Dos fallas de seguridad detectadas recientemente podrían permitir que un atacante acceda a información sensible, incluyendo contraseñas y datos bancarios. Fueron encontradas en los procesadores diseñados por Intel, AMD y ARM.

El hallazgo vino de parte de los investigadores de la división de Google Project Zero, en conjunto con académicos de distintos países. Al combinar el alcance de ambas fallas, casi todas las computadoras se ven afectadas, ya sean de escritorio, notebooks, móviles, y sin importar que sistema operativo corren. Windows, MacOS, iOS, Android y las distintas variantes de Linux son vulnerables. Los menos afectados son los pequeños dispositivos IoT conectados cuya arquitectura es diferente y otras clases de procesadores como las placas de video (GPU).

Según Daniel Gruss, uno de los investigadores de la Universidad Graz de Tecnología que encontró la falla, Meltdown es “probablemente el peor bug que se encontró en las CPU” y necesita de atención inmediata porque permite que cualquier aplicación robe tus datos, desde un programa instalado hasta una pieza de javascript de una página web. Sebastián Stranieri, el CEO de VU, una empresa dedicada al desarrollo de software de ciberseguridad, sintetizó: “es como si el principal productor de cemento del mundo diga que su cemento resultó ser frágil”.

En el caso de Meltdown, se trata de una falla en el diseño de los procesadores de Intel que le permite a cualquier aplicación acceder a la memoria de la computadora, donde pueden estar alojadas, por ejemplo, las credenciales de acceso a servicios web como puede ser el homebanking o Facebook. Solucionarlo implica cambiar la forma en la cual los sistemas operativos administran la memoria. Según estiman, esta modificación podría afectar la velocidad de los procesadores y disminuirla hasta un 30%. Puede que para el usuario común no sea mucho, pero a nivel empresarial donde se maneja el poder de cómputo a otra escala podría significar un gran problema. “En empresas como Facebook y Microsoft deben de estar preocupados porque ellos trabajan a gran escala. Van a tener que considerar el impacto en el rendimiento y evaluarlo para sus clientes”, explica Stranieri.

Spectre, en cambio, afecta a la mayoría de los procesadores modernos, incluidos no solo los de Intel, sino también aquellos desarrollados por AMD y ARM. Esta permite “engañar” a una aplicación que funciona correctamente para que entregue datos que deberían ser secreto. Si bien Spectre es más difícil de aprovechar por parte de un hacker, también es más complicado de solucionar del todo y podría convertirse en un problema mayor con el paso del tiempo.

Qué datos corren peligro

El kernel es el núcleo de un sistema operativo y tiene control sobre todo el sistema. Este almacena toda clase de información, incluidos datos sensibles como los registros bancarios, los números de tarjetas de crédito, información financiera, comunicaciones y contraseñas. La existencia de Meltdown pone todo esto en riesgo. Spectre puede ser abusado para que una aplicación entregue los datos sensibles que maneja. Por ahora no hay evidencia de que Meltdown y Spectre estén siendo usados para robar datos, pero por cómo funcionan, organizaciones como el Centro de Ciberseguridad del Reino Unido explican que es difícil detectar los casos. Los expertos suponen que los hackers ya están desarrollando ataques que aprovechen las vulnerabilidades y es cuestión de tiempo, ahora que la información está disponible.

Qué dijo Intel
El fabricante de procesadores publicó un comunicado en respuesta a los hallazgos de los investigadores en su portal de noticias. En resumen, este explica que ellos y el resto de los fabricantes están al tanto de la situación, aclarando que no solamente sus productos están afectados. Según cuentan, están trabajando de cerca con el resto de las empresas para encontrar una solución y señalan que el impacto de los parches en el rendimiento de las computadoras será imperceptible para el usuario común, aunque las grandes empresas notaran cambios en el rendimiento.

Creo que alguien adentro de Intel necesita darle un gran vistazo a sus CPU y admitir que de verdad tienen problemas en vez de escribir comunicados de prensa que dicen que todo funciona como fue diseñado.

Cómo protegerse
La situación es delicada. Por un lado, el CERT, un equipo de expertos en seguridad informática del gobierno estadounidense que actúa en casos de emergencia, considera que la única solución real es cambiar los procesadores de las computadoras. Pero esto implicaría un enorme gasto y para los servidores que están en uso resulta imposible. La otra opción es hacer los cambios en los sistemas operativos, desarrollar parches y corregir las vulnerabilidades.

Las empresas conocen las fallas hace un año y tenían planeado realizar un anuncio en conjunto el 9 de enero, pero el medio especializado The Register publicó la información y debieron apurar los comunicados y las actualizaciones.

Microsoft publicó un parche para Windows 10, el KB4056892. Lo programaron para que se instale solo, pero es recomendable actualizar el sistema manualmente para hacerlo lo antes posible.

Apple lanzó la versión 10.13.2 de macOS que soluciona las vulnerabilidades. Al igual que Windows, es parte de las actualizaciones y conviene instalarla a la brevedad. Por ahora no informaron sobre el parche para su sistema operativo móvil, iOS. Son pocos los chips ARM afectados y por lo tanto la amenaza es menor en el caso de los celulares. Aunque la ejecución de un malware que aproveche la falla también en más compleja, no están a salvo y los parches deben de estar por llegar. Lo que queda pendiente es el parche de Spectre para el navegador Safari que la empresa anunció que publicará en los próximos días.

Google, siendo la empresa que detecto la falla, informó que todos los dispositivos con Android que hayan instalado el último parche de seguridad publicado el 2 de enero tienen solucionadas dichas vulnerabilidades. A su vez, todavía no se vieron implementaciones del ataque en el sistema operativo. También informaron que la nueva versión de Chrome contará con las modificaciones necesarias.

Por último, Mozilla publicó una actualización para Firefox y los parches para Linux ya están disponibles para las distintas distribuciones.

Fuente: Infotechnology