“Meltdown” y “Spectre”. Puede que parezcan palabras sacadas de una película de James Bond, pero estos nombres verdaderamente se refieren a vulnerabilidades de seguridad que han sido identificadas en varios chips de ordenadores. Mini procesadores CPU modernos no solamente se encuentran en portátiles y ordenadores desktop.
¿Qué son exactamente “Meltdown” y “Spectre”? ¿Qué podemos hacer al respecto?
¿Qué son “Meltdown”y “Spectre”?
“Meltdown” y “Spectre” son los nombres que se les da a defectos que podrían potencialmente terminar en ataques “side-channel” contra un amplio rango de dispositivos con mini procesadores CPU. “Meltdown” o “Fusión” fue el primero en ser reportado y afecta a esos chips fabricados por Intel, el cual suministra el 80% de chips para ordenadores PC y el 90% para portátiles, a nivel global. “Spectre” o “Espectro”, afecta a los chips fabricados por Intel, AMD y ARM.
Los procesadores están constantemente moviendo grandes cantidades de datos sin afectar el funcionamiento correcto del ordenador u otro dispositivo. El núcleo de un ordenador tiene el objetivo de coordinar este baile de datos y al mismo tiempo mantener el rendimiento correcto de todos los procesadores. “Spectre” hace que programas realicen operaciones innecesarias, dejando escapar algún que otro dato privado, mientras que “Meltdown” puede utilizar, lo que se llama, ejecución especulativa, con el fin de curiosear datos que usa el núcleo.
Éste es el (extremadamente simplificado) problema. El NCSC dice que no es consciente de las vulnerabilidades que se están explotando, mientras, la BBC informa que la industria sí es consciente de este problema desde hace meses pero estaba intentando encontrar una solución antes de que estas noticias se hicieran públicas.
¿Qué se está haciendo al respeto?
Los fabricantes y usuarios de estos chips han estado intentando crear pequeños “trucos” y actualizaciones para esta situación. Intel comunicó que muchas de estas actualizaciones ya están disponibles. ARM dijo que había compartido sus soluciones con sus clientes, incluyendo fabricantes de SmartPhones, mientras que la BBC reportó que AMD dijo que “hay un casi cero por ciento de riesgo con los productos AMD en este momento.”
Google dijo que los móviles Android con las últimas actualizaciones de seguridad estaban protegidos, y que Gmail estaba seguro. También anunció que iba a proporcionar soluciones para esos Chromebooks más antiguos y el buscador de web Chrome.
¿Qué deberías hacer tú?
Hay muy poco uso de las soluciones de los fabricantes y distribuidores si no se aplican, así que lo primero que debería hacer, es asegurarte de que has instalado estas actualizaciones en todos los dispositivos que usas. Aquí depende si simplemente usas tus dispositivos como usuario o si eres el encargado de una infraestructura de IT.
De todos modos, esto se debería hacer de forma regular o automática. No cuesta nada, teniendo en cuenta que los WannaCry ataques que se hicieron contra la NHS el año pasado, eran relativamente poco sofisticados y se hubieran solucionado rápido y sin esfuerzo teniendo las últimas actualizaciones de seguridad instaladas.