Meltdown hack at multo bug: kung paano nakakaapekto sa mga gumagamit ng android at chrome

Maaaring narinig mo na ang langit ay bumagsak at ang pahayag ng seguridad ay nangyari dahil sa dalawang bagong pag-atake na nagngangalang Meltdown at Spectter. Kung nagtatrabaho ka sa IT o anumang iba pang lugar ng malakihan na imprastraktura ng computer, marahil ay naramdaman mo rin na mayroon din ito, at umaasa ka sa iyong mga araw ng bakasyon sa 2018.

Una nang narinig ng mga media outlet ang alingawngaw ng ina-ng-lahat-na-pagsasamantala sa huling bahagi ng 2017, at ang mga kamakailang ulat ay ligaw na haka-haka at sa wakas ay pinilit na mga kumpanya tulad ng Microsoft, Amazon, at Google (na natuklasan ng koponan ng Project Zero ang buong bagay) upang tumugon sa mga detalye. Ang mga detalyeng iyon ay ginawa para sa isang kawili-wiling basahin kung interesado ka sa ganitong uri ng bagay.

Ngunit para sa lahat, kahit ano pa man ang telepono o computer na ginagamit mo, marami sa iyong binabasa o naririnig na maaaring tunog tulad ng nasa ibang wika. Iyon ay sapagkat ito ay, at maliban kung ikaw ay matatas sa cyber-geek-security-techno-speak maaaring kailanganin mong patakbuhin ito sa pamamagitan ng isang tagasalin ng ilang uri.

Magandang balita! Natagpuan mo ang tagasalin na, at narito ang dapat mong malaman tungkol sa Meltdown at Specter, at kung ano ang kailangan mong gawin tungkol dito.

Ano sila

Ang Meltdown at Spekter ay dalawang magkakaibang bagay, ngunit dahil sila ay ipinahayag nang sabay-sabay at parehong nakitungo sa arkitektura ng microprocessor sa antas ng hardware, pinag-uusapan silang magkasama. Ang telepono na ginagamit mo ngayon ay halos tiyak na naapektuhan ng pagsasamantala ng Spectre, ngunit wala pang nakahanap ng isang paraan upang magamit ito - pa.

Ang processor sa loob ng iyong telepono ay nagpapasya kung gaano kahina ito sa mga ganitong uri ng pagsasamantala, ngunit mas ligtas na isipin na nakakaapekto ang lahat sa iyo kung hindi ka sigurado. At dahil hindi nila sinasamantala ang isang bug at sa halip ay gumagamit ng isang proseso na dapat mangyari, walang madaling pag-aayos nang walang pag-update ng software.

Tumingin sa telepono sa iyong mga kamay; mahina ito sa ilan sa mga pag-atake na ito.

Ang mga computer (kabilang ang mga telepono at iba pang maliliit na computer, masyadong) umaasa sa tinatawag na paghihiwalay ng memorya para sa seguridad sa pagitan ng mga aplikasyon. Hindi ang memorya na ginagamit upang mag-imbak ng data sa mahabang panahon, ngunit ang memorya na ginagamit ng hardware at software habang ang lahat ay gumagana sa real time. Ang mga proseso ay nag-iimbak ng data nang hiwalay mula sa iba pang mga proseso, kaya walang ibang proseso ang nakakaalam kung saan o kailan ito nakasulat o mabasa.

Ang mga app at serbisyo na tumatakbo sa iyong telepono ay nais lahat ng processor na gumawa ng ilang trabaho at patuloy na nagbibigay ito ng isang listahan ng mga bagay na kailangan nilang makalkula. Hindi ginagawa ng processor ang mga gawaing ito sa pagkakasunud-sunod na natanggap nila - na nangangahulugang ang ilang mga bahagi ng CPU ay idle at naghihintay na matapos ang iba pang mga bahagi, kaya ang hakbang ng dalawa ay maaaring gawin pagkatapos ng hakbang na natapos. Sa halip, ang processor ay maaaring magpatuloy sa hakbang tatlo o hakbang apat at gawin ang mga ito nang mas maaga. Ito ay tinatawag na out-of-order-execution at lahat ng mga modernong CPU ay gumagana sa ganitong paraan.

Hindi pinagsasamantalahan nina Meltdown at Spectre ang isang bug - inaatake nila ang paraan ng pagkolekta ng data ng isang processor.

Dahil ang isang CPU ay mas mabilis kaysa sa anumang software, maaari din itong hulaan. Ang ispekulatibong pagpapatupad ay kapag ang CPU ay nagsasagawa ng isang pagkalkula na hindi pa ito hiniling na gawin batay sa mga naunang kalkulasyon na hinilingang gumanap. Bahagi ng pag-optimize ng software para sa mas mahusay na pagganap ng CPU ay sumusunod sa ilang mga patakaran at tagubilin. Nangangahulugan ito na halos lahat ng oras ay may isang normal na daloy ng trabaho na susundan at maaaring laktawan ng isang CPU upang maihanda ang data kapag hinihiling ito ng software. At dahil napakabilis nila, kung ang data ay hindi kinakailangan pagkatapos ng lahat, ito ay mawawala. Mas mabilis pa ito kaysa sa paghihintay sa kahilingan na magsagawa ng pagkalkula.

Ang pagsasagawa ng haka-haka na ito ay kung ano ang nagpapahintulot sa parehong Meltdown at Spectre na ma-access ang data na kung hindi man ay hindi nila makukuha, kahit na ginagawa nila ito sa iba't ibang paraan.

Meltdown

Ang mga Intel processors, ang bago sa Apple Ang isang serye na processors, at iba pang mga ARM SoCs na gumagamit ng bagong A75 core (sa ngayon iyon lamang ang Qualcomm Snapdragon 845) ay mahina sa pagsasamantala sa Meltdown.

Pinagbubuti ng Meltdown ang tinatawag na isang "pribilehiyo pagkalugi sa pagkakapalag" na nagbibigay ng isang aplikasyon ng pag-access sa memorya ng kernel. Nangangahulugan ito ng anumang code na maaaring makakuha ng access sa lugar na ito ng memorya - kung saan nangyayari ang komunikasyon sa pagitan ng kernel at ng CPU - mahalagang may access sa lahat ng kailangan nito upang maisagawa ang anumang code sa system. Kapag maaari kang magpatakbo ng anumang code, mayroon kang access sa lahat ng data.

Spectre

Ang spectter ay nakakaapekto sa halos bawat modernong processor, kabilang ang isa sa iyong telepono.

Hindi kailangang maghanap ng Spectter ang isang paraan upang magsagawa ng code sa iyong computer dahil maaari itong "linlangin" ang processor sa pagpapatupad ng mga tagubilin para dito, pagkatapos ay magbigay ng pag-access sa data mula sa iba pang mga application. Nangangahulugan ito na maaaring makita ng isang pagsasamantala kung ano ang ginagawa ng iba pang mga app at mabasa ang data na naimbak nila. Ang paraan ng isang pagproseso ng isang tagubilin sa labas ng pagkakasunud-sunod sa mga sanga ay kung saan umaatake ang Spectre.

Parehong Meltdown at Spectre ay maaaring mag-expose ng data na dapat na sandboxed. Ginagawa nila ito sa antas ng hardware, kaya't hindi ka nakakakuha ng immune sa iyong operating system - ang Apple, Google, Microsoft, at lahat ng mga uri ng open-source Unix at Linux operating system ay pantay na apektado.

Dahil sa isang pamamaraan na kilala bilang dinamikong pag-iskedyul na nagbibigay-daan sa data na mabasa dahil ito ay computing sa halip na kailangan itong maiimbak muna, maraming sensitibong impormasyon sa RAM para sa isang pag-atake na basahin. Kung interesado ka sa ganitong uri ng bagay, ang mga whitepaper na inilathala ng Graz University of Technology ay kamangha-manghang mga nabasa. Ngunit hindi mo kailangang basahin o maunawaan ang mga ito upang maprotektahan ang iyong sarili.

Apektado ba ako?

Oo. Hindi bababa sa, ikaw ay. Karaniwan, ang lahat ay naapektuhan hanggang ang mga kumpanya ay nagsimulang i-tap ang kanilang software laban sa mga pag-atake na ito.

Ang software na nangangailangan ng pag-update ay nasa operating system, kaya nangangahulugan ito na kailangan mo ng isang patch mula sa Apple, Google, o Microsoft. (Kung gumagamit ka ng isang computer na nagpapatakbo ng Linux at wala sa infosec, nakuha mo na rin ang patch, Gamitin din ang iyong software sa pag-install upang mai-install ito o hilingin sa isang kaibigan na nasa infosec upang lakarin ka sa pamamagitan ng pag-update ng iyong kernel). Ang kamangha-manghang balita ay ang Apple, Google, at Microsoft ay may mga patch na naka-deploy na o sa kanilang paraan sa agarang hinaharap para sa mga suportadong bersyon.

Ang mga detalye

• Ang mga Intel processors mula noong 1995 maliban sa Itanium at pre-2013 ATOM platform ay apektado ng Meltdown at Spectter.
• Ang lahat ng mga modernong processors AMD ay apektado ng atake ng Spectre. Ang AMD PRO at AMD FX (ang AMD 9600 R7 at AMD FX-8320 ay ginamit bilang proof-of-concept) na mga CPU sa isang hindi pamantayang pagsasaayos (pinagana ang kFel ng BPF JIT) ay apektado ni Meltdown. Inaasahan na ang isang katulad na pag-atake laban sa pagbabasa ng mga hand-channel sa memorya ay posible laban sa lahat ng 64-bit na mga CPU kabilang ang mga processors ng AMD.
• Ang mga processors ng ARM na may Cortex R7, R8, A8, A9, A15, A17, A57, A72, A73, at A75 cores ay pinaghihinalaan sa mga atake ng Spectre. Ang mga nagproseso na may Cortex A75 (ang mga Snapdragon 845) na mga cores ay mahina laban sa mga pag-atake ng Meltdown. Inaasahan na ang mga chips na gumagamit ng mga variant ng mga cores na ito, tulad ng linya ng Snapdragon ng Qualcomm o linya ng Exynos ng Samsung, ay magkakaroon din ng pareho o magkaparehong kahinaan. Ang Qualcomm ay gumagana nang direkta sa ARM, at may pahayag na ito sa mga isyu:

Ang Qualcomm Technologies, Inc. ay may kamalayan sa pagsasaliksik ng seguridad sa mga kahinaan sa processor ng industriya na naiulat. Ang pagbibigay ng mga teknolohiya na sumusuporta sa matatag na seguridad at privacy ay isang priority para sa Qualcomm, at dahil dito, nakikipagtulungan kami sa Arm at iba pa upang masuri ang epekto at bumuo ng mga pagpapagaan para sa aming mga customer. Aktibo kaming isinasama at gumamit ng mga pagpapagaan laban sa mga kahinaan para sa aming mga epekto, at patuloy kaming nagtatrabaho upang mapalakas ang mga ito hangga't maaari. Nasa proseso kami ng pag-aalis ng mga mitigations na ito sa aming mga customer at hinihikayat ang mga tao na i-update ang kanilang mga aparato kapag magagamit ang mga patch.

• Natukoy ng NVIDIA na ang mga pagsasamantala na ito (o iba pang mga katulad na pagsasamantala na maaaring lumitaw) ay hindi nakakaapekto sa pag-compute ng GPU, kaya ang kanilang hardware ay halos immune. Makikipagtulungan sila sa iba pang mga kumpanya upang i-update ang mga driver ng aparato upang makatulong na mapagaan ang anumang mga isyu sa pagganap ng CPU, at sinusuri nila ang kanilang mga ARM na nakabase sa ARM (Tegra).

• Ang webkit, ang mga tao sa likod ng browser ng rendering ng browser ng Safari at ang nangunguna sa Blink engine ng Google, ay may isang mahusay na pagkasira ng eksakto kung paano makakaapekto ang mga pag-atake na ito sa kanilang code. Karamihan sa mga ito ay ilalapat sa anumang tagasalin o tagatala at ito ay isang kamangha-manghang basahin. Tingnan kung paano sila nagtatrabaho upang ayusin ito at panatilihin itong mangyari sa susunod.

Sa simpleng Ingles, nangangahulugan ito na maliban kung gumagamit ka pa ng isang napaka-lumang telepono, tablet, o computer, dapat mong isaalang-alang ang iyong sarili na mahina ng walang pag-update sa operating system. Narito ang nalalaman natin sa ngayon;

• Ang Google ay naka-patched sa Android laban sa parehong pag-atake ng Spectre at Meltdown kasama ang mga patch ng Disyembre 2017 at Enero 2018.
• Ang Google ay naka-patched na Chromebook gamit ang 3.18 at 4.4 na mga bersyon ng kernel noong Disyembre 2017 na may OS 63. Ang mga aparato na may iba pang mga bersyon ng kernel (tumingin dito upang mahanap ang iyo) ay mai-patch sa lalong madaling panahon. Sa simpleng Ingles: Ang Toshiba Chromebook, ang Acer C720, Dell Chromebook 13, at ang Chromebook Pixels mula 2013 at 2015 (at ilang mga pangalan na hindi mo pa naririnig) ay hindi pa naka-patched ngunit malapit na. Karamihan sa mga Chromebox, Chromebases, at Chromebits ay hindi naka- patched ngunit malapit na.
• Para sa mga aparato ng Chrome OS na hindi naka-patched, isang bagong tampok ng seguridad na tinatawag na Site Isolation ay magpapagaan ng anumang mga isyu mula sa mga pag-atake na ito.
• Ang Microsoft ay naka-patch sa parehong pagsasamantala sa Enero 2018.
• Ang Apple ay nag-patched ng macOS at iOS laban sa Meltdown simula sa pag-update ng Disyembre. Ang unang pag-update ng mga update ng Spectre ay itinulak sa unang bahagi ng Enero. Suriin ang iMore para sa lahat ng kailangan mong malaman tungkol sa mga bahid ng CPU at kung paano nakakaapekto sa iyong Mac, iPad, at iPhone.
• Ipinadala ang mga patch sa lahat ng mga suportadong bersyon ng Linux kernel, at ang mga Operating System tulad ng Ubuntu o Red Hat ay maaaring mai-update sa pamamagitan ng application ng pag-update ng software.

Para sa mga specifics ng Android, ang Nexus 5X, Nexus 6P, Pixel, Pixel XL, Pixel 2, at Pixel 2 XL ay na-patch at dapat mong makita ang isang pag-update sa lalong madaling panahon kung hindi mo pa ito natanggap. Maaari mo ring manu-manong i-update ang mga aparatong ito kung gusto mo. Ang proyekto ng Open Source ng Android (ang code na ginamit upang bumuo ng OS para sa bawat Android phone) ay na-patch at ang mga pamamahagi ng third-party tulad ng LineageOS ay maaaring ma-update.

Paano mano-manong i-update ang iyong Pixel o Nexus

Ang Samsung, LG, Motorola, at iba pang mga Android vendor (mga kumpanya na gumawa ng mga telepono at tablet at TV) ay i-patch ang kanilang mga produkto sa pag-update ng Enero 2018. Ang ilan, tulad ng Tandaan 8 o Galaxy S8, ay makikita na bago ang iba, ngunit ginawa ng Google ang patch para sa lahat ng mga aparato. Inaasahan naming makakita ng maraming mga balita mula sa lahat ng mga kasosyo upang ipaalam sa amin kung ano ang aasahan at kailan.

Ano angmagagawa ko?

Kung mayroon kang isang produkto na mahina laban, madali itong mahuli, ngunit hindi ka dapat. Parehong Spectre at Meltdown ay hindi "nangyayari lang" at nakasalalay sa iyo sa pag - install ng malware ng ilang uri na nagpapakinabangan sa kanila. Ang pagsunod sa ilang ligtas na kasanayan ay magpapanatili kang immune sa alinman sa pagsamantalahan sa anumang computer hardware.

• I-install lamang ang software na pinagkakatiwalaan mo mula sa isang lugar na pinagkakatiwalaan mo. Ito ay isang magandang ideya palagi, ngunit lalo na kung naghihintay ka ng isang patch.
• I-secure ang iyong mga aparato ng isang mahusay na lock screen at pag-encrypt. Ginagawa nito ang higit pa sa pag-iwas sa ibang tao, dahil ang mga aplikasyon ay walang magagawa habang ang iyong telepono ay nakakandado nang wala ang iyong pahintulot.
• Basahin at unawain ang mga pahintulot sa lahat ng iyong pinapatakbo o mai-install sa iyong telepono. Huwag matakot na humingi ng tulong dito!
• Gumamit ng isang web browser na humaharang sa malware. Maaari naming inirerekumenda ang Chrome o Firefox, at maaaring protektahan ka ng iba pang mga browser laban sa malware na nakabase sa web. Tanungin ang mga taong gumawa at ipamahagi ang mga ito kung hindi ka sigurado. Ang web browser na sumama sa iyong telepono ay maaaring hindi ang pinakamahusay na pagpipilian dito, lalo na kung mayroon kang isang mas lumang modelo. Ang edge at Safari ay pinagkakatiwalaan din para sa mga aparato ng Windows o MacOS at iOS.
• Huwag buksan ang mga link sa social media, sa isang email, o sa anumang mensahe mula sa isang taong hindi mo kilala. Kahit na ang mga ito ay mula sa mga taong kilala mo, siguraduhin na pinagkakatiwalaan mo ang iyong web browser bago ka mag-click o mag-tap. Doble ito para sa pag-redirect ng mga link na mask sa isang URL ng site. Ginagamit namin ang mga uri ng mga link na medyo madalas at ang pagkakataon ay maraming online media na nabasa mo rin. Mag-ingat ka.
• Huwag maging hangal. Alam mo kung ano ang kahulugan nito sa iyo. Tiwala sa iyong paghuhusga at magkamali sa tabi ng pag-iingat.

Ang mabuting balita ay ang paraan ng mga pagsisikap sa gilid na ito ay naka-patched ay hindi magdadala ng malaking pagbagal na na-hyped bago ang anumang mga pag-update ay inilabas. Iyon lamang kung paano gumagana ang web, at kung basahin mo ang tungkol sa kung paano magiging 30% ang iyong telepono o computer pagkatapos mabago ang anumang pag-aayos, dahil ito ay nagbebenta. Hindi nakikita ito ng mga gumagamit na nagpapatakbo ng na-update na software (at sa panahon ng pagsubok).

Ang patch ay walang epekto sa pagganap na inaangkin ng ilan na magdadala ito, at iyan ay isang magandang bagay.

Naganap ang lahat dahil ang mga pag-atake na ito ay sumusukat sa tumpak na mga agwat ng oras at nagbabago o hindi pinapagana ang paunang mga patch ng katumpakan ng ilang mga mapagkukunan ng tiyempo sa pamamagitan ng software. Ang mas kaunting tumpak ay nangangahulugang mas mabagal kapag nag-compute ka at ang epekto ay pinalaking mas malaki kaysa sa ito. Kahit na ang maliit na pagganap ay bumababa na isang resulta ng mga patch ay pinapagalitan ng iba pang mga kumpanya at nakita namin na ina-update ng NVIDIA ang paraan ng kanilang mga numero ng crunch ng GPU o Mozilla na nagtatrabaho sa paraan na kinakalkula nila ang data upang mas mabilis ito. Ang iyong telepono ay hindi magiging mas mabagal sa patch sa Enero 2018 at alinman sa iyong computer maliban kung ito ay napakaluma, hindi bababa sa hindi kapansin-pansin na paraan.

Tumigil sa pagkabahala tungkol dito at sa halip siguraduhin na gawin ang lahat ng iyong makakaya upang mapanatiling ligtas ang iyong data.

Kung ano ang aalisin sa lahat

Ang mga scares ng seguridad ay laging may ilang uri ng tunay na epekto. Walang sinuman ang nakakita ng anumang mga pagkakataon ng Meltdown o Spectre na ginagamit sa ligaw, at dahil ang karamihan sa mga aparato na ginagamit namin araw-araw ay na-update o magiging sa lalong madaling panahon, ang mga ulat ay maaaring manatili sa ganitong paraan. Ngunit hindi ito nangangahulugang dapat silang balewalain.

Isaalang-alang ang mga banta sa seguridad na tulad nito ngunit huwag bumagsak para sa lahat ng hype; ipagbigay-alam!

Ang mga side channel na ito ay nagsasamantala ay may potensyal na maging malaki, malubhang kaganapan na nagbabago ng laro na nag-aalala tungkol sa pagdating ng cybersecurity. Ang anumang pagsasamantala na nakakaapekto sa hardware ay seryoso, at kapag inaatake nito ang isang bagay na nagawa sa layunin sa halip na isang bug ay nagiging mas seryoso ito. Sa kabutihang palad, ang mga mananaliksik at developer ay nagawang mahuli, naglalaman, at i-patch ang Meltdown at Spectter bago nangyari ang malawakang paggamit.

Ang talagang mahalaga dito ay makakakuha ka ng tamang impormasyon upang malaman mo kung ano ang gagawin sa tuwing naririnig mo ang tungkol sa isang bagong cyberthreat na nais lahat ng iyong mga digital na bagay. Mayroong karaniwang isang nakapangangatwiran na paraan upang mapagaan ang anumang mga malubhang epekto sa sandaling maghukay ka ng lahat ng mga headlines.

Manatiling ligtas!

Maaari kaming kumita ng komisyon para sa mga pagbili gamit ang aming mga link. Dagdagan ang nalalaman.