Številne univerze in varnostni strokovnjaki so potrdili obstoj dveh kritičnih pomanjkljivosti v sodobnih procesorjih, ki bosta, takoj ko bodo napadalci razvili ustrezne metode, bržkone vodili do serije novih varnostnih incidentov. Ranljivosti, poimenovani Meltdown in Spectre, sta prisotni v skoraj vseh sodobnih procesorjih, razvitih v zadnjem desetletju. Napadalcem omogočata branje občutljivega predela sistemskega polnilnika, ki lahko med drugim hrani tudi gesla, enkripcijske ključe, e-pošto in druge občutljive podatke.
Pomanjkljivosti so na namiznih in prenosnih računalnikih, mobilnih napravah in tudi podatkovnih centrih, torej v oblaku. Napadalec, ki bi uspešno napadel ponudnika oblačnih storitev, bi kaj lahko odtujil ogromno občutljivih podatkov. Obe ranljivosti namreč napadalcu omogočata, da izkoristi »stranske kanale« in pridobi dostop do podatkov v pomnilniku.
Meltdown zbira podatke iz pomnilnika
Ranljivost Meltdown omogoča uporabniškim programom, da zbirajo podatke iz pomnilnika operacijskega sistema in tajne podatke drugih programov. »Če ima vaš računalnik ranljiv procesor in upravlja nezakrpan operacijski sistem, ni mogoče varno delati z občutljivimi informacijami, saj bi te lahko prišle v napačne roke. To velja tako za osebne računalnike kot tudi oblakovo infrastrukturo,« pojasnjujejo Googlovi varnostni strokovnjaki, ki delajo na projektu Zero.
Proizvajalci operacijskih sistemov Windows in Linux so se odzvali zelo hitro in pripravili ustrezne popravke, uporabniki OS X pa na krpanje vseh ranljivosti še čakajo. Ranljivost Meltdown je prisotna v večini procesorjev Intel, izdelanih po letu 1995 (izjemi sta družini Itanium in Atom, izdelani pred letom 2013).
Ker ima v svetu osebnih računalnikov in strežnikov Intel več kot 90-odstotni delež, takšna ranljivost zadeva praktično vse nas. Če smo popravke operacijskega sistema že namestili, si lahko malce oddahnemo. Manj mirno pa spijo upravitelji podatkovnih centrov, saj varnostne zaplate vplivajo na zmogljivosti njihovih procesorjev in jih v povprečju upočasnijo za približno četrtino, v robnih primerih pa še bolj.
Spectre aplikacije prisili v izmenjavo tajnih podatkov
Druga ranljivost Spectre pa lahko posamezno aplikacijo prisili v izmenjavo svojih skrivnosti. V praksi gre za težje izvedljiv napad, a so zanj poleg procesorjev proizvajalca Intel dovzetni tudi nekateri procesorji proizvajalcev AMD in ARM.
Intel, ki ima daleč največ ranljivih procesorjev, je skušal z izjavo za javnost, v kateri je zapisal »da ne verjame, da bi lahko omenjeni ranljivosti pokvarili, spremenili ali izbrisali podatke«, pomiriti uporabnike, a mu to ni uspelo. Neodvisni preizkuševalci so pod vprašaj postavili tudi trditev največjega proizvajalca procesorjev na svetu, da posodobitve ne bodo bistveno vplivale na zmogljivosti procesorjev. Za naprave povprečnega uporabnika, v katerih procesor ni pogosto polno obremenjen, to sicer drži, za podatkovne centre pa ne, saj tehnologija virtualizacije skrbi za kar najboljše izkoriščanje sistemskih virov, kar pomeni, da so procesorji velikokrat polno obremenjeni.
Tudi AMD in ARM uporabnikom vsak po svoje dokazujeta, da novi ranljivosti na njunih procesorjih ne moreta povzročiti niti približno takšne škode kot pri konkurentu. Oblačni velikan Amazon je stranke prav tako hitel miriti, da je v nekaj urah zakrpal vse luknje, ki bi jih lahko izkoristili ranljivosti. A z dodatkom, da to velja za Amazonovo oblačno infrastrukturo EC2, vse operacijske sisteme in aplikacije, ki tečejo na njej, pa bodo morale stranke posodobiti same.
