Spectre i Meltdown: errors en els processadors

El 3 de gener del 2018 es van fer públiques dues vulnerabilitats, batejades com Meltdown i Spectre, que afecten una tècnica que utilitzen gairebé tots els processadors moderns per anar més de pressa. Entre els investigadors que les van comunicar hi ha l’equip Project Zero de Google. Meltdown afecta sobretot processadors d’Intel; Spectre, xips d’Intel, AMD i ARM.

No es tracta d’un virus ni d’un error d’un programa concret, sinó d’un defecte en la manera com els processadors avancen feina. Per això l’abast és tan ampli: ordinadors, servidors, telèfons i equips de xarxa poden resultar afectats. Per a empreses de qualsevol mida, la qüestió és què fer tan bon punt apareixen les actualitzacions.

Què passa dins del xip

Per anar més de pressa, un processador no espera a saber quina instrucció toca: l’avança i l’executa de manera especulativa, i descarta el resultat si s’ha equivocat. Els investigadors van comprovar que, tot i que el resultat es descarti, aquesta execució deixa rastres mesurables. Amb tècniques enginyoses, un programa maliciós pot aprofitar aquests rastres per deduir dades que no li corresponen.

Meltdown permet que un programa sense permisos llegeixi memòria reservada al sistema operatiu. Spectre és més difícil d’explotar, però també més difícil d’eliminar: pot enganyar altres programes perquè filtrin la seva pròpia informació. En ambdós casos l’atacant necessita poder executar codi a la màquina, cosa que en equips amb accés restringit és menys probable. Els investigadors subratllen a més que aquests atacs no deixen empremtes evidents als registres habituals, cosa que dificulta detectar-los després i reforça la importància de prevenir mitjançant actualitzacions i de limitar quin codi es pot executar a cada equip.

On pesa més el risc

El risc és més gran allà on conviuen programes de diferents usuaris en un mateix equip físic, com els serveis al núvol i els servidors compartits. També importa en els navegadors, que executen codi de tercers en obrir pàgines web. En un ordinador d’oficina sense altres usos, el perill és més limitat, però no inexistent. A la pràctica, les empreses petites depenen sobretot dels seus proveïdors d’equips, de serveis al núvol i de programes: són ells qui publiquen les correccions, i convé que algú a l’empresa sàpiga què s’ha instal·lat i quan.

Els fabricants i els desenvolupadors de sistemes operatius i navegadors van començar a publicar pedaços. Algunes correccions poden restar una mica de rendiment, segons el tipus de càrrega de treball, i d’altres requereixen actualitzar el microprogramari de l’equip. Per això convé provar els canvis en entorns crítics abans d’estendre’ls. Els grans proveïdors de núvol van publicar avisos i van actualitzar les seves infraestructures els primers dies, però els clients que gestionen les seves pròpies màquines virtuals també han d’actualitzar els sistemes operatius instal·lats.

Què convé revisar

Un primer pas és fer inventari: quins equips, servidors i dispositius té l’empresa, i qui s’encarrega d’actualitzar-los. Després, comprovar amb els proveïdors de serveis al núvol i d’allotjament quines mesures han aplicat i en quin termini. I verificar que sistemes operatius, navegadors i antivirus s’actualitzen de manera automàtica.

Hi ha també una dimensió legal. La normativa europea de protecció de dades, que serà plenament aplicable al maig, exigeix mesures tècniques adequades al risc. Mantenir els sistemes al dia i deixar constància del que s’ha fet és una bona pràctica, i pot resultar útil si algun dia cal justificar la diligència de l’empresa. Si l’empresa externalitza la seva informàtica, convé demanar al proveïdor un informe senzill amb les actualitzacions aplicades i les pendents, i designar un responsable intern que el revisi periòdicament.

La seguretat informàtica comença per saber quins equips hi ha i mantenir-los al dia.

Aquest article és informació general. No és assessorament jurídic, fiscal ni d’inversió, i no té en compte les circumstàncies particulars de ningú.