Anda mungkin pernah mendengar bahwa langit telah runtuh dan kiamat keamanan telah terjadi karena dua serangan baru bernama Meltdown dan Spectre. Jika Anda bekerja di bidang TI atau bidang infrastruktur komputer skala besar lainnya, Anda mungkin merasa seperti itu juga, dan sudah menantikan hari liburan 2018 Anda.
Outlet media pertama kali mendengar desas-desus tentang ibu dari semua eksploitasi ini pada akhir 2017, dan laporan terbaru sangat spekulatif dan akhirnya memaksa perusahaan seperti itu. Microsoft, Amazon, dan Google (milik Tim Project Zero menemukan semuanya) untuk menanggapi dengan detail. Detail-detail itu telah menjadi bacaan yang menarik jika Anda tertarik dengan hal semacam ini.
Namun bagi orang lain, apa pun ponsel atau komputer yang Anda gunakan, banyak hal yang Anda baca atau dengar mungkin terdengar seperti dalam bahasa yang berbeda. Itu karena memang demikian, dan kecuali Anda fasih berbahasa cyber-geek-security-techno-speak, Anda mungkin harus menjalankannya melalui semacam penerjemah.
Verizon menawarkan Pixel 4a hanya dengan $ 10 / bln pada jalur Unlimited baru
Kabar baik! Anda menemukan penerjemah itu, dan inilah jawabannya kamu perlu tahu tentang Meltdown dan Spectre, dan apa yang perlu Anda lakukan.
Apa mereka
Meltdown dan Spectre adalah dua hal yang berbeda, tetapi karena keduanya terungkap pada saat yang sama dan keduanya berhubungan dengan arsitektur mikroprosesor di tingkat perangkat keras, keduanya dibicarakan bersama. Ponsel yang Anda gunakan saat ini hampir pasti dipengaruhi oleh eksploitasi Spectre, tetapi belum ada yang menemukan cara untuk menggunakannya - belum.
Prosesor di dalam ponsel Anda menentukan seberapa rentannya terhadap jenis eksploitasi ini, tetapi lebih aman untuk mengasumsikan bahwa semuanya memengaruhi Anda jika Anda tidak yakin. Dan karena mereka tidak mengeksploitasi bug dan malah menggunakan proses itu seharusnya terjadi, tidak ada perbaikan yang mudah tanpa pembaruan perangkat lunak.
Lihat telepon di tangan Anda; itu rentan terhadap beberapa serangan ini.
Komputer (termasuk telepon dan komputer kecil lainnya, juga) bergantung pada apa yang disebut isolasi memori untuk keamanan antar aplikasi. Bukan memori yang digunakan untuk menyimpan data dalam jangka waktu yang lama, melainkan memori yang digunakan oleh perangkat keras dan perangkat lunak saat semuanya bekerja secara real time. Proses menyimpan data secara terpisah dari proses lain, jadi tidak ada proses lain yang mengetahui di mana atau kapan data itu ditulis atau dibaca.
Aplikasi dan layanan yang berjalan di ponsel Anda semuanya ingin prosesor melakukan beberapa pekerjaan dan terus memberikan daftar hal-hal yang perlu dihitung. Prosesor tidak melakukan tugas-tugas ini dalam urutan penerimaannya - itu berarti beberapa bagian file CPU menganggur dan menunggu bagian lain selesai, jadi langkah kedua bisa dilakukan setelah langkah pertama jadi. Sebaliknya, prosesor dapat bergerak maju ke langkah tiga atau empat dan melakukannya sebelumnya. Ini disebut eksekusi out-of-order- dan semua CPU modern bekerja dengan cara ini.
Meltdown dan Spectre tidak mengeksploitasi bug - mereka menyerang cara prosesor menghitung data.
Karena CPU lebih cepat daripada perangkat lunak apa pun, ia juga sedikit menebak-nebak. Eksekusi spekulatif adalah saat CPU melakukan kalkulasi, ia belum diminta untuk melakukannya berdasarkan kalkulasi sebelumnya dulu diminta untuk tampil. Bagian dari pengoptimalan perangkat lunak untuk kinerja CPU yang lebih baik adalah mengikuti beberapa aturan dan instruksi. Ini berarti sebagian besar waktu ada alur kerja normal yang akan diikuti dan CPU dapat melompat ke depan untuk menyiapkan data saat perangkat lunak memintanya. Dan karena mereka sangat cepat, jika datanya tidak diperlukan, data itu akan dibuang. Ini masih lebih cepat daripada menunggu permintaan untuk melakukan penghitungan.
Eksekusi spekulatif inilah yang memungkinkan Meltdown dan Spectre mengakses data yang sebelumnya tidak dapat mereka peroleh, meskipun mereka melakukannya dengan cara yang berbeda.
Meltdown
Prosesor Intel, prosesor seri A Apple yang lebih baru, dan ARM SoC lainnya yang menggunakan inti A75 baru (untuk saat ini hanya Qualcomm Snapdragon 845) rentan terhadap eksploitasi Meltdown.
Meltdown memanfaatkan apa yang disebut "cacat eskalasi hak istimewa" yang memberi aplikasi akses ke memori kernel. Ini berarti kode apa pun yang bisa mendapatkan akses ke area memori ini - tempat komunikasi antara kernel dan CPU terjadi - pada dasarnya memiliki akses ke semua yang diperlukan untuk menjalankan kode apa pun di sistem. Saat Anda dapat menjalankan kode apa pun, Anda memiliki akses ke semua data.
Momok
Spectre memengaruhi hampir setiap prosesor modern, termasuk yang ada di ponsel Anda.
Spectre tidak perlu menemukan cara untuk mengeksekusi kode di komputer Anda karena dapat "mengelabui" prosesor agar menjalankan instruksi untuknya, kemudian memberikan akses ke data dari aplikasi lain. Ini berarti eksploitasi dapat melihat apa yang dilakukan aplikasi lain dan membaca data yang telah mereka simpan. Cara CPU memproses instruksi yang rusak di cabang adalah tempat serangan Spectre.
Baik Meltdown dan Spectre dapat mengekspos data yang harus di-sandbox. Mereka melakukan ini di tingkat perangkat keras, sehingga sistem operasi Anda tidak membuat Anda kebal - Apple, Google, Microsoft, dan semua jenis sistem operasi Unix dan Linux sumber terbuka sama-sama terpengaruh.
Karena teknik yang dikenal sebagai penjadwalan dinamis yang memungkinkan data untuk dibaca saat sedang dikomputasi alih-alih perlu disimpan terlebih dahulu, ada banyak informasi sensitif dalam RAM untuk dibaca oleh serangan. Jika Anda tertarik dengan hal semacam ini, whitepaper yang diterbitkan oleh Universitas Teknologi Graz adalah bacaan yang menarik. Tetapi Anda tidak perlu membaca atau memahaminya untuk melindungi diri Anda sendiri.
Apakah saya terpengaruh?
Iya. Setidaknya, memang begitu. Pada dasarnya, semua orang terpengaruh hingga perusahaan mulai menambal perangkat lunak mereka dari serangan ini.
Software yang perlu diupdate ada di sistem operasinya, jadi itu artinya kamu membutuhkan patch dari Apple, Google, atau Microsoft. (Jika Anda menggunakan komputer yang menjalankan Linux dan tidak menggunakan infosec, Anda juga sudah mendapatkan tambalannya. Gunakan pembaru perangkat lunak Anda untuk menginstalnya atau minta teman yang menggunakan infosec untuk memandu Anda memperbarui kernel Anda). Berita yang luar biasa adalah bahwa Apple, Google, dan Microsoft memiliki patch yang sudah diterapkan atau sedang dalam perjalanan dalam waktu dekat untuk versi yang didukung.
Secara spesifik
- Prosesor Intel sejak 1995 kecuali untuk Itanium dan platform ATOM pra-2013 dipengaruhi oleh Meltdown dan Spectre.
- Semua prosesor AMD modern dipengaruhi oleh serangan Spectre. AMD PRO dan AMD FX (AMD 9600 R7 dan AMD FX-8320 digunakan sebagai bukti konsep) CPU di a konfigurasi non-standar (kernel BPF JIT diaktifkan) dipengaruhi oleh Meltdown. Diharapkan bahwa serangan serupa terhadap pembacaan memori saluran samping mungkin terjadi semua CPU 64-bit termasuk prosesor AMD.
- Prosesor ARM dengan inti Cortex R7, R8, A8, A9, A15, A17, A57, A72, A73, dan A75 dapat diduga menjadi serangan Spectre. Prosesor dengan Cortex A75 (file Snapdragon 845) inti rentan terhadap serangan Meltdown. Diharapkan chip menggunakan varian inti ini, seperti Garis Qualcomm Snapdragon atau Garis Exynos Samsung, juga akan memiliki kerentanan yang serupa atau sama. Qualcomm bekerja secara langsung dengan ARM, dan memiliki pernyataan berikut tentang masalah tersebut:
Qualcomm Technologies, Inc. mengetahui penelitian keamanan tentang kerentanan prosesor di seluruh industri yang telah dilaporkan. Menyediakan teknologi yang mendukung keamanan dan privasi yang kuat adalah prioritas Qualcomm, dan sebagai Karena itu, kami telah bekerja dengan Arm dan pihak lainnya untuk menilai dampak dan mengembangkan mitigasi untuk kami pelanggan. Kami secara aktif memasukkan dan menerapkan mitigasi terhadap kerentanan produk kami yang terkena dampak, dan kami terus bekerja untuk memperkuatnya sebaik mungkin. Kami sedang dalam proses menerapkan mitigasi ini kepada pelanggan kami dan mendorong orang-orang untuk memperbarui perangkat mereka ketika tambalan tersedia.
NVIDIA telah menentukan bahwa eksploitasi ini (atau eksploitasi serupa lainnya yang mungkin muncul) tidak memengaruhi komputasi GPU, sehingga perangkat keras mereka sebagian besar kebal. Mereka akan bekerja dengan perusahaan lain untuk memperbarui driver perangkat guna membantu mengurangi masalah kinerja CPU, dan mereka mengevaluasi SoC berbasis ARM (Tegra) mereka.
Webkit, orang-orang di belakang mesin rendering browser Safari dan pelopor mesin Blink Google, memiliki perincian yang sangat baik tentang bagaimana serangan ini dapat memengaruhi kode mereka. Sebagian besar akan berlaku untuk interpreter atau compiler dan ini merupakan bacaan yang luar biasa. Lihat bagaimana mereka bekerja untuk memperbaikinya dan mencegahnya terjadi lain kali.
Dalam bahasa Inggris sederhana, ini berarti bahwa kecuali Anda masih menggunakan ponsel, tablet, atau komputer yang sangat tua, Anda harus menganggap diri Anda rentan tanpa pembaruan pada sistem operasi. Ini dia apa yang kami ketahui sejauh ini di depan itu:
- Google telah menambal Android terhadap serangan Specter dan Meltdown pada Desember 2017 dan Januari 2018 tambalan.
- Google telah menambal Chromebook menggunakan versi kernel 3.18 dan 4.4 di Desember 2017 dengan OS 63. Perangkat dengan versi kernel lain (lihat di sini untuk menemukan milik Anda) akan segera ditambal. Dalam bahasa Inggris sederhana: Chromebook Toshiba, Acer C720, Dell Chromebook 13, dan Chromebook Pixel dari tahun 2013 dan 2015 (dan beberapa nama yang mungkin belum pernah Anda dengar) belum ditambal tetapi akan segera tersedia. Kebanyakan Chromebox, Chromebits, dan Chromebits adalah tidak ditambal tetapi akan segera.
- Untuk perangkat Chrome OS yang tidak ditambal, fitur keamanan baru disebut Isolasi Situs akan mengurangi masalah apa pun dari serangan ini.
- Microsoft telah menambal kedua eksploit tersebut pada Januari 2018.
- Apple telah menambal macOS dan iOS terhadap Meltdown dimulai dengan pembaruan Desember. Putaran pertama pembaruan Spectre dikeluarkan pada awal Januari. Lihat iMore untuk semua yang perlu Anda ketahui tentang kekurangan CPU ini dan bagaimana pengaruhnya terhadap Mac, iPad, dan iPhone Anda.
- Patch telah dikirim ke semua versi kernel Linux yang didukung, dan Sistem Operasi seperti Ubuntu atau Red Hat dapat diperbarui melalui aplikasi pembaruan perangkat lunak.
Untuk spesifikasi Android, file Nexus 5X, Nexus 6P, Pixel, Pixel XL, Pixel 2, dan Pixel 2 XL telah ditambal dan Anda akan segera melihat pembaruan jika Anda belum menerimanya. Anda juga dapat memperbarui perangkat ini secara manual jika mau. Proyek Open Source Android (kode yang digunakan untuk membangun OS untuk setiap ponsel Android) juga telah ditambal dan distribusi pihak ketiga seperti LineageOS dapat diperbarui.
Cara memperbarui Pixel atau Nexus Anda secara manual
Samsung, LG, Motorola, dan vendor Android lainnya (perusahaan yang membuat ponsel dan tablet serta TV) akan menambal produk mereka dengan pembaruan Januari 2018. Beberapa, seperti Catatan 8 atau Galaxy S8, akan melihat itu sebelum yang lain, tetapi Google telah menyediakan tambalan untuk semua perangkat. Kami berharap untuk melihat lebih banyak berita dari semua mitra untuk memberi tahu kami apa yang diharapkan dan kapan.
Apa yang dapat saya?
Jika Anda memiliki produk yang rentan, mudah untuk terjebak dalam hype, tetapi Anda tidak boleh. Baik Spectre dan Meltdown tidak "terjadi begitu saja" dan bergantung pada kamu memasang perangkat lunak perusak yang memanfaatkan mereka. Mengikuti beberapa praktik yang aman akan membuat Anda kebal terhadap eksploitasi pada perangkat keras komputer mana pun.
- Instal hanya perangkat lunak yang Anda percayai dari tempat yang Anda percaya. Ini selalu merupakan ide yang bagus, tetapi terutama jika Anda menunggu patch.
- Amankan perangkat Anda dengan layar kunci dan enkripsi yang bagus. Ini lebih dari sekadar mencegah orang lain masuk, karena aplikasi tidak dapat melakukan apa pun saat ponsel Anda terkunci tanpa izin Anda.
- Baca dan pahami izin pada semua yang Anda jalankan atau instal di ponsel Anda. Jangan takut untuk meminta bantuan di sini!
- Gunakan browser web yang memblokir malware. Kami dapat merekomendasikan Chrome atau Firefox, dan browser lain juga dapat melindungi Anda dari malware berbasis web. Tanyakan orang yang membuat dan mendistribusikannya jika Anda tidak yakin. Browser web yang disertakan dengan ponsel Anda mungkin bukan pilihan terbaik di sini, terutama jika Anda memiliki model yang lebih lama. Edge dan Safari juga dipercaya untuk perangkat Windows atau MacOS dan iOS.
- Jangan membuka tautan di media sosial, email, atau pesan apa pun dari seseorang yang tidak Anda kenal. Meskipun mereka berasal dari orang yang Anda kenal, pastikan Anda memercayai browser web Anda sebelum mengklik atau mengetuk. Ini berlaku ganda untuk tautan pengalihan yang menutupi URL situs. Kami cukup sering menggunakan tautan semacam itu dan kemungkinan besar banyak media online yang Anda baca juga. Hati-hati.
- Jangan bodoh. Anda tahu apa artinya ini bagi Anda. Percayai penilaian Anda dan lakukan kesalahan di sisi hati-hati.
Kabar baiknya adalah cara eksploitasi saluran samping ini ditambal tidak akan membawa perlambatan besar yang dihipnotis sebelum pembaruan apa pun dirilis. Begitulah cara kerja web, dan jika Anda membaca tentang bagaimana ponsel atau komputer Anda akan menjadi 30% lebih lambat setelah perbaikan apa pun diterapkan, itu karena sensasionalisme laku. Pengguna yang menjalankan perangkat lunak yang diperbarui (dan telah selama pengujian) tidak melihatnya.
Tambalan tersebut tidak memiliki dampak kinerja yang diklaim oleh beberapa orang, dan itu hal yang hebat.
Ini semua terjadi karena serangan ini mengukur interval waktu yang tepat dan patch awal mengubah atau menonaktifkan presisi beberapa sumber waktu melalui perangkat lunak. Kurang tepat berarti lebih lambat saat Anda menghitung dan dampaknya dilebih-lebihkan menjadi jauh lebih besar dari yang sebenarnya. Bahkan sedikit penurunan kinerja yang merupakan hasil dari tambalan sedang dimitigasi oleh perusahaan lain dan kami lihat NVIDIA memperbarui cara GPU mereka menghitung angka atau Mozilla bekerja pada cara mereka menghitung data untuk membuatnya seimbang lebih cepat. Ponsel Anda tidak akan lebih lambat pada patch Januari 2018 dan begitu pula komputer Anda kecuali sudah sangat tua, setidaknya tidak terlihat sama sekali.
Berhentilah mengkhawatirkannya dan sebagai gantinya pastikan untuk melakukan semua yang Anda bisa untuk menjaga keamanan data Anda.
Apa yang harus diambil dari itu semua
Ketakutan keamanan selalu memiliki dampak nyata. Tidak ada yang melihat kejadian Meltdown atau Spectre digunakan di alam liar, dan karena sebagian besar perangkat yang kami gunakan setiap hari diperbarui atau akan segera, laporan mungkin akan tetap seperti ini. Tapi ini tidak berarti mereka harus diabaikan.
Tanggapi ancaman keamanan seperti ini dengan serius tetapi jangan tertipu oleh semua hype; telah diinformasikan!
Eksploitasi saluran samping ini berpotensi menjadi peristiwa besar dan serius yang mengubah permainan yang dikhawatirkan orang-orang dalam hal keamanan siber. Eksploitasi apa pun yang memengaruhi perangkat keras adalah serius, dan ketika menyerang sesuatu yang dilakukan dengan sengaja, bukan bug, itu menjadi lebih serius. Untungnya, peneliti dan pengembang dapat menangkap, menahan, dan menambal Meltdown dan Spectre sebelum penggunaan yang meluas terjadi.
Yang paling penting di sini adalah Anda mendapatkan informasi yang benar sehingga Anda tahu apa yang harus dilakukan setiap kali mendengar tentang ancaman dunia maya baru yang menginginkan semua barang digital Anda. Biasanya ada cara rasional untuk mengurangi efek serius setelah Anda menggali semua berita utama.
Tetap aman!
Sudahkah Anda mendengarkan Podcast Pusat Android minggu ini?
Setiap minggu, Android Central Podcast menghadirkan berita teknologi terbaru, analisis, dan cuplikan populer, dengan co-host yang sudah dikenal dan tamu istimewa.
- Berlangganan di Pocket Casts: Audio
- Berlangganan di Spotify: Audio
- Berlangganan di iTunes: Audio
Kami dapat memperoleh komisi untuk pembelian menggunakan tautan kami. Belajarlah lagi.
Ini adalah earbud nirkabel terbaik yang dapat Anda beli dengan harga berapa pun!
Earbud nirkabel terbaik nyaman, terdengar bagus, tidak mahal, dan mudah dimasukkan ke dalam saku.
Semua yang perlu Anda ketahui tentang PS5: Tanggal rilis, harga, dan lainnya.
Sony secara resmi telah mengonfirmasi bahwa mereka sedang mengerjakan PlayStation 5. Inilah yang kami ketahui sejauh ini.
Nokia meluncurkan dua ponsel Android One anggaran baru di bawah $ 200.
Nokia 2.4 dan Nokia 3.4 adalah tambahan terbaru dalam jajaran smartphone anggaran HMD Global. Karena keduanya merupakan perangkat Android One, mereka dijamin akan menerima dua pembaruan OS utama dan pembaruan keamanan reguler hingga tiga tahun.
Amankan rumah Anda dengan bel pintu dan kunci SmartThings ini.
Salah satu hal terbaik tentang SmartThings adalah Anda dapat menggunakan banyak perangkat pihak ketiga lainnya di sistem Anda, termasuk bel pintu dan kunci. Karena mereka semua pada dasarnya berbagi dukungan SmartThings yang sama, kami telah berfokus pada perangkat mana yang memiliki spesifikasi dan trik terbaik untuk membenarkan penambahannya ke gudang SmartThings Anda.