Las CPUs actuales tienen defectos de diseño. Spectre expuso estos fallos, pero ataques como Foreshadow y ahora ZombieLoad explotan debilidades similares. Estas fallas de ejecución especulativa sólo se pueden solucionar realmente comprando una CPU nueva con protección incorporada.
Los parches a menudo ralentizan las CPUs existentes
La industria ha estado luchando frenéticamente para parchear ataques de canal lateral como Spectre y Foreshadow, que engañan a la CPU para que revele información que no debería. La protección de las CPUs actuales está disponible a través de actualizaciones de microcódigos, correcciones a nivel de sistema operativo y parches para aplicaciones como los navegadores web.
Las correcciones de spectre han ralentizado los ordenadores con CPUs antiguas, aunque Microsoft está a punto de volver a acelerarlas. Parchar estos errores a menudo ralentiza el rendimiento de las CPUs existentes.
Ahora, ZombieLoad plantea una nueva amenaza: Para bloquear y proteger completamente un sistema de este ataque, debe deshabilitar el hyper-threading de Intel. Es por eso que Google acaba de deshabilitar el hyperthreading en los Intel Chromebooks. Como de costumbre, las actualizaciones de microcódigos de la CPU, las actualizaciones del navegador y los parches del sistema operativo están en camino para intentar tapar el agujero. La mayoría de la gente no debería necesitar deshabilitar el hyper-threading una vez que estos parches estén en su lugar.
Las nuevas CPUs Intel no son vulnerables a ZombieLoad
Pero ZombieLoad no es un peligro en sistemas con nuevas CPUs Intel. Como dice Intel, ZombieLoad "se aborda en el hardware a partir de algunos procesadores Intel® Core™ de 8ª y 9ª generación, así como en la familia de procesadores escalables Intel® Xeon® de 2ª generación". Los sistemas con estas modernas CPUs no son vulnerables a este nuevo ataque.
ZombieLoad sólo afecta a los sistemas Intel, pero Spectre también afecta a AMD y a algunas CPUs ARM. Es un problema que afecta a toda la industria.
Las CPUs tienen fallas de diseño, permitiendo ataques
Como la industria se dio cuenta cuando Spectre levantó su cabeza, las CPUs modernas tienen algunos defectos de diseño:
El problema aquí es con la "ejecución especulativa". Por razones de rendimiento, las CPUs modernas ejecutan automáticamente las instrucciones que creen que podrían necesitar para ejecutarse y, si no lo hacen, simplemente pueden rebobinar y devolver el sistema a su estado anterior....
El problema principal tanto con Meltdown como con Spectre se encuentra en la caché de la CPU. Una aplicación puede intentar leer la memoria y, si lee algo en la caché, la operación se completará más rápido. Si intenta leer algo que no está en la caché, se completará más lentamente. La aplicación puede ver si algo se completa rápida o lentamente y, mientras que todo lo demás durante la ejecución especulativa se limpia y se borra, el tiempo que tardó en realizar la operación no se puede ocultar. A continuación, puede utilizar esta información para construir un mapa de todo lo que hay en la memoria del ordenador, poco a poco. El almacenamiento en caché acelera las cosas, pero estos ataques aprovechan esa optimización y la convierten en un fallo de seguridad.
En otras palabras, se está abusando de las optimizaciones de rendimiento en las CPUs modernas. El código que se ejecuta en la CPU -quizás incluso código JavaScript que se ejecuta en un navegador web- puede aprovechar estas fallas para leer la memoria fuera de su SandBox normal. En el peor de los casos, una página web en una pestaña del navegador podría leer su contraseña del banco en línea desde otra pestaña del navegador.
O, en servidores en nube, una máquina virtual podría espiar los datos de otras máquinas virtuales en el mismo sistema. Se supone que esto no es posible.
Los parches de software son sólo venditas
No es de extrañar que, para prevenir este tipo de ataque de canal lateral, los parches hayan hecho que las CPUs funcionen un poco más lentamente. La industria está intentando añadir comprobaciones adicionales a una capa de optimización del rendimiento.
La sugerencia de desactivar el hyper-threading es un ejemplo bastante típico: Al deshabilitar una función que hace que la CPU se ejecute más rápido, la hace más segura. El software malicioso ya no puede explotar esa función de rendimiento, pero ya no acelerará su equipo.
Gracias al gran trabajo de mucha gente inteligente, los sistemas modernos han sido razonablemente protegidos de ataques como el de Spectre sin mucha desaceleración. Pero parches como estos son sólo tiritas: Estas fallas de seguridad deben ser corregidas a nivel de hardware de la CPU.
Las correcciones a nivel de hardware proporcionarán más protección, sin ralentizar la CPU. Las organizaciones no tendrán que preocuparse de si tienen la combinación correcta de actualizaciones de microcódigos (firmware), parches de sistemas operativos y versiones de software para mantener sus sistemas seguros.
Como un equipo de investigadores de seguridad lo puso en un trabajo de investigación, estos "no son meros errores, sino que de hecho, se encuentran en la base de la optimización". Los diseños de la CPU tendrán que cambiar.
Intel y AMD están creando correcciones en las nuevas CPUs
Las correcciones a nivel de hardware no son sólo teóricas. Los fabricantes de CPU están trabajando duro en cambios arquitectónicos que solucionarán este problema a nivel de hardware de CPU. O, como Intel dijo en 2018, Intel estaba "avanzando la seguridad a nivel de silicio" con CPUs de octava generación:
Hemos rediseñado partes del procesador para introducir nuevos niveles de protección mediante particiones que protegen contra las variantes[Spectre] 2 y 3. Piense en esta división como "muros de protección" adicionales entre las aplicaciones y los niveles de privilegios de usuario para crear un obstáculo para los Hackers.
Intel anunció anteriormente que sus CPUs de 9ª generación incluyen protección adicional contra Foreshadow y Meltdown V3. Estas CPUs no se ven afectadas por el ataque de ZombieLoad recientemente revelado, por lo que esas protecciones deben estar ayudando.
AMD también está trabajando en cambios, aunque nadie quiere revelar muchos detalles. En 2018, la CEO de AMD, Lisa Su, dijo: "A más largo plazo, hemos incluido cambios en nuestros futuros núcleos de procesador, comenzando con nuestro diseño Zen 2, para hacer frente a posibles hazañas similares a las de Spectre".
Para alguien que quiere el rendimiento más rápido sin ningún parche que ralentice las cosas, o simplemente una organización que quiere estar completamente segura de que sus servidores están tan protegidos como sea posible, la mejor solución será comprar una CPU nueva con esas correcciones basadas en hardware. Es de esperar que las mejoras a nivel de hardware eviten otros ataques futuros antes de que se descubran también.
Las compañías: Obsolescencia no planificada
Pero mientras que la prensa a veces habla de "obsolescencia planificada"; "el plan de una compañía es que el hardware se vuelva obsoleto, por lo que tendrá que reemplazarlo", esto es obsolescencia no planificada. Nadie esperaba que tantas CPUs tuvieran que ser reemplazadas por razones de seguridad, dicen las compañías.
No es el fin del mundo, todas las compañías de fabricación de Hardware están haciendo más difícil para los atacantes explotar errores como ZombieLoad. Usted no tiene que salir corriendo y comprar una CPU nueva ahora mismo. Pero una solución completa que no perjudique el rendimiento requerirá un nuevo hardware.
