В своем новом материале редакция SecureNews вместе с экспертами по информационной безопасности попыталась разобраться, насколько опасными являются уязвимости, обнаруженные недавно в процессорах, и что могут сделать пользователи, чтобы обезопасить себя.
Являются ли уязвимости, недавно обнаруженные в процессорах разных производителей, опасным прецедентом, или это стоит рассматривать как штатную ситуацию, которая оперативно будет решена в ближайшее время? Были ли подобные инциденты в прошлом?
Алексей Смирнов, генеральный директор компании «Базальт СПО»
Алексей Смирнов, генеральный директор компании «Базальт СПО»:
«Уязвимости такого масштаба, охватывающие практически весь парк процессоров, выпускавшихся в мире с середины 90-х годов прошлого века – это совершенно беспрецедентный случай. Конечно, уязвимости в процессорах находили и прежде, но в отдельных моделях. А уязвимость CVE-2017-5754, известная как Meltdown, найдена практически во всех процессорах Intel, которые выпускались после 1995 года. Компьютеры на этих процессорах сейчас активно эксплуатируются во всем мире миллионами организаций и частных лиц. Понятно, эти процессоры не исправишь, можно только на уровне операционной системы купировать возможность использовать эту уязвимость. Но есть другая уязвимость – Spectre (CVE-2017-5753 и CVE-2017-5715), которой подвержены практически все распространенные процессоры: и AMD, и ARM. С одной стороны, она менее опасна, поскольку ее сложнее использовать для атаки. С другой стороны, это не одна, а целый класс уязвимостей, исправление которых – очень сложный процесс. Всех нас ожидает длительный процесс «затыкания дыр». Разработчики во всем мире уже работают над этим, но «серебряной пули» нет. Я бы сказал, что после обнаружения этих уязвимостей мир поменялся настолько, что уже не будет прежним. Как, например, он стал другим после публикации материалов Сноудена. Наши представления о надежности с первых дней 2018 года безвозвратно изменились. Если раньше мы только подозревали, что в процессорах могут быть уязвимости, то сейчас обнаружили, что они действительно есть, причем есть почти везде».
Игорь Корчагин, руководитель группы обеспечения безопасности информации компании ИВК
Игорь Корчагин, руководитель группы обеспечения безопасности информации компании ИВК:
«Безусловно, наличие уязвимостей Meltdown и Spectre является крайне опасным прецедентом, который стал следствием погони архитекторов процессоров за производительностью в ущерб безопасности. Причем, судя по информации из общедоступных источников, разработчикам о данной уязвимости было известно еще в июне 2017 года, но активность по выпуску патчей пришлась только…на начало 2018 года, после появления публикаций в СМИ об обнаружении уязвимостей. Вывод очевиден – разработчики процессоров замалчивали данную проблему, иначе соответствующие обновления были бы выпущены раньше. В настоящее время мы имеем вопиющую ситуацию: наличие сведений о критических уязвимостях при отсутствии полноценных патчей у многих разработчиков программного обеспечения. Универсального патча для Spectre пока вообще не существует, оперативно данную проблему решить физически нельзя по причине её низкоуровневости. Ситуация усугубляется множеством технических проблем с эксплуатацией пропатченного ПО известных производителей, с которыми уже столкнулись пользователи – вплоть до полного отказа работоспособности приложений».
Никита Куртин, эксперт по информационной безопасности и преподавателя высшей школы ИТ и кибербезопасности HackerU
Никита Куртин, эксперт по информационной безопасности и преподавателя высшей школы ИТ и кибербезопасности HackerU:
«Уязвимости Spectre и Meltdown, недавно найденные в процессорах, – это очень серьезные уязвимости, одни из самых критичных за последние годы (если не самые критичные), и это не только мое личное мнение – этот факт признают практически все эксперты по информационной безопасности. Кроме того, учитывая широкую распространенность уязвимых процессоров, угрозе подвергается огромное количество пользователей. В данном случае мы имеем дело с эксплуатацией абсолютно логичной особенности процессоров, и речь не идет просто об оплошности инженеров. В мире технологий усиление безопасности всегда обозначает снижение производительности и функциональности. В случае со Specter и Meltdown для атаки была использована функциональность, необходимая для оптимизации операций в среде исполнения кода (runtime) на уровне процессоров, когда менее приоритетная операция может быть обработана раньше времени или когда процессор не сразу переходит к выполнению определенной инструкции. Было обнаружено, что процессор кэширует данные для первоначальной операции еще до того, как понимает, что она нелегитимная. Ключевой момент – эта операция происходит в среде ядра находящемся на самом низком уровне архитектуры, который позволяет получить доступ абсолютно ко всем данным. Эта функциональность запуска (speculative execution) была создана с целью повышения производительности, но была эксплуатирована в другом, совсем неожиданном направлении. Вредоносный код может запросить исполнение нелегитимной операции, и процессор сначала выполнит ее и закэширует данные, но только потом «поймет», что это была нелегитимная операция. Таким образом происходит повышение привилегий, и потенциальный злоумышленник, используя техники Spectre и Meltdown, может прочитать любые данные на компьютере. В интернете уже есть немало рабочих POC-эксплоитов».
Михаил Кондрашин, технический директор Trend Micro в России
Михаил Кондрашин, технический директор Trend Micro по России и СНГ:
«Недавно обнаруженные уязвимости в процессорах стали теми «черными лебедями», которые открыли новую страницу в истории информационной безопасности. Оказалось, что уязвимости могут быть обнаружены в самых фундаментальных компонентах современных устройств, таких как центральные процессоры. К счастью, данные уязвимости стали известны разработчикам самих процессоров и операционных систем до того, как они стали известны широкой общественности. В результате, о данных уязвимостях стало известно одновременно с выпуском заплат от производителей популярных операционных систем. Выявленные уязвимости настолько серьезны, что успешные атаки могут иметь самые неприятные последствия, а также быть совершенно незаметными для пользователя. Поэтому, мы призываем всех пользователей не отказываться от установки данных заплат, несмотря на то, что для некоторых сочетаний процессоров и приложений может снизиться производительность».
Могут ли пользователи как-то обезопасить себя от хакеров, которые потенциально могут воспользоваться данными уязвимостями? Или же им остается лишь ждать обновлений от производителя?
Денис Назаренко, руководитель направления продвижения решений центра компетенций по информационной безопасности компании «Техносерв»
Денис Назаренко, руководитель направления продвижения решений центра компетенций по информационной безопасности компании «Техносерв»:
«Конечно, могут. Для использования данной уязвимости злоумышленнику первоначально нужно получить доступ к компьютеру и скорее всего под root-правами. Поэтому, если говорить о физических пользователях, то необходимо использование стандартных средств защиты: антивирус, персональный фаервол. Компаниям и корпорациям нужно использовать периметральную защиту, антивирусные решения и другие средства, начиная с SandBox и заканчивая SIEM. При этом клиентам нужно ждать выпуска официальных патчей и инсталлировать их сразу же после получения».
Алексей Смирнов:
«Наибольшей опасности подвергаются ресурсы, в которых задействованы облачные решения, где запускаются разные приложения разных владельцев. И предпринять меры, которые полностью устраняют угрозу, на сегодняшний день не представляется возможным. По уязвимости Meltdown, которая характерна для процессоров Intel, сейчас уже выпускаются обновления, пользователям надо отслеживать их появления и сразу же устанавливать. Увы, за любые ошибки надо платить. В данном случае, когда мы при помощи софта исправляем ошибку, реализованную в «железе», приходится платить производительностью процессоров. Замедление работы может составлять от 5% до 60%. В связи с этим владельцам облачных ресурсов предстоит большая, тяжелая и затратная работа. Представьте себе ЦОД, которому необходимо будет, грубо говоря, удвоить количество процессоров, чтобы обеспечить прежнюю производительность! Мы еще не завершили систематическое тестирование по производительности, есть просто первые наблюдения. На рабочих станциях падение производительности относительно небольшое при выполнении обычных стандартных офисных задач. Это те самые 5%. А вот в высоконагруженных, многозадачных системах, где, собственно, и нужна производительность – она падает больше всего. Связано это с тем, что механизмы оптимизации производительности процессора были сделаны некорректно с точки зрения безопасности. И, по сути, приходится отказываться от мощных механизмов оптимизации. То есть цена получается достаточно высокой. Причем падение производительности – это не единственный минус. Происходит еще и значительное увеличение потребляемого электропитания. И это только последствия исправление Meltdown. А Spectre еще – править и править, и какие следствия там проявятся, еще не до конца понятно. Устранение уязвимости Spectre – это исправление не просто ядра операционной системы, как для Meltdown. Ее устранение может потребовать пересборки всех прикладных программ. Характер уязвимости таков, что Spectre нарушает изоляцию памяти приложений, из-за чего прикладные программы могут получить доступ к данным чужого приложения. То есть потребуются усилия и средства еще и на пересборку прикладных программ. Поскольку разделение прав доступа происходит на уровне операционной системы, а утечка происходит ниже, на уровне железа и никак не контролируется операционной системой, то вносить исправления придется еще и на уровне приложений».
Игорь Гавриш, руководитель отдела информационной безопасности компании «ЛАНИТ-Интеграция»
Игорь Гавриш, руководитель отдела информационной безопасности компании «ЛАНИТ-Интеграция» (группа компаний ЛАНИТ):
«Производители «железа» уже начали выпускать обновления безопасности, но пользователям в любом случае стоит проявить бдительность и проводить стандартные профилактические мероприятия в части ИБ: не забывать актуализировать антивирусные базы, использовать возможности персональных межсетевых экранов и систем обнаружения вторжений, стараться избегать посещений сайтов с сомнительным контентом, своевременно устанавливать обновления безопасности».
Дмитрий Хомутов, заместитель директора по развитию «Айдеко»
Дмитрий Хомутов, заместитель директора по развитию «Айдеко»:
«Прежде всего необходимо установить обновления браузеров (Chrome и Firefox уже выпустили соответствующие апдейты безопасности), чтобы затруднить или сделать невозможным удаленную эксплуатацию уязвимостей. Затем обновить операционную систему, по мере выходов обновлений у производителей ПО, чтобы закрыть уязвимость полностью. Известных эксплоитов для использования этих уязвимостей пока не обнаружено, поэтому сильно паниковать не стоит».
Никита Куртин:
«К сожалению, сами пользователи мало что могут сделать, но в мире информационной безопасности, информация о критических уязвимостях не публикуется в открытом доступе до того, как инженеры и эксперты не придумают способ защиты. Решение предоставляют разработчики операционных систем (Windows, Linux), пока оно получило кодовое название KAISER (Kernel Address Isolation Side-channels Efficiently Removed). И даже сам Intel исключает из следующего поколения процессоров эту функциональность, что, кстати, отрицательно повлияет на производительность».
Яков Гродзенский, руководитель направления информационной безопасности компании «Системный софт»
Яков Гродзенский, руководитель направления информационной безопасности компании «Системный софт»:
«Эксплоитов, которые бы использовали эти уязвимости, еще нет, но они наверняка появятся. Мои рекомендации частично перекликаются с теми, которые мы давали в рамках нашей программы по защите от вирусов-вымогателей Wanna Protect. В первую очередь, не стоит открывать неизвестные письма с непонятными ссылками и неизвестным ПО. Что касается администраторов и менеджеров по информационной безопасности, то им имеет смысл внедрять решения по повышению осведомленности в области ИБ для борьбы с вредоносным контентом, передаваемым по почте, мессенджерам, использовать сканеры уязвимостей для поиска «непропатченных» станций и серверов».
Есть ли чипы, не затронутые данными уязвимостями? Следует ли владельцам уязвимых устройств «бежать в магазин» за компьютерами с безопасными процессорами?
Денис Назаренко:
«Бежать в магазин не стоит, по крайней мере, за новыми чипами. Но вот обратить внимание на состояние ИБ в целом стоит. И возможно корпоративным пользователям стоит озаботиться инициированием проектов по информационной безопасности и установкой новых средств защиты, которые позволят выступить еще одним эшелоном обороны на пути злоумышленника, неважно, что это будет – уязвимость процессоров или WannaCry».
Алексей Смирнов:
«Я бы посоветовал следить за официальными заявлениями производителей тех или иных чипов. Не за тем, что пишут об этих чипах на форумах или в прессе, а за тем, что официально заявляют производители. Только они знают все особенности и детали архитектуры, и могут проверить, относятся ли к ним те или иные уязвимости. Известно, что все чипы, кроме Intel, вроде бы не затронуты Meltdown, эта уязвимость специфична для данного производителя. А что касается Spectre, то есть предварительные оценки данной уязвимости для разных чипов, но надо дождаться информации от разработчиков».
Дмитрий Хомутов:
«Процессоры иных архитектур, например, российский «Эльбрус», не подвержены данной уязвимости. Но для рядовых пользователей они, к сожалению, еще не доступны — в магазин за ними бежать некуда. Более распространенный неуязвимый вариант — процессоры AMD. Однако гораздо проще и дешевле решить проблему с безопасностью через обновление операционной системы и прикладного ПО, чем заменять аппаратные платформы».
Никита Куртин:
«Стоит ли бежать покупать другие процессоры? Определенно - нет. То, что уязвимость пока не была обнаружена в определенном чипе, не означает, что ее там нет. Плюс стоит взять в расчет, что в начале уязвимость была найдена процессорах Intel, но потом при проверке оказалось, что так же уязвимы процессоры AMD и ARM».
