Ayer comenzó a circular un alerta: por como están diseñados la mayoría de los procesadores modernos de Intel una aplicación maliciosa puede aprovechar una vulnerabilidad que deja expuesta información sensible como contraseñas, software en uso y más a cualquier aplicación maliciosa. Es una puerta abierta de par en par donde en teoría había un muro infranqueable.
El caso típico es tener acceso al usuario y contraseña de cualquier cuenta; no importa la aplicación o servicio en uso: el e-mail, los datos bancarios, todo. Pero también supone tener acceso irrestricto a todos los programas de todas las compañías que corren sus procesos en un servidor remoto (compartido, por lo general, con otras compañías). Todo está ahí, expuesto: ser más que un administrador de todos los servidores de Amazon o Facebook. Leer todo lo que está en esos equipos sin limitación alguna.
Los investigadores que dieron la voz de alerta confirmaron que incluso es posible implementar un ataque desde una página web, que salteará todos los resguardos del navegador y el sistema operativo para acceder a los datos del usuario. No sólo ver las fotos que tiene en su teléfono: leer todas las contraseñas de todos los servicios, etcétera.
La buena noticia es que por ahora es una demostración de concepto: se sabe que esa puerta existe, pero no se conocen instancias en las que algún malhechor la haya aprovechado. La mala: es muy difícil de resolver y, en algunos casos, imposible de eliminar sin cambiar el chip de la computadora.
El agujero de seguridad que el mundo conoció ayer (y del que los expertos en seguridad vienen hablando hace un año) afecta a la enorme mayoría de las computadoras que usan chips de Intel de 1995 para acá y no depende del sistema operativo: da igual si se usa Windows , macOS y Linux. E impacta en una humilde PC de escritorio y en los servidores más poderosos del mundo; afecta incluso a los celulares. Más tarde se supo que afecta, también, a un número reducido de chips con ARM (como los que usan los celulares modernos). AMD aseguró, en un comunicado, que sus procesadores no están afectados por uno de los dos ataques conocidos (Meltdown); investigadores de Google dicen lo contrario respecto de otro ataque, Spectre.
Meltdown y Spectre
Al principio se habló de una, pero ahora son dos las vulnerabilidades, y hasta tienen nombre: Meltdown y Spectre, tal como los llamaron el grupo de investigadores que detectó esta falla de diseño. Son dos posibilidades de atacar una computadora para acceder a información que en teoría estaba segura.
Esta vulnerabilidad surge de cómo funcionan los microchips modernos, que intentan predecir qué nueva instrucción recibirán del sistema operativo (qué nueva orden, qué tarea les encomendará una aplicación) para ganar tiempo, y en cómo se separa la memoria que usa el núcleo del sistema (y al que nadie, salvo el propio sistema, tiene acceso) de la que ocupa el usuario con sus aplicaciones personales (que en teoría, hasta ahora, estaban perfectamente separadas).
Meltdown afecta sólo a Intel, y es un ataque que le permite a un programa acceder a la memoria que usan otras aplicaciones y el sistema operativo. En teoría deberían ser compartimentos estancos, pero este método permite leer esa memoria y lo que allí se almacena, sin importar cuán segura estuviera en teoría. Es un pase libre a los datos del sistema operativo y sus aplicaciones.
Spectre es un tipo de ataque que también afecta a Intel, y algunos chips de AMD y ARM (los que se usan en los celulares). Según los investigadores es más difícil de implementar, pero también más complejo detener; y rompe esa aislación que en teoría tienen las aplicaciones, y podría lograr que un software malicioso reciba toda la información que gestiona otra aplicación. Algunos expertos consideran que un ataque que logre aprovechar esto es imposible de evitar sin un cambio de hardware.
El resultado final es el mismo: un malware podría tener acceso a datos privados que hasta ahora se consideraban seguros, en la notebook viejita que sólo usamos para navegar un rato y en el super servidor donde corren las aplicaciones críticas de una empresa. Rompe todo.
¿Afecta al rendimiento?
Ayer, Intel desmintió las primeras versiones que hablaban de un impacto de entre el 5 y el 30 por ciento en el rendimiento de un procesador, aunque admitió que deberá verse caso por caso. Pero dice que para los usuarios comunes debería ser imperceptible, algo que confirman los primeros usuarios que instalan las actualizaciones.
El problema, no obstante, está en cómo afecta a los servidores de (por ejemplo) Facebook, Amazon o compañías similares, donde cualquier demora afecta toda su operación, y donde los procesadores se exigen al máximo en forma permanente.
Cómo se puede frenar
El CERT (Computer Emergency Readiness Team, un equipo de expertos en seguridad informática del gobierno estadounidense, y de excelente reputación) considera que la única solución segura es cambiar el chip de la computadora. Como modificar el hardware de las computadoras y servidores en uso es imposible, la respuesta está en modificar el sistema operativo; implementar un parche que corrige esa vulnerabilidad o, al menos, hace todo lo posible para evitar que pueda ser aprovechada. La palabra preferida, aquí, es mitigar.
La posibilidad del ataque se conoce hace un año, y desde entonces las compañías vienen trabajando en el tema; la intención era hacer un anuncio coordinado el martes 9 de enero, pero la publicación de la información en The Register obligó a acelerar el proceso. Por eso en cuanto se hizo pública todas las compañías liberaron actualizaciones.
La propia Intel publicó una aplicación que analiza si la computadora está en peligro.
Microsoft ya publicó el parche para Windows 10, conocido como KB4056892 que permite evitar el ataque de Meltdown; se recomienda su instalación manual, desde la configuración de Windows 10; allí hay que iniciar la actualización manual. También elimina la posibilidad del ataque vía Edge. De no hacerlo, el parche se instalará solo más tarde, pero se recomienda no demorar el proceso.
Apple publicó la actualización macOS 10.13.2, que corrige estas vulnerabilidades; se aplica, como en Windows, con el proceso de actualización general. La compañía no dio información sobre qué sucede con iOS11; al igual que en Android, los chips ARM afectados son pocos y la implementación del ataque es, según los expertos notoriamente más compleja.
Google dice en su página de soporte que los dispositivos que tengan Android con el último parche de seguridad (publicado el 2 de enero) están protegidos; y que no se conocen implementaciones de este ataque en Android. Y que el 23 de este mes estará disponible Chrome 64, que ya incorpora los cambios necesarios para impedir ser un vehículo para estos ataques. Lo mismo aplica para Chrome OS . Hasta entonces, los usuarios pueden activar en Chrome una función llamada Site Isolation, que aisla una página Web en su propio espacio e impide el acceso al testo del sistema. Para eso, hay que escribir chrome://flags/#enable-site-per-process en el browser, y luego elegir la opción Habilitar y reiniciar el navegador. Aplica también para la versión en Android.
Mozilla confirmó que está disponible una actualización para Firefox 57 que mitiga la posibilidad del ataque.
Los parches para Linux ya están disponibles, y se actualizan según cada distribución.