Venerdì 05 Gennaio 2018 - 08:30

Spectre e Meltdown, anche Apple deve ammettere: "Falle nei nostri sistemi operativi"

Il comunicato che spiega cosa è successo. Improbabile che qualcuno sia già entrato per questi "buchi". Già in atto le "patch". Ma il capo di Intel ha venduto le sue azioni

U.S.-NEW YORK-APPLE-HEART DISEASE

La falla nel processori Intel, Amd e Arm (le tre maggiori aziende del settore, oltre a Samsung, che producono i chips per la maggior parte degli oggetti informatici che usiamo ) non riguarda solo i Pc, ma anche i prodotti Apple: dai computer Mac, ai telefonini e agli iPad che usano sistemi operativi Ios. Sono esclusi solo gli Apple Watch (oltre, ovviamente, i prodotti Samsung che si basano su processori propri). Lo ammette oggi, in un lungo comunicato, la Apple. Eccone la parte iniziale: "I ricercatori hanno scoperto di recente problemi di sicurezza noti con due nomi: Meltdown e Spectre. Questi problemi si applicano a tutti i processori moderni e riguardano quasi tutti i dispositivi e i sistemi operativi. Tutti i sistemi Mac e i dispositivi iOS sono interessati, ma al momento non ci sono casi noti che influenzano i clienti". Apple ha già rilasciato le "patch" (le pezze che risolvono il problema o, almeno, lo "mitigano" in iOS 11.2, macOS 10.13.2 e tvOS 11.2 "per aiutare a difendersi da Meltdown. Apple Watch non è interessato da Meltdown."

"Nei prossimi giorni - prosegue il comunicato - pensiamo di rilasciare "mitigazioni" per Safari per difendersi da Spectre. Continuiamo a sviluppare e testare ulteriori attenuazioni per questi problemi e li pubblicheremo nei prossimi aggiornamenti di iOS, macOS, tvOS e watchOS. Mac e iOS, consigliano di scaricare il software solo da fonti attendibili come App Store".

In sostanza, la Apple sta dicendo che il problema emerso ieri e scoperto da un gruppo di tecnici di Google legati a un progetto sulla sicurezza denominato "Project Zero", riguarda anche tutti o quasi i suoi dispositivi. E, da quanto si è capito, la cosa va avanti da circa vent'anni. Anche se non è detto che qualcuno se ne sia accorto e abbia utilizzato le falle. Gli esperti dicono che è tutt'altro che semplice attaccare i sistemi operativi e rubare dati passando per Meltdown e Spectre e concordano su altri due aspetti: Intel, Amd  e Arm stavano già da mesi mettendo a punto le "patch" (pare che ci sia stata una fuga di notizie che ha impedito di arrivare al 9 gennaio data in cui le aziende avevano concordato di rendere nota la faccenda e di dare, nello stesso tempo, le soluzioni) che risolveranno quasi del tutto il problema e i prossimi processori, quelli che troveremo nei computer nei prossimi mesi, avranno sicuramente le soluzioni.

Si può escludere che qualcuno (hacker privato o organizzazione spionistica interna o esterna) sia già riuscito a violare i nostri device? Non ci sono segnali per dire che sia successo ed è (come si diceva) molto difficile. Ma nessuno si sente di escluderlo del tutto. Anche se, nessuno ha mai segnalato fughe o sottrazioni di dati che potrebbero essere collegate a Spectre e Meltdown. Si può escludere che dietro a tutto questo ci sia una grande operazione commerciale per favorire la vendita di processori nuovi nei prossimi mesi ("I computer con i chip vecchi sono pericolosi, compratevi quelli nuovi")? Anche qui nulla può essere escluso a priori, ma sembra davvero un'ipotesi fantascientifica anche perché lo "sputtanamento" è generale e chi ci guadagnerà davvero è Samsung.

Le azioni di Krzanich - Ma, all'interno di questa vicenda, emerge un'altra storia piuttosto preoccupante. Sembra che Brian Krzanich, ceo di Intel, abbia venduto a novembre scorso sostanziosi pacchetti di azioni della sua azienda che aveva nel portafoglio personale (atraverso il sistema delle stock option). Le operazioni in Borsa (per un valore di circa 40 milioni di dollari) sono avvenute in novembre e sono state comunicate alle autorità competenti in base alla legislazione vigente. Ora, a novembre, Krzanich sapeva già del problema "Meltdown&Spectre" e la vendita risulta quantomeno sospetta e già si parla apertamente di "insider trading". Anche perché per Intel (più di 100mila dipendenti e 60 miliardi di dollari di fatturato annuo) si apre una fase decisamente difficile dal punto di vista finanziario, produttivo e legale. Scatterano di sicuro cause e class action che potrebbero partire dai milioni di persone che hanno comprato device elettronici negli ultimi vent'anni. Chiaro che molti altri avrebbero venduto se fossero stati in possesso delle informazioni riservate che aveva Krzanich

Cosa sono Meltdown e Spectre - Tornando al comunicato Apple, ecco ulteriori spiegazioni, piuttosto tecniche di quanto è accaduto. In sostanza, par di capire, le falle si sono aperte a livello di un meccanismo geniale ideato per rendere più veloci i nostri computer. I chip di Intel sono infatti in grado di provare a prevedere (in base alle nostre abitudini) quello che stiamo per fare. Ossia, quando iniziamo un'operazione, il computer va avanti sulla strada che "prevede" sia quella più probabilmente che intendiamo seguire: se ci ha azzeccato, prosegue, altrimenti cambierà direzione lasciando perdere le operazioni avviate. Proprio qui in questa straordinaria funzione denominata "esecuzione speculativa" si anniderebbero le falle scoperte dai ricercatori di Google. Ma sentiamo Apple:

Il comunicato Apple - "I problemi Meltdown e Spectre - dice appunto Apple - sfruttano una moderna funzione di prestazioni della CPU chiamata esecuzione speculativa. L'esecuzione speculativa migliora la velocità operando su più istruzioni contemporaneamente, possibilmente in un ordine diverso rispetto a quando sono entrate nella CPU. Per aumentare le prestazioni, la CPU predice quale traiettoria di un ramo è più probabile che verrà presa e continuerà a eseguire l'esecuzione speculativa su tale percorso ancor prima che il ramo sia completato. Se la previsione era sbagliata, questa esecuzione speculativa viene annullata in un modo che è destinato ad essere invisibile al software. Meltdown e Spectre sfruttano l'esecuzione speculativa per accedere alla memoria privilegiata"...

Meltdown - "Meltdown - spiega il comunicato Apple - è il nome dato a una tecnica di sfruttamento nota come CVE-2017-5754 o "carico di cache di dati non autorizzati". La tecnica Meltdown può consentire a un processo utente di leggere la memoria del kernel. La nostra analisi suggerisce che ha il maggior potenziale per essere sfruttato (da eventuali hacker, ndr). Apple ha rilasciato le mitigazioni per Meltdown in iOS 11.2, macOS 10.13.2 e tvOS 11.2. watchOS non ha richiesto interventi. I nostri test con benchmark pubblici hanno dimostrato che le modifiche apportate agli aggiornamenti di dicembre 2017 non hanno determinato una riduzione misurabile delle prestazioni di macOS e iOS, come misurato dal benchmark GeekBench 4, o nei comuni benchmark di navigazione Web come Speedometer, JetStream e ARES- 6".

Spectre - "Spectre - prosegue Apple -  è il nome che copre due diverse tecniche di sfruttamento conosciute come CVE-2017-5753 o "bounds check bypass" e CVE-2017-5715 o "injection target injection". Queste tecniche potenzialmente rendono gli elementi nella memoria del kernel disponibili per i processi dell'utente sfruttando un ritardo nel tempo necessario alla CPU per verificare la validità di una chiamata di accesso alla memoria. L'analisi di queste tecniche ha rivelato che mentre sono estremamente difficili da sfruttare, anche da un'app eseguita localmente su un dispositivo Mac o iOS, possono essere potenzialmente sfruttate in JavaScript in esecuzione in un browser web. Apple rilascerà un aggiornamento per Safari su macOS e iOS nei prossimi giorni per mitigare queste tecniche di exploit. I nostri test attuali indicano che le imminenti mitigazioni di Safari non avranno alcun impatto misurabile sui tachimetri e sui test ARES-6 e un impatto inferiore al 2,5% sul benchmark JetStream. Continuiamo a sviluppare e testare ulteriori attenuazioni all'interno del sistema operativo per le tecniche Spectre e le pubblicheremo nei prossimi aggiornamenti di iOS, macOS, tvOS e watchOS".

Un ultima considerazione, per così dire, ottimistica. Il fatto che Apple spieghi con dovizia di particolari come funzionano Meltdown e Spectre, dovrebbe confortare gli utenti di tutto il mondo sulla validità delle "patch" già messe in circolazione e sul fatto che non sembrano esserci in prospettiva pericoli reali.

 

Accedi o registrati per inserire commenti.

Ti potrebbe interessare anche

Collistar insieme al Fai: "Ti amo Italia, ti difenderemo e ti proteggeremo"

Il progetto riguarda la manutenzione delle aree verdi che circondano Villa Balbianello, sul lago di Como

Blue Monday, oggi è il giorno più triste dell'anno. I consigli per superarlo

Ecco qualche trucco per tornare a sorridere anche in questo 'drammatico' lunedì

Supercomputer, verso la frontiera degli exaflop. E' corsa tra Ue e Resto del Mondo

Sono i calcolatori da un miliardo di miliardi di operazioni al secondo, indispensabili per affrontare temi al top di mobilità, medicina, clima ecc. E si cerca di capire come costruire il necessario sostegno economico a livello europeo

iPhone X in vendita a New York

Guai per Apple: Parigi apre un'inchiesta sul rallentamento degli iPhone

L'ipotesi è che il colosso di Cupertino abbia volontariamente programmato un precoce invecchiamento dei dispositivi