A segurança de praticamente todos os computadores do planeta acabou de piorar, e a única solução real - que é claro que não é uma solução - é jogá-los e comprar novos.
Os pesquisadores anunciaram uma série de grandes vulnerabilidades de segurança nos microprocessadores no coração dos computadores mundiais nos últimos 15-20 anos. Eles foram chamados Specter e Meltdown, e eles têm a ver com a manipulação de maneiras diferentes que os processadores otimizam o desempenho ao reorganizar a ordem das instruções ou executar diferentes instruções em paralelo.
Um invasor que controla um processo em um sistema pode usar as vulnerabilidades para roubar segredos em outro lugar no computador. (Os trabalhos de pesquisa..papers are here and here.) Isso significa que um aplicativo mal-intencionado em seu telefone pode roubar dados de seus outros aplicativos. Ou um programa malicioso em seu computador - talvez um executado em uma janela do navegador a partir desse site esboçado que você está visitando, ou como resultado de um ataque de phishing - pode roubar dados em outro lugar em sua máquina.
Os serviços em nuvem, que muitas vezes compartilham máquinas entre vários clientes, são especialmente vulneráveis. Isso afeta aplicativos corporativos em execução em infra-estrutura de nuvem e aplicativos de nuvem de usuários finais, como o Google Drive. Alguém pode executar um processo na nuvem e roubar dados de todos os outros usuários no mesmo hardware.
As informações sobre essas falhas circularam secretamente entre as principais empresas de TI há meses, enquanto pesquisavam as ramificações e as atualizações coordenadas. Os detalhes deveriam ser lançados na próxima semana, mas a história quebrou cedo e todos estão se mexendo. Até agora, todos os principais fornecedores de nuvem corrigiram seus sistemas contra as vulnerabilidades que podem ser corrigidas. "Jogá-lo e comprar um novo" é um conselho de segurança ridículo, mas é o que o US-CERT recomenda (recommends).
Também é inviável. O problema é que não há nada para comprar que não seja vulnerável. Praticamente todos os principais processadores feitos nos últimos 20 anos são vulneráveis a algum tipo de vulnerabilidades. Patching against Meltdown pode degradar o desempenho em quase um terço. E não há patch para o Specter; os microprocessadores devem ser redesenhados para evitar o ataque, e isso levará anos.
Isso é ruim, mas espere mais e mais. Várias tendências estão a convergir de uma forma que dificulta a implementação do nosso atual sistema de correção de vulnerabilidades de segurança. A primeira é que essas vulnerabilidades afetam os computadores incorporados em dispositivos de consumo. Ao contrário do nosso computador e telefones, esses sistemas são projetados e produzidos com menor margem de lucro com menos experiência de engenharia. Não há equipes de segurança em chamada para escrever patches, e muitas vezes não existem mecanismos para empurrar patches para os dispositivos. Nós já vemos isso com roteadores domésticos, gravadores de vídeo digital e webcams.
A vulnerabilidade que permitiu que eles sejam assumidos pelo botnet Mirai em agosto passado simplesmente não pode ser consertada. O segundo é que alguns dos patches requerem atualizar o firmware do computador. Isso é muito mais difícil de caminhar pelos consumidores, e é mais provável que ele permaneça o tijolo do dispositivo se algo der errado. Também requer mais coordenação. Em novembro, a Intel lançou uma atualização de firmware para corrigir uma vulnerabilidade em seu mecanismo de gerenciamento (ME): outra falha em seus microprocessadores. Mas não conseguiu essa atualização diretamente para usuários; tinha que trabalhar com as empresas de hardware individuais, e alguns deles simplesmente não eram capazes de obter a atualização para seus clientes.
Alguns patches exigem que os usuários desabilitem a senha do computador, o que significa que as organizações não podem automatizar o patch. Alguns softwares anti-vírus bloqueiam o patch, ou - pior - trava o computador. Isso resulta em um processo de três etapas: repare seu software andi-virus, repare seu sistema operacional e, em seguida, pare o firmware do computador.
O motivo final é a natureza dessas vulnerabilidades. Estas não são vulnerabilidades de software normais, onde um patch corrige o problema e todos podem seguir em frente. Essas vulnerabilidades estão nos fundamentos de como o microprocessador opera. Não deve ser surpreendente que os designers de microprocessadores tenham construído hardware inseguro há 20 anos. O que é surpreendente é que demorou 20 anos para descobri-lo.
Com a pressa de fazer computadores mais rápidos, eles não estavam pensando em segurança. Eles não tinham a experiência para encontrar essas vulnerabilidades.
E aqueles que estavam muito ocupados encontraram vulnerabilidades de software normais para examinar microprocessadores. Pesquisadores de segurança estão começando a olhar mais de perto para esses sistemas, então espere ouvir sobre mais vulnerabilidades nesse sentido. Specter e Meltdown são vulnerabilidades bastante catastróficas, mas só afetam a confidencialidade dos dados.
Ref: Bruce Schneier
