Yeni Yılın Kutlu Olsun! Intel, AMD, ARM ve diğer işlemcilerdeki üç büyük güvenlik açığı 3 Ocak Çarşamba günü açıklandı. Microsoft, Windows 7, Windows 8.1 ve Windows 10 dahil olmak üzere Windows'un tüm desteklenen sürümleri için bir acil durum düzeltme eki yayınladı, ancak kullanıcıların cihaz üreticilerinden kullanıma sunulduğunda ürün yazılımı güncellemelerini de uygulamaları gerektiğini ekledi. Google, şimdilik yalnızca Google tarafından yönetilen cihazlarda olmasına rağmen, 2 Ocak Salı günü yayınlanan Ocak 2022-2023 güncellemesiyle Android'deki kusuru düzeltti. macOS, iOS ve Linux için yamalar henüz tam olarak mevcut olmayabilir.
"Meltdown" ve "Spectre" olarak adlandırılan iki kavram kanıtı saldırısı, modern bilgisayar işlemcilerinin mevcut işletim sistemlerindeki uygulamaların çalışan belleğini ve çekirdek sistemi veya çekirdeği işleme biçimiyle ilgili bu üç kusurdan yararlanır.
Her kusura ayrılmış ve aynı içeriğe sahip web siteleri, "Meltdown ve Spectre kişisel bilgisayarlarda, mobil cihazlarda ve bulutta çalışır" diyor. "Bulut sağlayıcısının altyapısına bağlı olarak, diğer müşterilerden veri çalmak mümkün olabilir."
Bir Google blog gönderisi, kusurların "yetkisiz bir tarafın sistem belleğindeki şifreler, şifreleme anahtarları veya uygulamalarda açık olan hassas bilgiler gibi hassas bilgileri okuyabilmesini" mümkün kıldığını açıkladı.
Meltdown, çekirdek süreçleri ile kullanıcı süreçleri arasındaki sınırları siler ve Intel çipleriyle sınırlı gibi görünüyor. Spectre, çalışan uygulamalardan veri çalar ve AMD ve ARM yongalarında da çalışır. Spectre ve Meltdown web siteleri, mobil cihazlarda kullanılan çeşitli yonga setlerinin nasıl etkilendiğini ayrıntılı olarak açıklamadı.
Ancak AMD, herhangi bir kusurdan etkilendiğini reddetti.
Şirket, CNBC'ye yaptığı açıklamada, "AMD, her üç modele de duyarlı değil" dedi. "AMD'nin mimarisindeki farklılıklar nedeniyle, şu anda AMD işlemcilerinde sıfıra yakın bir risk olduğuna inanıyoruz."
Ne yapalım
Windows 7, 8.1 veya 10 kullanıyorsanız bugün yayınlanan Windows güvenlik güncellemesini uygulamalısınız. Yamaların ilk sürümleri, Kasım ve Aralık aylarında Windows Insider kullanıcılarına gönderildi.
Kısmen bize verilen bir Microsoft bildirisinde, "Bulut hizmetlerine hafifletmeler dağıtma sürecindeyiz ve Windows müşterilerini AMD, ARM ve Intel'den desteklenen donanım yongalarını etkileyen güvenlik açıklarına karşı korumak için bugün güvenlik güncellemeleri yayınlıyoruz" dedi. "Bu güvenlik açıklarının müşterilerimize saldırmak için kullanıldığını gösteren herhangi bir bilgi almadık."
Ancak, birkaç yakalama var. İlk olarak, Surface, Surface Pro veya Surface Book gibi Microsoft tarafından sağlanan bir dizüstü bilgisayar veya tablet kullanmıyorsanız, bilgisayarınızın üreticisinden bir ürün yazılımı güncellemesi de uygulamanız gerekir.
Çevrimiçi olarak yayınlanan bir Microsoft destek belgesi, "Yalnızca Windows Ocak2022-2023 güvenlik güncelleştirmelerini yükleyen müşteriler, güvenlik açıklarına karşı bilinen tüm korumalardan yararlanamayacak" dedi. "Ocak güvenlik güncellemelerinin yüklenmesine ek olarak, bir işlemci mikro kodu veya bellenim güncellemesi gerekiyor. Bu, cihaz üreticiniz aracılığıyla sağlanmalıdır. Yüzey müşterileri, Windows güncellemesi aracılığıyla bir mikro kod güncellemesi alacaktır."
İkincisi, Microsoft, müşterilerin yamayı uygulamadan önce çalışan "desteklenen" bir virüsten koruma yazılımına sahip olduklarından emin olmaları konusunda ısrar ediyor. Microsoft, yeni güvenlik yamasını açıklayan ayrı bir belgede, yalnızca bu tür yazılımları çalıştıran makinelerin yamayı otomatik olarak alacağını söylüyor.
Microsoft'un "desteklenen" virüsten koruma yazılımıyla tam olarak ne anlama geldiği veya Microsoft'un bu tür yazılımların yama uygulanmadan önce makinede olması gerektiğinde neden ısrar ettiği açık değil. Tüm bunları açıklaması gereken bir belgeye bağlantı var, ancak Çarşamba akşamı geç saatlerde yazılan bu yazı itibariyle bağlantı hiçbir yere gitmedi.
Son olarak, Microsoft, yamalar ile ilişkili "potansiyel performans etkileri" olduğunu kabul ediyor. Diğer bir deyişle, yamaları uyguladıktan sonra makineniz daha yavaş çalışabilir.
Danışmanlık, "Çoğu tüketici cihazı için etki fark edilmeyebilir" diyor. "Ancak, belirli etki, donanım üretimine ve çip üreticisinin uygulamasına göre değişir."
Windows Update'i manuel olarak çalıştırmak için Başlat düğmesine tıklayın, Ayarlar dişli simgesine tıklayın, Güncellemeler ve Güvenlik'e tıklayın ve Güncellemeleri kontrol et'e tıklayın.
Apple kullanıcıları, Apple simgesine tıklayarak, App Store'u seçerek, Güncellemeler'e tıklayarak ve Apple'dan herhangi bir öğenin yanındaki Güncelle'ye tıklayarak gelecekteki güncellemeleri yüklemelidir. Twitter'da, Apple'ın Aralık ayı başlarında macOS 10.13.2'deki kusurları zaten düzelttiğine dair doğrulanmamış bir rapor vardı, ancak Aralık Apple yamalarında kapsanan güvenlik açığı kimlik numaraları (CVE'ler), Meltdown ve Spectre'a atananlarla eşleşmiyor.
Linux makineleri de yamalar gerektirecek ve görünüşe göre bir şeyler neredeyse hazır olabilir. Yukarıda belirtildiği gibi, Ocak2022-2023 Android güvenlik yaması kusuru düzeltir, ancak şimdilik Android cihazların yalnızca küçük bir yüzdesi bunu alacaktır. (Kaç Android cihazının duyarlı olduğu açık değildir.)
Saldırılar Nasıl Çalışır?
Araştırmacıların bildiği kadarıyla, yalnızca 1995'ten beri geliştirilen Intel yongalarını (Itanium hattı ve 2013 öncesi Atom hattı hariç) etkileyen Meltdown saldırısı, düzenli programların korunması gereken sistem bilgilerine erişmesine izin veriyor. Bu bilgi, kullanıcı işlemlerinin asla yaklaşmaması gereken sistemin derinden gömülü merkezi olan çekirdekte saklanır.
Meltdown ve Spectre web siteleri, "Meltdown, kullanıcı uygulamaları ile işletim sistemi arasındaki en temel izolasyonu kırıyor" dedi. "Bu saldırı, bir programın belleğe ve dolayısıyla diğer programların ve işletim sisteminin sırlarına erişmesine izin verir."
"Bilgisayarınızda güvenlik açığı bulunan bir işlemci varsa ve yama uygulanmamış bir işletim sistemi çalıştırıyorsa, bilgileri sızdırma şansı olmadan hassas bilgilerle çalışmak güvenli değildir."
Meltdown, "normalde donanım tarafından uygulanan güvenlik sınırlarını temelde erittiği" için bu şekilde adlandırıldı.
İlişkili kusuru düzeltmek için çekirdek belleğinin kullanıcı işlemlerinden daha da izole edilmesi gerekir, ancak bir sorun var. Görünüşe göre kusur, kısmen, çekirdek ve kullanıcı süreçleri arasında bellek paylaşımının, sistemlerin daha hızlı çalışmasına izin vermesi ve bu paylaşımın durdurulmasının CPU performansını düşürmesi nedeniyle var gibi görünüyor.
Bazı raporlar, düzeltmelerin sistemleri yüzde 30'a kadar yavaşlatabileceğini söyledi. Tom's Hardware'deki meslektaşlarımız, sistem performansı etkisinin çok daha küçük olacağını düşünüyor.
Web siteleri ise Spectre'ın evrensel olduğunu ve "farklı uygulamalar arasındaki izolasyonu kırdığını" söyledi. "Bir saldırganın en iyi uygulamaları izleyen hatasız programları kandırarak sırlarını sızdırmasına olanak tanır. Aslında, söz konusu en iyi uygulamaların güvenlik kontrolleri aslında saldırı yüzeyini arttırır ve uygulamaları Spectre'a karşı daha duyarlı hale getirebilir."
"Birçok talimatı uçuşta tutabilen tüm modern işlemciler, Spectre'ye karşı potansiyel olarak savunmasızdır". "Özellikle Intel, AMD ve ARM işlemcilerde Spectre'ı doğruladık."
Siteler, bu tür saldırıların tespit edilmesinin neredeyse imkansız olduğunu ve virüsten koruma yazılımının yalnızca saldırıları başlatmadan önce sisteme giren kötü amaçlı yazılımları tespit edebileceğini açıklamaya devam ediyor. Spectre'ı başarmanın Meltdown'dan daha zor olduğunu söylüyorlar, ancak benzer saldırıların "vahşi doğada" başlatıldığına dair bir kanıt olmadığını söylüyorlar.
Ancak, ortak bir yonga seti süreci olan spekülatif yürütmeyi kötüye kullandığı için sözde Spectre'nin "bir süre bizi rahatsız edeceğini" söylediler.
Bir Sır Tutmanın Kayıp Sanatı
Haziran 2022-2023'de Google, Intel, AMD ve ARM'ye bu kusurları bildirdi ve ilgili tüm taraflar, yamalar gelecek hafta hazır olana kadar sessiz kalmaya çalıştı. Ancak sırrın içinde olmayan bilgi güvenliği uzmanları, büyük bir şeyin yaklaştığını söyleyebilirdi.
Linux geliştirme forumlarındaki tartışmalar, işletim sisteminin çekirdek belleğini ele almasına yönelik radikal revizyonlarla ilgiliydi, ancak hiçbir ayrıntı açıklanmadı. Microsoft, Amazon ve Google e-posta adreslerine sahip kişiler gizemli bir şekilde dahil oldu. Alışılmadık bir şekilde, elden geçirmeler, büyük bir güvenlik sorununun çözüldüğünü gösteren önceki birkaç Linux sürümüne geri taşınacaktı.
Bu, Reddit ve 4chan'da birkaç günlük komplo teorilerine yol açtı. 1 Ocak Pazartesi günü, kendisini Python Sweetness olarak adlandıran bir blogcu, Windows ve Linux geliştiricileri arasında çekirdek belleğinin kullanımıyla ilgili birkaç paralel gelişmeyi detaylandıran uzun bir gönderide "görünmez noktaları birleştirdi".
Geç Salı (2 Ocak). Kayıt, birçok benzer bilgiyi bir araya getirdi. Ayrıca Amazon Web Services'in önümüzdeki Cuma akşamı (5 Ocak) bakım gerçekleştireceğini ve bulut sunucularını yeniden başlatacağını belirtti. ve Microsoft'un Azure Cloud'unun 10 Ocak için benzer bir planı olduğunu.
Baraj, Çarşamba günü Hollandalı bir güvenlik araştırmacısının, kusurlardan en az birinden yararlanıyor gibi görünen bir kavram kanıtı hatası oluşturduğunu tweetlediğinde kırıldı.
öğleden sonra 3'te EST Çarşamba günü, o günkü işlemlerde hisse senedinin yaklaşık yüzde 10 düştüğünü gören Intel, kusurları önemsiz gösteren bir basın açıklaması yayınladı ve buna göre hissesi bir miktar zemin kazandı. Ancak şirket, kusurların verileri çalmak için kullanılabileceğini ve kendisinin ve diğer yonga üreticilerinin sorunu çözmek için çalıştığını kabul etti.
Açıklamada, "Intel ve diğer satıcılar, bu sorunu önümüzdeki hafta daha fazla yazılım ve bellenim güncellemesinin kullanıma sunulacağı zaman açıklamayı planlamıştı" dedi. "Ancak Intel, mevcut yanlış medya raporları nedeniyle bugün bu açıklamayı yapıyor."
Avusturya'daki Graz Teknik Üniversitesi'nde bilgi güvenliği alanında doktora sonrası öğrencisi olan Daniel Gruss, saat 17:00'de Meltdown ve Spectre'ı duyurmak için öne çıktı. ZDNet'ten Zack Whittaker'a 1995'ten beri Intel çiplerine dayalı "hemen hemen her sistemin" kusurlardan etkilendiğini söyledi. Sorunun daha da kötü olduğu ortaya çıktı.
Gruss, Ekim 2022-2023'de Linux'un çekirdek belleğini işleme biçimindeki teorik kusurları detaylandıran teknik bir makale yayınlayan ve bir düzeltme öneren yedi Graz araştırmacısından biriydi. Bu hikayenin başında bahsedilen takma adlı blog yazarı Python Sweetness, bu makalenin şu anda üzerinde çalışılan Intel kusurunun merkezinde olduğunu tahmin etmekte haklıydı.
akşam 6'da EST, Spectre ve Meltdown siteleri, şirketin kendi araştırmasını detaylandıran bir Google blog gönderisiyle birlikte yayına girdi. İki takımın bağımsız olarak Meltdown'ı keşfettiği ve üç farklı takımın aynı anda Spectre'ı bulduğu ortaya çıktı. Google'ın Project Zero ve Gruss'un Graz'daki ekibinin her ikisinde de parmağı vardı.
Resim kredisi: Natascha Eidl/Kamusal alan
- Muhtemelen Yaptığınız 12 Bilgisayar Güvenliği Hatası
- PC, Mac ve Android için En İyi Antivirüs Koruması
- Yönlendiricinizin Güvenlik Kokusu: İşte Nasıl Onarılır
