La ricerca di autori con affiliazioni che includono Princeton e NVIDIA ha suscitato interesse con il loro documento, "MeltdownPrime e SpectrePrime:attacchi sintetizzati automaticamente che sfruttano i protocolli di coerenza basati sull'invalidazione, " che è acceso arXiv .

Per coloro che desiderano un aggiornamento su cosa sono Meltdown e Spectre:questi sono due difetti di sicurezza e interessano quasi tutti i dispositivi informatici, disse Seung Lee, Le notizie di Mercurio , lo scorso mese. Questa è stata la notizia che ha causato grande scalpore e disagio.

"I difetti, soprannominati Meltdown e Spectre, sono nei chip realizzati da Intel e da altri importanti fornitori. Possono consentire agli hacker di rubare dati dalla memoria delle app in esecuzione, inclusi gestori di password, browser ed e-mail."

Gli autori del documento su arXiv , Carolina Trippel, Daniel Lustig, e Margherita Martonosi, discutere uno strumento che hanno sviluppato per "sintetizzare automaticamente programmi specifici per microarchitettura in grado di produrre qualsiasi modello di esecuzione hardware di interesse specificato dall'utente".

Hanno affermato di mostrare "come questo strumento può essere utilizzato per generare piccoli programmi specifici per microarchitettura che rappresentano exploit nella loro forma più astratta:prove di sicurezza".

Se non sei sicuro di quanto sia brutta questa buona notizia, bene, Il registro il titolo può aiutare. È iniziato con "Odio rovinarti la giornata, ma.."

Gli exploit attaccano i difetti profondamente radicati nella moderna architettura dei chip, disse Thomas Claburn in Il registro .

Tom McKay in Gizmodo :"In breve, inducono i sistemi multi-core a perdere dati archiviati su più di una cache di memoria del processore."

Questi sono, Dopotutto, exploit di progettazione. Gli autori hanno scoperto nuovi modi in cui il malware può estrarre informazioni sensibili dalla memoria di un computer vulnerabile, sfruttando "gli errori di progettazione di Meltdown e Spectre, " Claburn ha detto, nei processori.

Claburn, Riassumendo, hanno scritto di aver descritto "varianti del codice exploit Meltdown e Spectre che possono essere utilizzate per condurre attacchi di temporizzazione del canale laterale".

Gli exploit possono essere utilizzati per manipolare le vulnerabilità nel modo in cui un certo numero di varietà di processori moderni gestiscono una tecnica per prestazioni migliori. Si chiama "esecuzione speculativa ed estrazione di dati di sistema nascosti".

Cosa si intende per canali laterali? "Meltdown e Spectre sono indicati come attacchi di canale laterale perché sfruttano effetti collaterali imprevisti derivanti da queste caratteristiche di progettazione del processore, " scrisse.

Di cosa tratta esattamente il loro strumento? Claburn ha affermato che lo strumento modella microarchitetture di chip per analizzare modelli di esecuzione specifici, come attacchi a tempo basati su Meltdown-Spectre. Le tecniche di exploit sono chiamate MeltdownPrime e SpectrePrime.

Gli autori hanno scritto, "Meltdown e Spectre rappresentano una classe di attacchi side-channel di cache timing scoperti di recente che sfruttano gli effetti dell'esecuzione fuori servizio e speculativa sullo stato della cache". Hanno detto che Meltdown rompe il meccanismo che impedisce alle applicazioni di accedere alla memoria di sistema arbitraria. Hanno detto che Spectre "miss-trains branch predittori nei moderni processori al fine di indurre le applicazioni ad accedere a posizioni arbitrarie nella loro memoria".

McKay ha detto "Ci sono buone notizie, vale a dire che MeltdownPrime e SpectrePrime sono probabilmente risolti dalle stesse patch che gli sviluppatori stanno rilasciando per risolvere i bug originali."

Nel frattempo, riferire sulla risposta di Intel, Engadget ha affermato che Intel stava espandendo la sua "ricompensa di bug" per rilevare più difetti di sicurezza simili a Spectre. La sua potenziale soluzione prevedeva richieste di aiuto. "Sta ampliando il suo programma di bug bounty per includere più ricercatori e offrire più incentivi per individuare buchi simili a Meltdown e Spectre, " ha detto Jon Fingas.

Intel ha pubblicato una notizia del 14 febbraio sul suo programma Bugs Bounty. Rick Echevarria, vicepresidente e direttore generale di Platform Security presso Intel Corporation, è stato l'autore della relazione sugli aggiornamenti che sono stati apportati al programma.

Gli aggiornamenti al programma includono:Passaggio da un programma solo su invito a uno che ora è aperto a tutti i ricercatori in materia di sicurezza. La mossa è quella di ampliare il pool di ricercatori ammissibili. Anche, stanno offrendo "un nuovo programma incentrato specificamente sulle vulnerabilità del canale laterale" (fino al 31 dicembre) e il premio per le divulgazioni nell'ambito di quel programma è fino a $ 250, 000. Stanno raccogliendo "premi di taglie su tutta la linea, con premi fino a $ 100, 000 per altre aree."

© 2018 Tech Xplore