«Это неописуемо», — сказала собака, обходя баобаб.

Что делают Apple, Google, Microsoft для защиты от Meltdown и Spectre

Недавно были обнаружены две огромные уязвимости процессоров под названием Meltdown и Spectre, которые штурмом захватили весь мир, и теперь поставщики спешат исправлять уязвимости в своих продуктах.

Эти проблемы распространяются на все современные процессоры и затрагивают почти все операционные системы (Windows, Linux, Android, iOS, macOS, FreeBSD и т. д.), смартфоны и другие вычислительные устройства, созданные за последние 20 лет.

Что такое Spectre и Meltdown?

Вкратце, Spectre и Meltdown – это названия уязвимостей, обнаруженных во многих процессорах от Intel, ARM и AMD, которые могут позволить злоумышленникам украсть ваши пароли, ключи шифрования и другую личную информацию.

Обе атаки злоупотребляют «спекулятивным исполнением» для доступа к привилегированной памяти (в том числе к предназначенной для ядра ОС) из низкоприоритетного пользовательского процесса, такого как вредоносное приложение, запущенное на устройстве, позволяющее злоумышленникам красть пароли, ключи входа и другую ценную информацию.

Защита от уязвимостей Meltdown и Spectre

Некоторые команды компьютерной безопасности, в том числе US-CERT, предположили, что единственным решением для этих проблем является замена процессоров, но это представляется нецелесообразным для обычного пользователя и большинства компаний.

Поставщики достигли значительного прогресса в обновлении исправлений и прошивки. В то время как недостаток Meltdown уже был исправлен большинством компаний, такими как Microsoft, Apple и Google, Spectre не так легко исправить, и эта уязвимость будет преследовать людей в течение довольно долгого времени.

Вот список доступных патчей от крупных производителей технологий:

ОС Windows (7/8/10) и Microsoft Edge/IE

Microsoft уже выпустила обновление безопасности (KB4056892) для Windows 10 для решения проблемы Meltdown и выпустит исправления для Windows 7 и Windows 8 9 января.

Но если вы используете стороннее антивирусное программное обеспечение, то возможно, что ваша система не установит исправления автоматически. Поэтому, если вам не удается установить автоматическое обновление безопасности, отключите антивирус и используйте Защитник Windows или Microsoft Security Essentials.

Проблема совместимости возникает, когда антивирусные приложения создают неподдерживаемые вызовы в ядре ​​памяти Windows, – отметили Microsoft в сообщении своего блога. – Эти вызовы могут вызвать СТОП-ошибки (также известные как «синий экран»), которые не позволяют устройству загрузиться.

Apple MacOS, iOS, tvOS и Safari Browser

Apple отметила в своих рекомендациях: «Пострадали все системы Mac и устройства iOS, но в настоящее время нет известных эксплойтов, затрагивающих клиентов».

Чтобы помочь защититься от атак Meltdown, Apple уже выпустила решение проблем для iOS 11.2, macOS 10.13.2 и tvOS 11.2, и планирует выпустить их для Safari, чтобы защитить от Spectre в ближайшие дни.

ОС Android

По словам Google, пользователи Android, использующие самую последнюю версию мобильной операционной системы, выпущенную 5 января как часть январского обновления безопасности для Android, защищены.

Итак, если ваш телефон от бренда Google, например, Nexus или Pixel, он автоматически загрузит обновление, или вам просто нужно его установить. Тем не менее, другим пользователям Android придется подождать, пока производители устройств выпустят совместимое обновление для системы безопасности.

Технологический гигант также отметил, что он не знает о каком-либо успешном эксплойте Meltdown или Spectre на устройствах на базе ARM.

Веб-браузер Firefox

Mozilla выпустила Firefox версии 57.0.4, которая включает в себя решение для атак Meltdown и Spectre. Поэтому пользователям рекомендуется как можно скорее обновить свои браузеры.

Поскольку этот новый класс атак включает в себя измерение точных временных интервалов, в качестве частичного, краткосрочного решения мы отключаем или уменьшаем точность нескольких источников времени в Firefox, – написал инженер Mozilla Люк Вагнер в блоге.

Веб-браузер Google Chrome

На 23 января Google запланировал исправления для эксплойтов Meltdown и Spectre с выпуском Chrome 64, который будет включать в себя меры по защите вашего рабочего стола и смартфона от сетевых атак.

Тем временем пользователи могут включить экспериментальную функцию под названием «Местная изоляция», которая может предложить некоторую защиту от эксплойтов из Интернета, но может также вызвать проблемы с производительностью.

Местная изоляция мешает веб-сайтам с низким уровнем доверия произвести доступ или кражу информации из ваших учетных записей на других веб-сайтах. Веб-сайты обычно не могут получать доступ к данным друг друга внутри браузера, благодаря коду, который обеспечивает соблюдение политики одинакового происхождения, – заявили в Google.

Как включить местную изоляцию:

  • Скопируйте «chrome://flags/#enable-site-per-process» и вставьте его в поле URL в верхней части браузера Chrome, а затем нажмите клавишу Enter.
  • Найдите Strict Site Isolation, затем щелкните на поле с надписью «Включить».
  • После этого нажмите «Перезапустить», чтобы перезапустить браузер Chrome.

Дистрибутивы Linux

Разработчики ядра Linux также выпустили исправления, включая версии 4.14.11, 4.9.74, 4.4.109, 3.16.52, 3.18.91 и 3.2.97, которые можно загрузить с сайта Kernel.org.

VMware и Citrix

Глобальный лидер в области облачных вычислений и виртуализации, VMware, также выпустил список своих продуктов, пострадавших от двух атак, и обновления безопасности для своих продуктов ESXi, Workstation и Fusion для исправления атак Meltdown.

С другой стороны, еще один популярный поставщик облачных вычислений и виртуализации Citrix не выпустил никаких исправлений безопасности для решения этой проблемы. Вместо этого компания рекомендует своим клиентам проверять наличие обновлений для соответствующего стороннего программного обеспечения.