Talán hallotta, hogy két új nevű támadás miatt leesett az ég és a biztonsági apokalipszis történt Meltdown és Spectre. Ha informatikában vagy a nagyméretű számítógépes infrastruktúra bármely más területén dolgozik, valószínűleg úgy érzi, hogy ez is van, és már nagyon várja a 2018-as vakációs napjait.
A médiumok 2017 végén hallottak először erről a minden kizsákmányoló anyáról szóló pletykákról, és a legutóbbi jelentések vadul spekulatívak voltak, és végül kényszerítették a vállalatokat Microsoft, amazonés a Google (kinek A Project Zero csapata felfedezte az egészet), hogy részletekkel válaszoljon. Ezek a részletek érdekes olvasmányt tettek lehetővé, ha érdekli az ilyesmi.
De mindenki más számára, függetlenül attól, hogy milyen telefont vagy számítógépet használ, sok minden, amit olvas vagy hall, más nyelven hangozhat. Ennek az az oka, és hacsak nem ismeri jól a cyber-geek-security-techno-beszédet, előfordulhat, hogy át kell futtatnia valamilyen fordítón keresztül.
A Verizon a Pixel 4a-t mindössze 10 USD / hó áron kínálja az új Unlimited vonalakon
Jó hírek! Megtalálta azt a fordítót, és íme te tudnia kell a Meltdownról és a Spectre-ről, és mit kell tennie ez ellen.
Mik ők
A Meltdown és a Spectre két különböző dolog, de mivel egyszerre tárták fel őket, és mindkettő hardver szinten foglalkozik a mikroprocesszoros architektúrával, együtt beszélnek róluk. A most használt telefont szinte biztosan befolyásolja a Spectre kihasználása, de még senki sem találta a használatának módját.
A telefon belsejében lévő processzor meghatározza, hogy mennyire sérülékeny az ilyen típusú kihasználásokkal szemben, de biztonságosabb azt feltételezni, hogy mindezek hatással vannak rád, ha nem vagy biztos benne. És mivel nem használnak ki hibát, hanem egy folyamatot használnak feltételezett történni, szoftverfrissítés nélkül nincs egyszerű javítás.
Nézd meg a telefont a kezedben; sebezhető néhány ezen támadások közül.
A számítógépek (ideértve a telefonokat és más apró számítógépeket is) támaszkodnak az ún memóriaszigetelés az alkalmazások közötti biztonság érdekében. Nem az a memória, amelyet hosszú távon tárolnak az adatok, hanem a hardver és szoftver által használt memória, miközben minden valós időben működik. A folyamatok az adatokat más folyamatoktól elkülönítve tárolják, így egyetlen folyamat sem tudja, hogy hol és mikor íródnak vagy olvashatók.
A telefonján futó alkalmazások és szolgáltatások mind azt akarják, hogy a processzor végezzen némi munkát, és folyamatosan listát adnak a számításhoz szükséges dolgokról. A processzor nem ezeket a feladatokat hajtja végre a beérkezésük sorrendjében - ez a feladat egyes részeit jelentené A CPU tétlen, és várja a többi alkatrész befejezését, így a második lépést az első lépés után lehet elvégezni befejezett. Ehelyett a processzor előre léphet a harmadik vagy a negyedik lépésre, és idő előtt elvégezheti őket. Ezt úgy hívják megbízáson kívüli végrehajtás és az összes modern CPU így működik.
A Meltdown és a Spectre nem használja ki a hibát - megtámadják a processzor adatainak kiszámítási módját.
Mivel a CPU gyorsabb, mint bármelyik szoftver lehet, egy kicsit találgat is. Spekulatív végrehajtás amikor a CPU elvégez egy olyan számítást, amelyre a korábbi számítások alapján még nem volt szükség volt előadásra kérték. A szoftverek optimalizálásának része a CPU jobb teljesítménye érdekében néhány szabály és utasítás betartása. Ez azt jelenti, hogy legtöbbször normális munkafolyamat van, amelyet követni kell, és a CPU előreugorhat, hogy az adatok készen álljanak, amikor a szoftver kéri. És mivel ilyen gyorsak, ha végül is nem volt szükség az adatokra, félre dobják őket. Ez még mindig gyorsabb, mint megvárni a számítási kérelmet.
Ez a spekulatív végrehajtás teszi lehetővé mind a Meltdown, mind a Spectre számára az adatokhoz való hozzáférést, amelyekhez egyébként nem lennének képesek hozzájutni, bár különböző módon teszik.
Meltdown
Az Intel processzorok, az Apple újabb A sorozatú processzorai és más ARM SoC-k, amelyek az új A75 magot használják (egyelőre ez csak a Qualcomm Snapdragon 845), kiszolgáltatottak a Meltdown kihasználásának.
Az olvadás kihasználja az úgynevezett "privilégium eszkalációs hibát", amely hozzáférést biztosít az alkalmazás számára a kernel memóriájához. Ez minden olyan kódot jelent, amely hozzáférhet a memória ezen területéhez - ahol a kernel és a CPU megtörténik - lényegében mindenhez hozzáfér, amire szükség van a rendszer. Ha bármilyen kódot futtathat, hozzáférhet az összes adathoz.
Kísértet
A Spectre szinte minden modern processzort érint, beleértve a telefonján található processzort is.
A Spectre-nek nem kell megtalálnia a kód futtatásának módját a számítógépén, mert ez "átverheti" a processzort az utasítások végrehajtására, majd hozzáférést adhat más alkalmazások adataihoz. Ez azt jelenti, hogy egy kihasználás megnézheti, hogy más alkalmazások mit csinálnak, és elolvashatja a tárolt adatokat. Az a mód, ahogyan a CPU az ágakban rendezetlenül feldolgozza az utasításokat, ott támad Spectre.
A Meltdown és a Spectre is képes olyan adatok feltárására, amelyeket homokozóba kell helyezni. Ezt hardver szinten teszik, így az operációs rendszer nem tesz immunissá - az Apple, a Google, a Microsoft, valamint mindenféle nyílt forráskódú Unix és Linux operációs rendszer egyaránt érintett.
Egy technika miatt, amely a dinamikus ütemezés amely lehetővé teszi az adatok olvasását, mivel a számítástechnika helyett először tárolni kell, rengeteg érzékeny információ található a RAM-ban a támadás elolvasásához. Ha érdekel az ilyesmi, akkor a Graz Műszaki Egyetem lenyűgöző olvasmányok. De nem kell elolvasnod vagy megértened őket, hogy megvédhesd magad.
Érintett vagyok?
Igen. Legalábbis te voltál. Alapvetően mindenkit érintett, amíg a vállalatok nem kezdték el javítani szoftverüket ezek ellen a támadások ellen.
A frissítésre szoruló szoftver az operációs rendszerben található, ez azt jelenti, hogy szüksége van egy javításra az Apple, a Google vagy a Microsoft részéről. (Ha olyan számítógépet használ, amely Linuxot futtat, és nem rendelkezik infosec-kel, akkor már megvan a javítás is. A telepítéshez használja a szoftverfrissítőt, vagy kérje meg az infosec-ben lévő barátját, hogy segítsen végigvezetni a kernel frissítésén. A fantasztikus hír az, hogy az Apple, a Google és a Microsoft javításokkal rendelkezik, vagy már telepítve vannak, vagy a közeljövőben készülnek a támogatott verziókra.
A sajátosságok
- Intel processzorok 1995 óta kivéve az Itanium és a 2013 előtti ATOM platformot egyaránt érinti a Meltdown és a Spectre.
- Az összes modern AMD processzort érinti a Spectre támadás. Az AMD PRO és az AMD FX (az AMD 9600 R7 és az AMD FX-8320 modelleket használták koncepcióként) CPU-k nem szabványos konfiguráció (a kernel BPF JIT engedélyezve) a Meltdown befolyásolja. Várható, hogy hasonló támadás lehetséges az oldalsó csatorna memóriaolvasása ellen is mind a 64 bites CPU beleértve az AMD processzorokat.
- ARM processzorok Cortex R7, R8, A8, A9, A15, A17, A57, A72, A73 és A75 magokkal gyanítható Spectre támadások. Processzorok Cortex A75-tel ( Snapdragon 845) magjai sebezhetőek az Meltdown támadásokkal szemben. Várható, hogy ezeknek a magoknak a variánsait használó chipek A Qualcomm Snapdragon vonala vagy A Samsung Exynos vonala, hasonló vagy azonos biztonsági réseket fognak kapni. A Qualcomm közvetlenül az ARM-mel dolgozik, és a következő kérdésekkel rendelkezik:
Qualcomm Technologies, Inc. tisztában van az ipari szintű processzorok sebezhetőségével kapcsolatos biztonsági kutatásokról. A robusztus biztonságot és adatvédelmet támogató technológiák biztosítása a Qualcomm és így továbbiakban prioritást élvez ilyenek, Arm-nal és másokkal együtt dolgoztunk a hatásunk felmérésén és az enyhítésének fejlesztésén ügyfelek. Aktívan integráljuk és alkalmazzuk az érintett termékeink sebezhetőségének csökkentését, és továbbra is azon dolgozunk, hogy a lehető legnagyobb mértékben megerősítsük őket. Jelenleg ezeket a mérsékléseket alkalmazzuk ügyfeleink számára, és arra ösztönözzük az embereket, hogy frissítsék eszközeiket, amikor a javítások elérhetővé válnak.
Az NVIDIA meghatározta hogy ezek a kihasználások (vagy más felmerülő hasonló kihasználások) nem befolyásolják a GPU számítástechnikáját, ezért hardvereik többnyire immunisak. Más vállalatokkal fognak együttműködni az eszközillesztők frissítésén, hogy segítsenek a CPU teljesítményproblémáinak enyhítésében, és értékelik ARM-alapú SoC-jukat (Tegra).
Webkit, a Safari böngészőmegjelenítő motorjának és a Google Blink motorjának előfutárának mögött álló emberek kiválóan megbontják, hogy ezek a támadások pontosan hogyan befolyásolhatják kódjukat. Nagy része minden tolmácsra vagy fordítóra vonatkozna, és ez egy csodálatos olvasmány. Nézze meg, hogyan dolgoznak a javításon, és megakadályozzák, hogy a következő alkalommal megtörténjen.
Egyszerű angol nyelven ez azt jelenti, hogy hacsak még nem nagyon régi telefont, táblagépet vagy számítógépet használ, az operációs rendszer frissítése nélkül sebezhetőnek kell tekintenie magát. Itt van amit tudunk eddig azon a fronton:
- A Google javította az Androidot mind a Spectre, mind a Meltdown támadások ellen a 2017. decemberi és 2018. január foltok.
- A Google javította a Chromebookokat a kernel 3.18 és 4.4 verzióival 2017. december az OS 63-mal. Eszközök a kernel más verzióival (nézd meg itt, hogy megtaláld a tiedet) hamarosan javításra kerül. Egyszerű angolul: A Toshiba Chromebook, az Acer C720, a Dell Chromebook 13 és a 2013-as és 2015-ös Chromebook Pixelek (és néhány olyan név, amelyről valószínűleg még soha nem hallottál) még nincsenek foltozva, de hamarosan. A legtöbb Chromebox, Chromebases és Chromebits az nem foltos, de hamarosan.
- A nem javított Chrome OS-eszközökhöz új biztonsági funkciót hívtak Helyszigetelés enyhíti a támadásokból eredő esetleges problémákat.
- A Microsoft 2018. januárjától mindkét javítást javította.
- Az Apple a decemberi frissítéstől kezdve javította a macOS-t és az iOS-t a Meltdown ellen. A Spectre frissítések első fordulóját január elején tolták ki. Nézze meg az iMore alkalmazást mindent, amit tudnia kell ezekről a CPU-hibákról és azok hatásáról a Mac, iPad és iPhone készülékekre.
- A javításokat elküldtük a Linux kernel összes támogatott verziójára, és az operációs rendszerek, például az Ubuntu vagy a Red Hat, a szoftverfrissítő alkalmazással frissíthetők.
Az Android sajátosságaihoz a Nexus 5X, Nexus 6P, Pixel, Pixel XL, Pixel 2, és Pixel 2 XL javításra került, és hamarosan látnia kell egy frissítést, ha még nem kapta meg. Ha szeretné, manuálisan is frissítheti ezeket az eszközöket. Az Android nyílt forráskódú projektet (az összes Android-telefon operációs rendszerének felépítéséhez használt kódot) szintén javították, és harmadik féltől származó terjesztéseket, például LineageOS frissíthető.
A Pixel vagy a Nexus manuális frissítése
Samsung, LG, Motorolaés más Android-gyártók (telefonokat, táblagépeket és tévéket gyártók) a 2018. januári frissítéssel javítják termékeiket. Néhány, mint a 8. megjegyzés vagy Galaxy S8, látni fogja ezt mások előtt, de a Google elérhetővé tette a javítást a következőhöz: összes eszközök. Várakozásaink szerint újabb híreket fogunk kapni minden partnertől, hogy tudassuk velünk, mire számíthatunk és mikor.
Mit tehetek?
Ha sérülékeny terméke van, könnyen belekerül a támadásba, de nem szabad. A Spectre és az Meltdown sem "csak úgy történik", és attól függ te valamilyen rosszindulatú program telepítése, amely kihasználja őket. Néhány biztonságos gyakorlat követi az immunitást bármely számítógépes hardveren történő kiaknázással szemben.
- Csak olyan helyről telepítsen szoftvert, amelyben megbízik. Ez mindig jó ötlet, de főleg, ha javítást vár.
- Biztosítsa eszközeit jó zárolási képernyővel és titkosítással. Ez nem csupán egy másik személy távol tartását jelenti, mivel az alkalmazások nem tehetnek semmit, amíg a telefon zárva van az Ön engedélye nélkül.
- Olvassa el és értse meg az engedélyeket mindenre, amit futtat vagy telepít a telefonjára. Ne féljen itt segítséget kérni!
- Használjon webböngészőt, amely blokkolja a rosszindulatú programokat. Javasolhatjuk a Chrome-ot vagy a Firefoxot, és más böngészők is megvédhetnek a webalapú rosszindulatú programok ellen. Kérdezze meg az embereket, akik készítik és terjesztik őket, ha nem biztos benne. Lehet, hogy a telefonjával kapott webböngésző nem a legjobb megoldás itt, különösen, ha régebbi modellje van. Az Edge és a Safari megbízható Windows vagy MacOS és iOS eszközökön is.
- Ne nyisson meg linkeket a közösségi médiában, e-mailben vagy olyan ismerős által küldött üzenetben. Még akkor is, ha ismerőseitől származik, ellenőrizze, hogy megbízik-e a böngészőjében, mielőtt rákattint vagy megérinti. Ez megduplázódik a webhely URL-jét eltakaró átirányító linkek esetében. Az ilyen linkeket elég gyakran használjuk, és nagy eséllyel sok online média is olvas. Légy óvatos.
- Ne legyél hülye. Tudod, mit jelent ez számodra. Bízzon az ítéletében és tévedjen az óvatosság mellett.
A jó hír az, hogy ezeket az oldalsó csatornákat kiaknázzák nem meghozza azokat a hatalmas lassulásokat, amelyeket a frissítések megjelenése előtt felgyorsítottak. A web éppen így működik, és ha arról olvas, hogy telefonja vagy számítógépe 30% -kal lassabb lesz bármilyen javítás után, az azért történt, mert a szenzációhajhászás árul. Azok a felhasználók, akik frissített szoftvert futtatnak (és már tesztelés közben is voltak), nem látják azt.
A javításnak nincs olyan teljesítményre gyakorolt hatása, amely egyesek szerint azt hozná, és ez nagyszerű dolog.
Mindez azért jött létre, mert ezek a támadások pontos időintervallumokat mérnek, és a kezdeti javítások szoftveren keresztül megváltoztatják vagy letiltják egyes időzítési források pontosságát. A kevésbé precíz azt jelenti, hogy lassabban jár, amikor számol, és a hatást eltúlozták, hogy sokkal nagyobb legyen, mint amilyen. Még a javítások eredményeként bekövetkező csekély teljesítménycsökkenést is mérséklik más vállalatok, és látjuk Az NVIDIA frissíti a GPU-k gyengülését, vagy a Mozilla az adatok kiszámításán dolgozik, hogy egyenletes legyen gyorsabban. Telefonja nem lesz lassabb a 2018. januári javításon és a számítógéped sem lesz, kivéve, ha nagyon régi, legalábbis semmilyen észrevehető módon.
Ne aggódjon miatta, és ehelyett tegyen meg mindent annak érdekében, hogy az adatok biztonságban legyenek.
Mit kell levenni az egészből
A biztonsági rémeknek mindig van valamiféle valódi hatása. Senki sem látta, hogy a Meltdown vagy a Spectre vadon használatos lenne, és mivel a legtöbb mindennapi eszközünk frissül vagy hamarosan megjelenik, a jelentések valószínűleg így maradnak. De ez nem jelenti azt, hogy figyelmen kívül kellene hagyni őket.
Vegyük komolyan az ilyen biztonsági fenyegetéseket, de ne essünk minden felháborodásnak; értesítve lenni!
Ezeknek az oldalsó csatornáknak a kihasználása arra volt képes, hogy a nagy, komoly játékváltoztató események az emberek aggódjanak, amikor a kiberbiztonságról van szó. Bármely hardvert érintő kihasználás komoly, és ha hibát követ el valami szándékosan megtett dolog ellen, az még súlyosabbá válik. Szerencsére a kutatók és fejlesztők képesek voltak elkapni, megfékezni és foltozni a Meltdown és a Spectre-t, mielőtt bármilyen széleskörű használat megtörtént volna.
Ami itt igazán fontos, hogy megfelelő információkat szerezzen be, így tudja, mit kell tennie minden alkalommal, amikor új digitális fenyegetésről értesül, amelyre szüksége van az összes digitális anyagára. Általában racionális módon lehet enyhíteni a súlyos hatásokat, ha az összes címsort túlhaladja.
Maradj biztonságban!
Hallgatta már a hét Android Central Podcastját?
Az Android Central Podcast minden héten a legfrissebb technológiai híreket, elemzéseket és gyors felvételeket hozza meg ismerős társtartókkal és különleges vendégekkel.
- Feliratkozás a Pocket Cast-okra: Hang
- Feliratkozás a Spotify-ra: Hang
- Feliratkozás az iTunes-ra: Hang
Linkjeink segítségével jutalékot kaphatunk a vásárlásokért. Tudj meg többet.
Ezek a legjobb vezeték nélküli fülhallgatók, amelyeket minden áron megvásárolhat!
A legjobb vezeték nélküli fülhallgató kényelmes, jól hangzik, nem kerül túl sokba, és könnyen elfér a zsebében.
Minden, amit tudnia kell a PS5-ről: Kiadás dátuma, ára és még sok más.
A Sony hivatalosan megerősítette, hogy a PlayStation 5-en dolgozik. Itt van minden, amit eddig tudtunk róla.
A Nokia két új, 200 dollár alatti, olcsó Android One telefont dob piacra.
A Nokia 2.4 és a Nokia 3.4 a legújabb kiegészítés a HMD Global költségvetési okostelefon-kínálatában. Mivel mindkettő Android One eszköz, garantáltan két fő operációs rendszer frissítést és rendszeres biztonsági frissítést kapnak akár három évig is.
Biztosítsa otthonát ezekkel a SmartThings kapucsengőkkel és zárakkal.
Az egyik legjobb dolog a SmartThings-ben, hogy számos más, harmadik féltől származó eszközt használhat a rendszerén, beleértve a csengőket és a zárakat is. Mivel mindegyikük lényegében ugyanazt a SmartThings támogatást osztja meg, arra összpontosítottunk, hogy mely eszközök rendelkeznek a legjobb specifikációkkal és trükkökkel annak igazolására, hogy felvegyék őket a SmartThings arzenáljába.