El proceso de ejecución especulativa que realizan los chips de los ordenadores modernos ha resultado en un gran Caballo de Troya
Nuevo año, nuevas vulnerabilidades informáticas. Aunque la novedad, en este caso, es añeja. Spectre y Meltdown, nombres con los cuales se identifican los huecos de seguridad que afectan a los procesadores, tienen al menos diez años de antigüedad. Solo que ahora fueron descubiertos. Y la situación es grave.
Ambas vulnerabilidades son provocadas por el diseño en la arquitectura de los procesadores, los cuales, como parte de la ejecución de todos los procesos esenciales en una computadora o equipo móvil, manejan datos extremadamente confidenciales. Ello incluye contraseñas y claves de cifrado, herramientas fundamentales para mantener seguro el equipo.
Las debilidades, reveladas el pasado 3 de enero por la publicación británica The Register, podrían permitir que un atacante capture información contenida en los chips, a la que no debería poder acceder, incluidas las mencionadas contraseñas y claves. Es por eso que un ataque a un procesador puede convertirse en una gran preocupación de seguridad.
Un procesador, en aras de ejecutar los procesos a alta velocidad, «adivina» qué información necesita la computadora para realizar su próxima función. Este método, utilizado por los chips de al menos la última década, se llama ejecución especulativa.
Cuando se lleva a cabo el proceso de adivinación, la información sensible es momentáneamente más fácil de acceder, pues queda expuesta.
En el caso de Spectre, que afecta a los chips de Intel, AMD y ARM, sus descubridores indican que este fallo en el diseño permitiría engañarlos para que inicien el proceso de ejecución especulativa. Luego, un atacante podría leer los datos secretos que el chip pone a su disposición mientras intenta adivinar qué función ejecutará la computadora a continuación.
El segundo defecto, Meltdown —exclusivo de Intel—, permite a los atacantes acceder a la información secreta a través de sistemas operativos. Microsoft Windows es el principal afectado, aunque también se incluyen GNU/Linux y MacOS.
Según el grupo de investigadores de Google Project Zero, Cyberus Technology y otros académicos independientes que dieron a conocer las fallas en sendos estudios, hasta el momento no se han registrado ataques informáticos que se aprovechen de Spectre y Meltdown.
Sin embargo, una vez que el tema ha salido a la luz pública y las fallas son conocidas en detalle, podrían registrarse ataques en un breve lapso de tiempo, consideran expertos del ramo entrevistados por publicaciones especializadas.
La «buena noticia» es que los hackers necesitan instalar un software malicioso en su computadora para aprovechar estos defectos. Ello significa que deben seleccionar sus objetivos y piratear a cada uno de ellos antes de ejecutar un ataque sofisticado para robar la información sensible de una computadora. Algo trabajoso, pero no imposible de realizar.
La revelación de estas vulnerabilidades ha puesto a correr a más de uno, y no son pocos los gigantes informáticos ruborizados. Tras darse a conocer, el presidente ejecutivo de Intel, Brian Krzanich, afirmó en un comunicado que, en el caso de las computadoras y servidores potenciados por su compañía, aquellas comercializadas en los últimos cinco años tendrán arreglos disponibles a finales de esta semana. Para chips de hasta diez años, los arreglos llegarán más tarde.
El mismo 3 de enero Microsoft liberó parches para el sistema operativo Windows y los navegadores Internet Explorer y Edge, pero advirtió que su software antivirus se debe actualizar para poder apoyar estos parches.
Por su parte, Apple dijo que lanzó mitigaciones para el fallo Meltdown para los sistemas operativos de sus computadoras Mac, así como para Apple TV, iPhone e iPad; y que ni Meltdown ni Spectre afectan al reloj inteligente Apple Watch.
Apple también aseguró que ofrecería parches para el navegador Safari, y que futuras actualizaciones de iOS, MacOS y tvOS mitigarán el problema.
Pero Spectre y Meltdown no solo afectan a los ordenadores y móviles personales, también inciden sobre los servidores, los cuales son la columna vertebral de internet y los servicios que contiene, como datos en la nube y tiendas en línea, entre otros. Google y Amazon, dos gigantes digitales, afirmaron que ya trabajaban para proteger sus servicios.
Los expertos recomiendan que en la medida en que los fabricantes de chips y las compañías informáticas implementen las actualizaciones de software, estas deben ser instaladas.
Al mismo tiempo instan a hacer todo lo posible para evitar que los equipos sean hackeados. Para ello recomiendan mantener actualizados todos los programas informáticos, incluidos los navegadores web.
Otro consejo es actualizar con regularidad el software antivirus, y no hacer caso de los correos electrónicos de phishing. Estos engañan al usuario para que haga clic en un enlace y descargue software malicioso, vía antigua pero todavía muy efectiva para los hackers.
Empero, el investigador de seguridad Kevin Beaumont advirtió que, en el caso de Windows, los parches de seguridad han entrado en conflicto con el software antivirus, razón por la cual creó un documento público para dar a conocer cuáles son compatibles y cuáles, de momento, podrían provocar el molesto «pantallazo azul de la muerte».
En la lista de compatibles se encuentran Avast, AVG, Aviram BitDefender, Cisco, ESET, Kaspersky, Norton y Symantec, entre otros. Algunos antivirus como McAfee también admiten el parche de seguridad, pero requieren de acciones de modificación manual en el registro por parte del usuario, algo que no todo el mundo saber hacerlo.
El defecto de diseño de los microprocesadores provocaría que las soluciones para corregirlo disminuyan su rendimiento, afirma The Register.
Las primeras estimaciones aseguran que los ordenadores trabajarán entre un cinco y un 30 por ciento más lentos, en dependencia de la tarea que desempeñen y su modelo. Los fabricantes han tratado de minimizar el problema, pero hay hechos que ponen más leña en el fuego.
La compañía Epic Games, famosa por títulos como Gears of War, Unreal Tournament 3 y Fortnite, culpa a los parches de seguridad aplicados para evitar ataques tipo Spectre o Meltdown del bajón de rendimiento en sus servidores.
Fortnite, un título de disparos muy popular para la comunidad de jugadores en línea, ha visto afectado el rendimiento en los procesadores de sus servidores, que trabajan hasta un 20 por ciento más desde que les aplicaron el parche de seguridad.
Epic Games aseguró que trabaja con sus proveedores de servicios en la nube para corregir el problema, aunque advirtió que este podría agravarse.
Según The Verge, usuarios de la nube de Amazon también experimentaron problemas de rendimiento en sus ordenadores.
Meltdown y Spectre, añejos fallos que se han convertido en noticia al abrir este año, parece que traerán todavía más dolores de cabeza a los fabricantes. A corto plazo la solución más efectiva sería cambiar el procesador por uno nuevo, aunque para ello habrá que esperar a que se presenten modelos que de forma efectiva y demostrada hayan corregido el problema.
29
