Заплатка для процессора. Защита от кибератак может замедлить работу компьютеров
Новый 2018 год начался с сообщений об уязвимостях Meltdown и Spectre, которые потенциально позволяют злоумышленнику украсть информацию, используя особенности работы процессора. Производители начали предлагать обновления программного обеспечения, но решат ли они проблему полностью?
Сложность современных микросхем уже настолько велика, что сообщения об обнаружении аппаратных ошибок в процессорах в профессиональной среде перестали восприниматься как нечто экстраординарное. Например, для процессора Intel последнего поколения их обнаружено уже 103.
Однако обычно злоумышленнику не представляется возможным использовать их для атаки: «багов» может быть много и почти всегда они не касаются безопасности. Напомню, что одна из первых широко известных ошибок в процессорах Intel была связана с операцией деления: при определенных условиях процессор возвращал неверный результат. В общем есть ошибки, которые не могут быть использованы для кибератаки, а есть те, которые позволяют злоумышленнику воровать данные. Последних немного, к тому по мере выявления проблем конкретного чипа производитель выпускает документы, в которых кратко описывает, в чем собственно заключается проблема и как ее можно решить. Исправляются они чаще всего написанием дополнительного программного кода, который не столько устраняет ошибку, сколько делает ее невидимой конечному пользователю.
К сожалению, Meltdown и Spectre — другой случай. Если коротко описать ситуацию, то с точки зрения компьютера все программы представляют собой последовательность процессорных инструкций, которые выполняются поочередно, одна за одной. В погоне за производительностью в процессоры AMD, Intel, IBM, а также чипы с ARM-архитектурой (используется в смартфонах и планшетах, например в iPhone), разработчики добавили блоки, которые пытаются предугадать поведение программы и заранее выполнить требуемую операцию. Они меняют порядок исполнения инструкций и производят так называемое спекулятивное выполнение (Speculative execution). Таким образом, процессор пытается «подстроиться» под конкретную программу, если ему это не удается и результат выполнения не является корректным, произведенные действия отменяются.
Но, как выяснили исследователи Google Project Zero, Cyberus Technology, и Технического университета Граца, при неудачной попытке угадать отменяются не все действия, что позволяет получить первоначальные данные одной программы из другой, которая на доступ к ним права не имеет, но может угадать (получить) их по ряду косвенных признаков (например, по времени доступа) в ходе так называемой атаки по сторонним каналам.
Используя эту особенность, можно обойти систему разграничения доступа к данным процессора и начать читать данные практически из любой области памяти. А это уже позволит гипотетическому злоумышленнику получить доступ (а то и вовсе похитить) критичные для пользователя данные (например, пароли, почтовую переписку, данные электронных кошельков и пр.).
Обновления решили не все проблемы
Конечно, разные производители по-разному реализуют процесс спекулятивного выполнения с алгоритмической точки зрения. Но в совокупности обе уязвимости — Meltdown и Spectre — используют особенности реализации таких механизмов и в итоге позволяют получить практически любые данные. Уязвимости Meltdown, позволяющей читать память ядра операционной системы, подвержены ARМ-процессоры и продукция компании Intel. Эта уязвимость была исправлена в операционных системах Windows, Linux, MacOS, iOS программным способом: в ходе обновления весь код пользовательских приложений полностью отделили от ядра ОС.
К сожалению, привычный путь установки программных заплаток может сопровождаться ощутимыми потерями производительности (в некоторых случаях до 30%) и затрагивает ключевые элементы ОС (например, управление памятью). Это чревато проблемами при установке, например, антивирусных программ, или в принципе некорректной работой ПК.
Spectre сложнее реализовать на практике, но ее и ликвидировать программными методами сложнее. Это связано с тем, что разработчики, устраняя данную уязвимость, будут вынуждены вручную внедрять специальные инструкции во все программы, для которых утечка данных может быть критична.
Пора ли беспокоиться?
Meltdown и Spectre, с одной стороны, позволяют только читать данные из оперативной памяти компьютера и злоумышленник не может перехватить управление компьютером жертвы с их помощью. Однако эти уязвимости можно использовать для обхода одной из технологии защиты от взлома — ASLR (address space layout randomization), при которой программы грузятся в регионы памяти по случайным адресам, которые не известны атакующему.
Под обе уязвимости уже выпущены обновления, но только для основных пользовательских операционных систем: Windows, Linux, MacOS, iOS. Пока их нет для ряда серверных операционных систем (таких, например, как FreeBSD). Учитывая риски потери производительности, разработчики Windows и Linux предусмотрели возможность отключать защиту от этих уязвимостей и скорее всего часть пользователей будет использовать эту возможность. Причина проста: в некоторых условиях (масштаб парка обновляемых машин, специфика их использования и т.п.) просадка производительности каждой машины складывается существенные потери для бизнеса или производства. Также нельзя забывать и об общей статистике, иллюстрирующей недостаточную внимательность пользователей к своевременной установке рекомендуемых производителями обновлений в принципе. Исследование нашей компании в 2016 году показало, что 82% проверенных корпоративных информационных систем использовали уязвимые версии ПО, в 64% — уязвимые версии веб-серверов, а в 18% хакеры могли воспользоваться ошибками в устаревших версиях веб-приложений.
Таким образом выпуск обновлений, конечно, несколько сократит масштабы проблемы, но, во-первых, нет возможности спрогнозировать, насколько существенно, а во-вторых (и это главное), проблема не решится целиком.
Фатальный сюрприз под аппаратным капотом
Тем не менее Meltdown и Spectre, о которых в последние дни говорят и пишут многие, — всего лишь часть айсберга, который мы называем «аппаратные атаки».
Это новая тенденция, которая быстро набирает обороты последние 2 года — потенциальное использование злоумышленниками аппаратных уязвимостей. Полагаю, что это вызвано в том числе и несформировавшимися правилами и требованиями к безопасности низкоуровневого кода и аппаратных платформ. Только за последний год исследователями было опубликовано несколько уязвимостей в конструкции чипов, от которых невозможно полностью защититься.
Например, в декабре прошлого года на конференции Black Hat Europe было представлено исследование уязвимости в технологии Intel Management Engine, открывающей доступ потенциальному злоумышленнику к любому компьютеру, ноутбуку, мобильному устройству, где есть процессор Intel поколения Skylake или более позднего — это миллионы устройств по всему миру. Через Intel Management Engine злоумышленник может получить доступ к изображению на экране, клавиатуре и мышке (вне зависимости от используемой операционной системы). При этом такой «захват» происходит совершенно незаметно для средств защиты, установленных в операционной системе. Причем такой зловредный код настолько «живуч», что даже полное форматирование диска и/или полная переустановка системы не окажут на него сколько нибудь значимого влияния.
Да, пока мы не зафиксировали ни одного случая такого взлома, выполненного «плохими парнями» (история ограничилась работой исследователей безопасности в рамках официального сотрудничества с Intel). Но опыт показывает, что это всего лишь вопрос времени.
При этом самая большая проблема уязвимостей аппаратного типа в потенциальном появлении нового поколения вирусов, которые окажутся не по зубам современным средствам защиты. Это может привести к новой волне таргетированных атак или вирусов-вымогателей. Последние, к примеру, уже не станут ограничиваться простой блокировкой пользовательских данных, а смогут выводить из строя материнские платы и это вполне может запустить новый этап в развитии зловредного вымогательского ПО, позволяющего за выкуп восстанавливать платформу к жизни.