Bevezető 2018 első napjaiban robbantak be a köztudatba a Spectre és a Meltdown kódnéven ismertté vált informatikai biztonsági sérülékenységek. A legtöbb pletyka ellenére már az...
2018 első napjaiban robbantak be a köztudatba a Spectre és a Meltdown kódnéven ismertté vált informatikai biztonsági sérülékenységek. A legtöbb pletyka ellenére már az elején le kell szögezni, hogy ezek a mai napig veszélyt jelentenek szinte minden laptop és / vagy okoseszköz használó személyre. A probléma forrása, hogy a teljesítmény-verseny közben olyan kiskapuk maradtak nyitva a processzorokban, amelyek akár a legérzékenyebb adatokhoz is hozzáférést biztosíthatnak. A jelenséget súlyosbítja, hogy operációs rendszertől függetlenül szinte minden gyártó szerverei, munkaállomásai, hordozható számítógépei, okoseszközei, és még a felhő szolgáltatások is ki vannak téve a jelenségnek.
Jó hír, hogy Spectre és Meltdown sérülékenységet kihasználó rosszindulatú támadás eddig még nem került azonosításra – ettől függetlenül egy esetleges sikeres megoldás felhasználói szintű jogosultságot biztosíthat illetéktelenek számára, így az operációs rendszereken alkalmazott védelmi megoldásokat megkerülve hozzáférhetővé válhatnak rendszeradataink. Informatikai biztonsági kutatók eddig három különböző módszert hoztak nyilvánosságra, amelyek segítségével kihasználhatóak a sebezhetőségek, ezek közül kettő – ahogy elnevezésük is feltételezhetjük – előfeltételeiben és hatásában szinte megegyezik. Ez a három módszer a következő: (1) Spectre v1, (2) Spectre v2 és (3) Meltdown.
A jelenséggel kapcsolatban érintett processzorok (CPU) és egylapkás rendszerek (SoC) széleskörűségét jól szemlélteti az alábbi összefoglaló táblázat, amely a különböző gyártók típusait számszerűsíti az egyes támadási módszerekre vonatkozóan (2018. január 14-ei adatok alapján):
| Gyártó | Spectre v1 | Spectre v2 | Meltdown |
| AMD | 71 szerver CPU 31 munkaállomás CPU 100 asztali PC CPU 72 mobil CPU | 71 szerver CPU 31 munkaállomás CPU 100 asztali PC CPU 72 mobil CPU | – |
| Apple | 13 mobil SoC | 13 mobil SoC | 13 mobil SoC |
| ARM | 11 mobil CPU 3 szerver SoC | 11 mobil CPU 3 szerver SoC | 11 mobil CPU 3 szerver SoC |
| Intel | 625 munkaállomás CPU 352 asztali PC CPU 456 mobil CPU 51 mobil SoC | 625 munkaállomás CPU 352 asztali PC CPU 456 mobil CPU 51 mobil SoC | 625 munkaállomás CPU 352 asztali PC CPU 456 mobil CPU 51 mobil SoC |
| Összesen | 1785 típus | 1785 típus | 1504 típus |
A számítógépes processzorok alapvető feladata a kapott utasítások értelmezésének és végrehajtásának vezérlése – tehát lényegében a számítógép agyáról van szó. A mai modern processzorok az utasításokat nem időrendben és a folyamatok logikáját követve dolgozzák fel, hanem megpróbálják kikövetkeztetni, hogy milyen utasítást fognak a későbbiekben kapni, amit a hatékony és gyors működés érdekében előre végre is hajtanak – hogy az így keletkezett adatokra ténylegesen szükség lesz-e vagy sem, az csak a későbbiekben derül ki, addig azonban a processzor a belső memóriájában ideiglenesen eltárolja azokat. A processzor memóriavédelmi megoldása hivatott szavatolni, hogy a különböző folyamatok csak a számukra releváns adatokhoz férjenek hozzá, más folyamatok adataihoz ne legyen hozzáférésük, kapcsolódjanak azok akár az adott operációs rendszerhez, akár egy bizonyos alkalmazáshoz. A Spectre és a Meltdown támadási módszerek – kihasználva az új generációs processzorokban rejlő hibákat is hiányosságokat – pontosan ezt a védelmi mechanizmust kerülik meg, lényegében olyan egyszerűen, mint ahogy a németek annak idején megkerülték a Maginot-vonalat.
A Spectre v1 és a Spectre v2 támadási módszer a legtöbb rendszeren csak azonos jogosultsági szinten teszi lehetővé a biztonsági megoldások megkerülését, így egy alkalmazásban futó rosszindulatú kód hozzáférhet egyazon alkalmazáson belül használt azonos szintű, de másik alkalmazás által használt adathoz. Fontos hangsúlyozni, hogy – néhány extrém kivételtől eltekintve – a Spectre támadási módszerek nem képesek hozzáférést biztosítani a (operációs) rendszer szintű adatokhoz. Összességében tehát elmondható, hogy a Spectre v1 és Spectre v2 által jelentett fenyegetés valós, de mértéke nem annyira vészes.
A fentiek fényében nem meglepő, hogy a Meltdown támadási módszer a Spectre “hiányosságait” hivatott betölteni, így ennek sikeres alkalmazásával gyakorlatilag korlátlan hozzáférés biztosítható a leginkább féltett adatokhoz, információkhoz. Ez annyit tesz, hogy minden jelszó és kulcs visszafejtése lehetségessé válik, vagyis a két támadási módszer közül a Meltdown sokkal nagyobb fenyegetést jelent a gyanútlan felhasználóra, mint a Spectre v1 vagy Spectre v2.
A különböző támadási módszerekkel szemben alapvetően eltérő módokon lehet védekezni, azonban a hardver szinten létező hibákat és hiányosságokat egyik megoldás sem javítja, mindössze a sebezhetőségek kihasználását akadályozza meg. Hardveres úton csak a processzorok cseréje jelenthet teljeskörű megoldást, szoftveres úton azonban viszonylag jól kezelhető módon több módszer és ajánlás már most is rendelkezésre áll, legyen szó akár a processzorok funkcióinak szoftveres úton történő kiiktatásáról, akár az operációs rendszer szintjéről, akár az egyes alkalmazásokról.
A sérülékenységeket esetlegesen kihasználó támadások ellen leggyorsabban az operációs rendszer, illetve az egyes alkalmazások kódjainak szintjén lehet védekezni, de a hardvergyártók is folyamatosan adnak ki UEFI firmware és BIOS frissítéseket. Fontos figyelembe venni, hogy sok esetben a kiadott frissítések csak együttes alkalmazás esetén hatékonyak és működőképesek, így a telepíthetőségük egyszerre több gyártótól is függhet, lelassítva így a reagálás idejét, valamint megnehezítve a frissítés folyamatát.
A jelenleg elérhető frissítésekkel kapcsolatban több szinten is merült már fel probléma. Egyrészt nem fedik le az összes érintett rendszert és eszközt, másrészt sok esetben okozhatnak inkompatibilitási hibákat is, harmadrészt alkalmazásuk különböző mértékekben rendszer szintű teljesítménycsökkenést is eredményezhet.
Az ellenintézkedések megtétele során a legfontosabb, hogy megbízható, lehetőleg gyártói forrásból származó információk alapján körültekintően döntsünk és cselekedjünk, valamint minden esetben készítsük biztonsági mentést az esetleges adatvesztés elkerülése érdekében.
Mivel az Intel® szinte minden processzora érintett, amit az elmúlt évtizedben kiadott, ezért a javítások kiadása elhúzódó folyamat lesz, a hibák és hiányosságok teljes kiküszöbölése és megszüntetése akár évekig is eltarthat. Az eddig kiadott frissítések elérhetőek a gyártó honlapján keresztül, ahol részletes információkat is lehet találni, hogy eddig mely típusú processzorok kaptak már foltozást, azonban ezek telepítése éles környezetben jelenleg nem javasolt, mivel a legtöbb operációs rendszer esetében nem várt újraindulást eredményezhet, rendszer szintű problémák merülhetnek fel, lényegében instabillá tehetjük eszközünket. Mindezek miatt indokolt megvárni az operációs rendszerek gyártóinak és fejlesztőinek teszteléseit és kiegészítő frissítéseit. Az Intel® javításai a gyártói állásfoglalás alapján átlagosan 6%-os processzorlassulást eredményeznek.
Az AMD lapkái csak a Spectre támadási módszerek által érintettek. Ezek ellen hatékony védekezés valósítható meg operációs rendszer szintű foltozásokkal, ennek ellenére Az AMD saját javításokkal is igyekszik csökkenteni a kitettséget. Az eddig kiadott javítások Windows környezetben több esetben is rendszer indítási problémákat okoztak, ezért ezeket ideiglenesen visszavonták. Azóta a Microsoft kiegészítő, módosított javításokat jelentetett meg, kiküszöbölve a hibákat, azonban a telepítési és helyreállítási leírások meglehetősen hiányosak.
Ugyan a Microsoft igyekszik gyorsan és a lehető legszélesebb körben reagálni, az eddig kiadott Windows frissítések sok esetben okoztak problémákat. A javítások telepítése több alkalommal is összeütközött a rendszereken használt védelmi szoftverekkel, megakadályozva a frissítések telepítését, valamint egyes AMD processzorokkal kapcsolatban is fennakadások voltak, amelyek teljes rendszerösszeomláshoz vezettek. Ezeket a problémákat a Microsoft a többi érintett gyártóval közösen igyekszik megoldani, jelenleg több párhuzamos javítás kiadása is folyamatban van, amely egyrészt függ a többi gyártótól, másrészt eltérő a 32 és a 64 bites platformokon is. A kiadott javítások eltérő mértékű processzorlassulást eredményeznek, melyek függenek az operációs rendszer verziójától, a processzor típusától, valamint ezek kombinációjától.
A javítások kiadása folyamatos a legtöbb disztribúcióhoz, a legutóbbi kernel frissítés a Meltdown támadási módszer ellen nyújt védelmet, a másik két támadási módszerrel kapcsolatban további javítások várhatóak. A kiadott foltozások nem fedik le az összes érintett processzor típust, valamint néhány esetben rendszerindítási problémát okoztak, ezeket azonban később javították. A frissítések alkalmazása minden esetben egy- és kétszámjegyű processzorlassulást okoz százalékos arányban kifejezve.
Az Apple már több javítást is kiadott a legutóbbi frissítések részeként, de továbbiak fejlesztése is folyamatban van, mivel az érintettség széleskörű. A kiadott foltozásokkal kapcsolatban hibajelenségek és processzorlassulás még nem került azonosításra.
Mivel a szakemberek szerint a Spectre módszerek web alapú, JavaScript-et használó támadások formájában fognak a későbbiekben problémát okozni, ezért fontos megvizsgálni, hogy az egyes webböngészők milyen veszélyeket hordoznak magukban, illetve a gyártóik milyen ajánlásokat fogalmaztak meg a megelőzés érdekében.
A Google a Chrome böngésző következő frissítésének részeként ígéretet tett a biztonsági rések befoltozására. Ezek kiadásáig és telepítéséig, valamint ettől függetlenül is javasolt a megnyitott oldalak szétválasztása (Site Isolation) funkció használata, amely elkülöníti egymástól az egy böngészőben megnyitott oldalakat és az általuk használt adatokat.
A Mozilla a legutóbbi frissítésében már befoltozta a biztonsági réseket bizonyos funkciók kiiktatásával. A teljes körű megelőzés érdekében Firefox böngésző esetében is ajánlott a site isolation használata.
Az Apple legutóbbi Safari frissítésével befoltozta a biztonsági réseket, amely az operációs rendszerek javításainak része volt.
A Microsoft bizonyos funkciók kiiktatásával befoltozta a biztonsági réseket, melyek az operációs rendszerekhez kiadott frissítő csomagok részét képezik.
Gyártótól és böngésző típustól függetlenül megnehezíthetjük a sérülékenységek kihasználását, amennyiben a böngészési folyamatok során nem használunk egyszerre több lapot (tabot), valamint minden alkalommal szabályosan jelentkezünk ki a belépést igénylő oldalakról.
Eközben az Intel és a Microsoft vállt-vállnak vetve indul harcba a Spectre és a Meltdown támadásokkal szemben sérülékeny processzorok megsegítése érdekében. Ez természetesen nem túl meglepő a fenti táblázatok fényében, hiszen a sérülékenységnek leginkább kitett processzorok az Intel által gyártott Windows környezetben használt darabok. A 2018. március 05-én közzé tett gyártói közlemény hangsúlyozza: egyszerre van szükség szoftver- és firmware frissítések alkalmazására a rendszer szintű hatékony foltozásra. Nem meglepő módon a leginkább támogatott rendszer a Windows 10 (annak is x86 verziója), de szépen lassan minden Microsoft operációs rendszeren megtörténik a tűzoltás – pontos állapotokról ezen az oldalon lehet tájékozódni. Kompatibilitási problémák azonban a mai napig felmerülhetnek, annak ellenére, hogy ezek elhárításáról nagyrészt a mikrokód-frissítések kiadását megelőző validációs folyamat során már sikerült gondoskodni.
A közlemény kitér arra is, hogy a már legyártott processzorok sebezhetőségének felszámolása még rengeteg munkát fog igényelni, ezért szoftver és hardveripari óriások együttes erővel dolgoznak a cél elérése érdekében. Ezt azonban megcáfolni látszik Linus Torvalds, a Linux kernel atyja, aki konkrétan azzal vádolta meg az Intel-t, hogy pánikszerű tűzoltással válaszol az évtized biztonsági kihívására – így az eszközök valódi védelmet nem, csak összetákolt biztonsági funkciókat biztosítanak a felhasználók számára.
A fent leírt – sok esetben nem részletezett – információk alapján is látszik milyen sok rendszert, gyártót és terméket érintő problémáról van szó, amelyet ezért nem véletlenül szoktak az évszázad sérülékenységeként emlegetni. Több évnek, akár egy teljes évtizednek is el kell telnie, amíg minden hardver, operációs rendszer, alkalmazás védett lesz az említett hibákkal és hiányosságokkal kapcsolatban, addig pedig támadások és támadás-sorozatok sokasága fogja ezeket kihasználni. Jelenleg a legfontosabb, hogy a sok gyártói és fejlesztői bizonytalanság ellenére se essünk pánikba, hanem frissítsük az operációs rendszerünket illetve antivírus szoftverünket, legyünk türelmesek és körültekintőek, valamint éberek és biztonságtudatosak, annak érdekében hogy minél szűkebb lehetőségeket hagyjunk a támadóknak. Amennyiben bármilyen rendellenességek tapasztalunk, kérjünk segítséget.
