correggere il problema sui sistemi Windows, e la stessa cosa vale per i server Azure. Sembra però esserci qualche possibile problema con i software antivirus, tanto che se l'aggiornamento non dovesse ancora essere arrivato, la colpa potrebbe essere proprio di detto software. Sono previsti anche aggiornamenti separati per Edge ed Internet Explorer, sempre al fine di mitigare possibili attacchi.

Apple ha confermato che tutti i suoi device sono potenzialmente minacciati, sia i MacBook che iPhone ed iPad. Apple ha anche chiarito che iOS 11.2, macOS 10.13.2, e tvOS 11.2 mitigano già il problema, raccomandando ai suoi utenti di installare sempre software da fonti fidate.

AMD insiste sul fatto che, a causa di differenze architetturali, ci sia un rischio quasi zero per i suoi processori al momento, promettendo ulteriori aggiornamenti in merito a breve.

Intel afferma che entro metà gennaio 2018 il 90% dei processori degli ultimi 5 anni saranno immuni ad entrambi gli exploit, grazie ad un prossimo aggiornamento. Tutti i processori Intel dovrebbero essere potenzialmente minacciati, anche quelli più recenti.

Ubuntu promette un fix entro il 9 gennaio.

La risposta alla domanda "come proteggersi" è insomma una sola: aggiornare il proprio sistema operativo all'ultima versione. Considerando poi che il web è un facile veicolo di minacce, come evidenziato in precedenze, vi raccomandiamo maggiore attenzione alle pagine internet che visitate; un consiglio che del resto è valido in ogni occasione.

Trattandosi comunque di un problema hardware così generalizzato, le patch via software possono prevenire gli exploit in questione, ma non vanno ad arginare del tutto la falla, che può essere rimossa davvero solo con una sostituzione dell'hardware stesso. Per questo motivo, in particolar modo a livello cloud, ci “porteremo dietro” Meltdown e (soprattutto) Spectre per anni.

fonte: SmartWorld