Meltdown y Spectre: Nuevos agujeros de seguridad en procesadores

2018 ha iniciado su andadura tomando el relevo a 2017 al menos en lo que problemas de seguridad y bugs se refiere.

 Si como ya comentamos, el pasado año había sido uno de los más prolíficos en cuanto a la aparición de nuevos agujeros de seguridad, y cada vez más graves, el nuevo año nos deja en muy pocos días con dos problemas de seguridad hasta ahora desconocidos y que parecen tener proporciones nunca antes vistas.

Los protagonistas de esta historia son conocidos como Meltdown y Spectre.

Ambos se parecen en que se trata de problemas de los procesadores a muy bajo nivel, de hecho, a nivel incluso de su diseño, y parece afectar a un número desmesurado de equipos. Estos fallos han sido descritos por un grupo de investigadores formado por el grupo Project Zero perteneciente a Google, la Universidad de Tecnología de Graz, la Universidad de Pennsylvania, la Universidad de Adelaida y la empresa privada Cyberus y Rambus en esta web.

Si bien Meltdown a priori afecta sólo a procesadores Intel, Spectre afecta por igual a Intel, AMD y ARM, que representan un porcentaje alarmantemente alto de dispositivos, copando así la práctica totalidad de equipos portátiles, de sobremesa y servidores.
 

Así es el alcance e impacto de Meltdown y Spectre

 
Según hemos podido conocer, Meltdown permite a un software malicioso acceder al Kernel del sistema operativo e incluso obtener la información que se está tratando procedente de otros procesos e incluso de otros usuarios. Afecta sólo a procesadores Intel y puede ser corregido con parches mediante software.

La necesidad de aplicar parches ha desatado cierta polémica ya que parece que, al menos por el momento, estos parches reducen sensiblemente el rendimiento de los procesadores. De todos modos, al tratarse de parches por software, podría mejorarse en un futuro.

Como cualquier problema que necesita la aplicación de parches, es más que probable que muchos equipos nunca los instalen y queden permanentes expuestos a estas vulnerabilidades.

Spectre es todavía más catastrófico. Permite a un hipotético programa malicioso acceder directamente al contenido de los procesos de otras aplicaciones.

Aún sin presentar ningún problema de seguridad y cumpliendo con todos los manuales de buenas prácticas existentes, se puede estar expuesto a esta vulnerabilidad. Asimismo, se extiende a los mayores fabricantes de procesadores del momento, que incluye el de la mayoría de smartphones, ARM.

Specte es, además, imparcheable, al menos por el momento. Poco se conoce todavía de su verdadero alcance; sólo se sabe que en la práctica es realmente difícil de explotar, pero por lo que se conoce, todo apunta a que sería necesario cambiar el procesador por otros que, además, todavía ni se han diseñado. El alcance que pueda llegar a tener es, a día de hoy, incalculable.

Todo esto viene incrementado al verse envuelto por unas extrañas circunstancias, en las que se dice que el CEO de Intel vendió, sospechosamente, un pack de acciones de su propia compañía pocas semanas antes de saltar la noticia, lo que coincide, además, con que la cifra restante de acciones en su poder es la mínima imprescindible para seguir ostentando su cargo. Hay que tomar con mucha cautela este tipo de noticias, pero en estas circunstancias es todo bastante delicado.
 

Solicita asesoramiento personalizado para proteger tu negocio

¿Y ahora qué?

Sin entrar a explicar su funcionamiento a bajo nivel, para tratar de ilustrar de qué trata el problema, en el caso de Meltdown, todo se inicia a partir de algo llamado ejecución especulativa. En resumen, se trata de que el procesador ejecuta las operaciones que se le indican y el resultado es almacenado en la memoria caché para luego comprobar si quien solicita esa operación debe poder realizarla y, si no es así, desecha los resultados.

El acceso a esos resultados “temporales” y desechables presenta un problema de seguridad que permite a al famoso proceso malicioso acceder a ellos y almacenarlos, lo que deja a su merced datos a los que no debería tener acceso. De ahí que su parche, al tener que implementarse por software una comprobación extra antes de ejecutar ninguna acción, reduzca su velocidad.

Precisamente ahora nos encontramos en ese punto, con todas las compañías afectadas dando explicaciones de diversa índole, todas tratando de minimizar el supuesto impacto, y publicando parches que en la medida de lo posible minimicen riesgos con el menor detrimento de rendimiento posible.

La tecnología ha penetrado en prácticamente cualquier área de nuestra vida diaria. La seguridad de nuestros datos tiene un papel crítico: todas y cada una de las partes implicadas está bajo minuciosa revisión. Al menos, esta vez el descubrimiento viene por parte de aliados de la seguridad y no amigos de lo ajeno, lo cual habría hecho que la situación cobrase tintes todavía más oscuro.