Заштитите Линук или Виндовс од Спецтре и Мелтдовн рањивости

Једна од основних компоненти сваког рачунара дизајнираног за коришћење оперативног система, без обзира на програмера, је ЦПУ или процесор који је напредовао огромним корацима нудећи нам нове брзине обраде, нове технологије, више језгара и све то како бисмо оптимизовати и побољшати покретање система и извршавање програма које смо тамо инсталирали.

Све ово је иновативно и испуњава нас емоцијама када купујемо рачунар са одличним процесором, јер смо сигурни да ће то бити добра инвестиција, али шта се дешава ако процесор, био то Интел, АМД или неки други, у свом дизајну представи безбедносне рањивости да стављају наше податке и нашу поверљивост у опасност, ту тема мења курс и наводи нас на размишљање о томе како се оваква ситуација може догодити у реномираним прерађивачима и великим компанијама широм света.

Па, ова рањивост је стварност која је откривена пре неколико дана, 4. јануара, где су откривене Спецтре и Мелтдовн рањивости, које су повезане са дизајном процесора где је нападачу дозвољен приступ системским информацијама и меморији где је од виталног значаја елементи као што су кључеви за шифровање или лозинке су смештени.

Најгора ствар у читавом овом питању је што ове рањивости утичу на Интел, АРМ и АМД процесоре, због чега смо сви отворени да будемо жртве ових рањивости и зато ћемо данас у Солветићу детаљно анализирати шта су те рањивости, како напада и како можемо заштитити наше сервере и опрему од њих.

Подсетимо се да ће ове рањивости напасти све врсте опреме и на кућном и на нивоу компаније, а тренутно програмери оперативних система и апликација објављују закрпе које ће нас заштитити од Спецтре -а и Мелтдовн -а.

Шта је Спецтре

Спецтре је рањивост која има способност да превари процесор да започне процес спекулативног извршења јер савремени процесори користе предвиђање грана, а спекулативно извршавање омогућава максимизирање перформанси процесора.

Ужасни напади омогућавају жртви да спекулативно изврши одређене операције које се не би догодиле током исправног извођења програма, а то омогућава да се на врло једноставан начин пропуштају повјерљиве информације кроз споредни канал.

Обавештења о откривању ових рањивости открила су две варијанте са различитим нивоима сложености и утицаја Спецтреа на процесор, а са њим и на безбедност корисника.

Ове варијанте су:

Варијанта 1 (ЦВЕ-2017-5753)Ова рањивост утиче на процесоре Интел, АМД и АРМ, омогућавајући нападачу да превари програме без икаквих грешака, следећи најбоље праксе, да филтрира све корисничке податке ускладиштене на рачунару.

Ово је открио 3. јануара ове године тим Гоогле Пројецт Зеро и ова варијанта користи прекомерно спекулативно извршавање ради извршавања задатака заобилажења провере ограничења, што доводи до преусмеравања кода језгра уз контролу нападача на спекулативан начин.

Листа система који могу бити нападнути овом варијантом су:

• Ред Хат Ентерприсе Линук 5
• Ред Хат Ентерприсе Линук 6
• Ред Хат Ентерприсе Линук 7
• РХЕВ-М 4.0
• РХЕВ-М за сервере
• Ред Хат Ентерприсе Линук ОпенСтацк платформа 7.0 (Кило) за РХЕЛ 7
• Ред Хат Ентерприсе Линук ОпенСтацк платформа 6.0 (Јуно) за РХЕЛ 7
• Ред Хат Ентерприсе МРГ 2
• Ред Хат ОпенСтацк платформа в 8/9/10/11/12
• Дебиан Линук вхеези
• Дебиан Линук јессие
• Дебиан Линук растезање
• Дебиан Линук бустер, сид
• СУСЕ Линук Ентерприсе Сервер за Распберри Пи 12 СП2
• СУСЕ ОпенСтацк Цлоуд 6
• Опенстацк Цлоуд Магнум Оркестрација 7
• СУСЕ контејнер као сервисна платформа СВЕ
• СУСЕ Линук Ентерприсе Хигх Аваилабилити 12 СП2 / СП3
• СУСЕ Линук Ентерприсе Ливе Патцхинг 12
• СУСЕ Линук Ентерприсе Модуле за јавни облак 12
• СУСЕ Линук Ентерприсе Сервер 11 СП3-ЛТСС
• СУСЕ Линук Ентерприсе Сервер 11 СП4
• СУСЕ Линук Ентерприсе Софтваре Девелопмент Кит 11/12 СП3 / СП4
• СУСЕ Линук Ентерприсе за САП 12 СП1
• СУСЕ Линук Ентерприсе 11
• СУСЕ Линук Ентерприсе 12
• ОпенСусе Линук заснован на СУСЕ 12/11
• Федора Линук 26
• Федора Линук 27
• Амазон Линук АМИ

Варијанта 2 (ЦВЕ-2017-5715)Ова варијанта је одговорна за покретање спекулативног извршења коришћењем убризгавања мете гране. Заснива се на присуству специфичног, прецизно дефинисаног низа инструкција у привилегованом коду, као и на ситуацији да приступ меморији може изазвати кеширање података микропроцесора, укључујући спекулативно извршене инструкције које никада неће бити угрожене.

Захваљујући овој варијанти, нападач без икаквих привилегија би имао могућност да пређе границе система и рачунара да чита привилеговану меморију извођењем циљаних напада кеша на бочним каналима и тако види безбедност корисника.

Погођени системи су исти као они горе наведени.

Да бисмо спречили ове варијанте у Линуку, можемо извршити следећи процес.

У ЦентОС или РедХат окружењима, прво извршавамо следеће редове:

 унаме -р судо иум ажурирање

Када се систем ажурира, настављамо са поновним покретањем система извршавањем линије:

 судо ребоот

Затим потврђујемо да је језгро ажурирано помоћу наредбе поново:

 унаме -р

На крају проверавамо да ли су варијанте примењене у систему извршавањем следећег:

 рпм -к -кернел мењача | егреп 'ЦВЕ-2017-5715 | ЦВЕ-2017-5753 | ЦВЕ-2017-5754' 

ЕНЛАРГЕ

У случају коришћења Убунту -а или Дебиана, можемо извршити следеће редове:

 судо апт-гет упдате судо апт-гет упграде судо схутдовн -р 0

Облици сабласног нападаСпецтре користи неке технике напада као што су:

• Искоришћавање шпекулативног погубљења. Овом техником, Спецтре напада процесорски задатак на нивоу спекулативних инструкција извршења са секвенцама које нису требале бити извршене током исправног извођења програма, а ове секвенце ће на крају бити обрнуте стварајући пролазна упутства која нападач користи како би филтрирао корисника информације.погађени.

• Напади помоћу изворног кода:. Овај напад ствара програм који у својој приступној меморији садржи тајне податке, а након што се овај програм компајлира, бинарне датотеке и заједничке библиотеке на систему се анализирају како би се филтрирале корисничке информације.

Коначно, написан је још један нападни програм који искориштава спекулативну функцију извршења ЦПУ -а да изврши претходно наишле секвенце као пролазна упутства.

• Напади помоћу ЈаваСцрипт -а. Овај напад се користи за пробијање сандбок -а претраживача постављањем преносивог ЈаваСцрипт кода кроз њега.

Хардвер на који утиче СпецтреТренутно је откривено да Спецтре може да наруши хардвер, као што су:

• Процесори засновани на Иви Бридгеу

• АМД Ризен

• Интел процесори

• Куалцомм процесори

Укратко, напад Спецтре -а састоји се од следећих фаза:

• Фаза 1. Прво, напад почиње фазом конфигурације, гдје противник изводи операције које узрокују кварове процесора, тако да се затим може извршити погрешна спекулативна експлоатација.

Током ове фазе, нападач може припремити бочни канал који ће се користити за извлачење информација о жртви.

• Фаза 2. У овој фази, процесор спекулативно извршава једну или више инструкција које преносе поверљиве информације из контекста жртве у микроархитектуру бочног канала.

Ово омогућава нападачу да изврши радњу, као што је сисцалл, утичница, ау другим случајевима нападач може да искористи предности спекулативног извршавања сопственог кода како би од корисника добио исте осетљиве информације из истог процеса.

• Фаза 3. У овој фази, поверљиви подаци се опорављају из Спецтре -а техникама као што су флусх + релоад или евицт + релоад. Овај процес опоравка састоји се од мерења колико је времена потребно за читање меморијских адреса у линијама кеша које се периодично надгледа.

Шта је Мелтдовн

Други напад који утиче на безбедност корисника је Мелтдовн који омогућава нападачу приступ приватним подацима корисника путем инсталираног оперативног система, као што су Мицрософт Виндовс или Хигх Сиерра.

Његово име је додељено због могућности кршења безбедносних ограничења која обично намеће системски хардвер.

Мелтдовн рањивост је каталогизирана као ЦВЕ-2017-5754, где се наводи да Мелтдовн има способност да продре у основну изолацију између корисничких апликација и оперативног система, без обзира на то о чему се ради. Овај напад омогућава програму приступ меморији, а са њим и поверљивим подацима других програма и самог оперативног система.

Ову ману су такође открили 3. јануара тим Гоогле Пројецт Зеро и други додатни тимови.
Ова рањивост погађа процесоре Интел к86-64, али не и процесоре АМД к86-64.

Топљење може утицати на систем попут:

• Ред Хат Ентерприсе Линук 5

• Ред Хат Ентерприсе Линук 6

• Ред Хат Ентерприсе Линук

• Дебиан Линук вхеези

• Дебиан Линук јессие

• Дебиан Линук растезање

• Деибан Линук бустер, сид

• СУСЕ Линук Ентерприсе 11

• СУСЕ Линук Ентерприсе 12

• ОпенСусе Линук заснован на СУСЕ 12/11

• Федора Линук 26

• Федора Линук 27

• Амазон Линук АМИ

• Виндовс

Тренутно имамо решење за ову рањивост за следеће дистрибуције Линукса са њиховом верзијом језгра попут ове:

• РХЕЛ 6.к [2.6.32-696.18.7] /7.к [3.10.0-693.11.6]

• ЦентОС 6.к [2.6.32-696.18.7] /7.к [3.10.0-693.11.6]

• Федора 26 [4.14.11-200] / 27 [4.14.11-300]

• Дебиан стретцх [4.9.0-5-амд64] / јессие [3.16.0-5-амд6] / вхеези [3.2.0-5-амд64]

• ЦореОС [4.14.11-Цореос]

• Арцх Линук [ажурирање на тренутну верзију]

• Гентоо Линук [ажурирање на тренутну верзију]

• Убунту Линук в16.04 [4.4.0-109-генериц или 4.13.0-26-генериц] /в17.10 [4.13.0-25-генериц] /14.04 [3.13.0-139-генериц]

• СУСЕ-СЛЕС 12 СП3 [4.4.103-6.38.1] / СЛЕС 12 СП2 [4.4.103-92.59.1] / СЛЕС 11 СП4 [3.0.101-108.21.1] / СЛЕС 11 СП3-ЛТСС [3.0.101 -0.47.106.11.1]

Да бисмо се заштитили од ове рањивости ЦВЕ-2017-5754, можемо извршити следеће:

• На ЦентОС -у и РедХату:

 унаме -р судо иум упдате судо ребоот

• У Федори:

 судо днф -освежавање језгра ажурирања 

• На Дебиан -у и Убунту -у:

 унаме -р судо апт-гет упдате судо апт-гет дист-упграде судо схутдовн -р 0

Како функционише МелтдовнПодсјетимо се да је једна од централних сигурносних карактеристика на оперативном нивоу у модерним оперативним системима изолација меморије, која осигурава да корисничке апликације немају приступ сјећањима других корисника и програма и на тај начин спречавају апликације корисника да читају или пишу у меморију језгра.

У модерним процесорима, изолацију између језгре и корисничких процеса обично изводи монитор процесора који дефинира има ли меморија могућност приступа страници језгре или не.
Мелтдовн је развијен као нови напад који има моћ да у потпуности превазиђе изолацију меморије пружајући једноставан начин за било који кориснички процес да прочита меморију језгре покренуте машине, укључујући сву физичку меморију додијељену на подручју језгре.

Мелтдовн данас ради на свим већим оперативним системима и ова рањивост користи информације о споредним каналима доступне на већини модерних процесора као што су Интел или АМД.

Мелтдовн даје нападачу могућност да покрене код на рањивом процесору како би избацио цело језгро у адресни простор, укључујући и додељену физичку меморију.

Узрок Мелтдовн-ове једноставности и опсега су нуспојаве узроковане неисправним извршавањем, односно, то је карактеристика тренутних процесора која је развијена за превазилажење кашњења заузетих извршних јединица.

Фазе рада топљења су:

• Фаза 1. У овој фази се поставља захтев за недозвољену меморијску локацију у језгру процесора.

• Фаза 2. У овој фази се врши други захтев да би се условно прочитала важећа меморијска локација само ако први захтев садржи одређену активну вредност.

• Фаза 3. У овој фази, извршава се спекулативни задатак извршења где процесор завршава рад у позадини за два претходна захтева пре него што потврди да је почетни захтев неважећи. Чим процесор схвати да захтеви укључују меморију изван граница, одбија оба захтева.

• Фаза 4. Тамо се поставља нови захтев за важећу меморијску локацију.

Дакле, са рањивошћу Мелтдовн можемо дефинисати следеће:

Садржај меморијске локације коју је изабрао нападач, а који је нападачу недоступан, учитава се у системски регистар.

Пролазна инструкција приступа линији кеша заснованој на тајном садржају регистра.

Нападач користи Флусх + Релоад да одреди приступ линији кеша и тако приступи информацијама сачуваним на изабраној меморијској локацији.

Када схватимо како ове рањивости функционишу, видјет ћемо како ћемо заштитити своје рачунаре од њих, иако морамо појаснити да до данас није пријављен ниједан напад који укључује и кориснике и администраторе.

1. Како се заштитити од Спецтре -а и Мелтдовн -а на Линук системима

У случају Линука, користићемо спецтер-мелтдовн-цхецкер.сх који је љуска скрипта да бисмо утврдили да ли је језгро Линукса рањиво на 3 ЦВЕ-а која смо споменули о овим рањивостима.

БелешкаОва скрипта мора бити покренута као роот корисник.

Корак 1
Да бисмо инсталирали ову скрипту, прво ћемо отићи у / тмп директоријум овако:

 цд / тмп / 

Корак 2
Када смо у наведеном директоријуму, настављамо са добијањем скрипте извршавањем следеће линије:

 вгет хттпс://рав.гитхубусерцонтент.цом/спеед47/спецтре-мелтдовн-цхецкер/мастер/спецтре-мелтдовн-цхецкер.сх 

БелешкаДруга могућност да га добијете је извршавањем следеће линије:

 гит цлоне хттпс://гитхуб.цом/спеед47/спецтре-мелтдовн-цхецкер.гит 

Како проверити да ли смо рањиви на Спецтре или МелтдовнДа бисмо проверили сигурност наше дистрибуције, можемо извршити следећи ред:

 судо сх спецтер-мелтдовн-цхецкер.сх

Тако је једноставно. Можемо проверити да ли је наш систем рањив на ове нове претње.

2. Како се заштитити од Спецтре -а и Мелтдовн -а на Виндовс системима

У овом случају користићемо Виндовс 10, а за то морамо приступити Виндовс ПоверСхелл-у као администратори тако што ћемо десним тастером миша кликнути на апликацију и изабрати опцију „Покрени као администратор“.

Корак 1
Када се ПоверСхелл терминал отвори, настављамо са извршавањем следеће линије:

 Инсталл-Модуле СпецулатионЦонтрол

Корак 2
У приказана питања унећемо слово С да потврдимо:

ЕНЛАРГЕ

Корак 3
Стандардне смернице за извршавање оперативног система Виндовс неће нам дозволити да извршимо ову скрипту, зато да бисмо извршили скрипту, морамо сачувати тренутну конфигурацију тако да се касније може вратити, а затим променити политику извршења тако да се може покренути скрипта. За ово ћемо извршити следеће две команде:

 $ СавеЕкецутионПолици = Гет-ЕкецутионПолици Сет-ЕкецутионПолици РемотеСигнед -Сцопе Цуррентусер

ЕНЛАРГЕ

Корак 4
Сада можемо покренути скрипту извршавањем следећег:

 Увозни модул СпецулатионЦонтрол Гет-СпецулатионЦонтролСеттингс

ЕНЛАРГЕ

Корак 5
Можемо видети детаљне информације о систему и морамо посебно погледати две линије:

Подршка за Виндовс ОС за ублажавање убризгавања циљне гранеОва линија означава ажурирање Мицрософт софтвера и његову вредност истина значи да је рачунар заштићен од напада Мелтдовн и Спецтре.

Хардверска подршка за ублажавање убризгавања циљне гранеОва линија се односи на ажурирање фирмвера или БИОС -а / УЕФИ -а које је потребно од произвођача рачунара ако је његова вредност истина то значи да ћемо бити заштићени од рањивости Спецтре.

Корак 6
Да бисмо вратили политику извршења у њену оригиналну конфигурацију након што смо верификовали безбедност система, можемо извршити следећи ред:

 Сет -ЕкецутионПолици $ СавеЕкецутионПолици -Сцопе Цуррентусер 

ЕНЛАРГЕ

Корак 7
Вриједно је запамтити важност ажурирања оперативног система јер ће програмери објављивати сигурносне закрпе како би спријечили ове сигурносне недостатке:

3. Званичне информације о сабластима и топљењу произвођача

На следећим линковима можемо пронаћи информације о овим рањивостима на свакој од главних веб локација програмера и тако имати детаљније информације о томе како спречити и бити корак испред проблема:

• Интел

• АРМ

• АМД

• НВИДИА

• Мицрософт Виндовс

• Виндовс Сервер

• Амазон

• Гоогле

• Андроид

• Манзана

• Леново

• ХП

• Хуавеи

• Цисцо

• Мозилла

• Црвени шешир

• Дебиан

• Убунту

• Федора

• ВМВаре

Као што видимо, иако ће рањивости увек бити присутне, можемо предузети неопходне мере да будемо пажљиви на сваки квар и тако спречимо да се наше информације утичу.