- El 3 de enero se hicieron públicas Meltdown y Spectre, dos fallos de diseño que afectan a chips de Intel, AMD y ARM.
- Permiten, en determinadas condiciones, leer información que un programa no debería poder ver, como contraseñas o claves.
- La respuesta es actualizar sistemas, navegadores y equipos, y revisar los servicios en la nube y los entornos compartidos.
El 3 de enero de 2018 se hicieron públicas dos vulnerabilidades, bautizadas como Meltdown y Spectre, que afectan a una técnica que utilizan casi todos los procesadores modernos para ir más rápido. Entre los investigadores que las comunicaron figura el equipo Project Zero de Google. Meltdown afecta sobre todo a procesadores de Intel; Spectre, a chips de Intel, AMD y ARM.
No se trata de un virus ni de un error de un programa concreto, sino de un defecto en la forma en que los procesadores adelantan trabajo. Por eso el alcance es tan amplio: ordenadores, servidores, teléfonos y equipos de red pueden verse afectados. Para empresas de cualquier tamaño, la cuestión es qué hacer en cuanto aparecen las actualizaciones.
Qué ocurre dentro del chip
Para ir más deprisa, un procesador no espera a saber qué instrucción toca: la adelanta y la ejecuta de forma especulativa, y descarta el resultado si se equivocó. Los investigadores comprobaron que, aunque el resultado se descarte, esa ejecución deja rastros medibles. Con técnicas ingeniosas, un programa malicioso puede aprovechar esos rastros para deducir datos que no le corresponden.
Meltdown permite que un programa sin permisos lea memoria reservada al sistema operativo. Spectre es más difícil de explotar, pero también más difícil de eliminar: puede engañar a otros programas para que filtren su propia información. En ambos casos el atacante necesita poder ejecutar código en la máquina, algo que en equipos con acceso restringido es menos probable. Los investigadores subrayan además que estos ataques no dejan huellas evidentes en los registros habituales, lo que dificulta detectarlos después y refuerza la importancia de prevenir mediante actualizaciones y de limitar qué código puede ejecutarse en cada equipo.
Dónde pesa más el riesgo
El riesgo es mayor allí donde conviven programas de distintos usuarios en un mismo equipo físico, como los servicios en la nube y los servidores compartidos. También importa en los navegadores, que ejecutan código de terceros al abrir páginas web. En un ordenador de oficina sin otros usos, el peligro es más limitado, pero no inexistente. En la práctica, las pequeñas empresas dependen sobre todo de sus proveedores de equipos, de servicios en la nube y de programas: son ellos quienes publican las correcciones, y conviene que alguien en la empresa sepa qué se ha instalado y cuándo.
Los fabricantes y los desarrolladores de sistemas operativos y navegadores empezaron a publicar parches. Algunas correcciones pueden restar algo de rendimiento, en función del tipo de carga de trabajo, y otras requieren actualizar el firmware del equipo. Por eso conviene probar los cambios en entornos críticos antes de extenderlos. Los grandes proveedores de nube publicaron avisos y actualizaron sus infraestructuras en los primeros días, pero los clientes que gestionan sus propias máquinas virtuales deben actualizar también los sistemas operativos instalados en ellas.
Qué conviene revisar
Un primer paso es hacer inventario: qué equipos, servidores y dispositivos tiene la empresa, y quién se encarga de actualizarlos. Después, comprobar con los proveedores de servicios en la nube y de alojamiento qué medidas han aplicado y en qué plazo. Y verificar que sistemas operativos, navegadores y antivirus se actualizan de forma automática.
Hay además una dimensión legal. La normativa europea de protección de datos, que será plenamente aplicable en mayo, exige medidas técnicas adecuadas al riesgo. Mantener los sistemas al día y dejar constancia de lo hecho es una buena práctica, y puede resultar útil si algún día hay que justificar la diligencia de la empresa. Si la empresa externaliza su informática, conviene pedir al proveedor un informe sencillo con las actualizaciones aplicadas y las pendientes, y designar a un responsable interno que lo revise de forma periódica.
La seguridad informática empieza por saber qué equipos hay y mantenerlos al día.
Este artículo es información general. No es asesoramiento jurídico, fiscal ni de inversión, y no tiene en cuenta las circunstancias particulares de nadie.
