Meltdown och Spectre främst hot mot molntjänster

Den 3:e januari offentliggjordes två mycket allvarliga buggar, Meltdown och Spectre, i Intelprocessorer. Buggarna är rena säkerhetshål, men kräver fortfarande tillgång till datorn för att kunna utgöra ett hot. Problemet är därmed akutast för sk molntjänster, där man enkelt kan köpa processortid och köra vilka program man vill. Som ägare av en privat dator eller telefon behöver man inte oroa sig i det här läget, men har du känslig data på molntjänster där utomstående kan köra program kan datat helt utan att du vet om det läcka ut.

Säkerhetshålen skulle offentliggjorts den 9:e januari, då också motåtgärder hade förväntats finnas på plats. Nu blev man på grund av rykten tvungen att gå ut med det hela tidigare.

Meltdown och Spectre är inte säkerhetshål nätverk, och hotar därmed bara en dator eller mobiltelefon om man laddar ner en elakartad programvara som nyttjar buggen, en trojan.

Datorer (och mobiler etc) kan sedan 80-talet köra flera processer (som användare ser man det oftast bara som flera olika program, t ex webläsare, Word, e-postprogrammet även om dessa i sig kan köra flera processer eller trådar, som det då kalals) samtidigt. Varje process har sitt eget minne och kan inte läsa minnet som andra processer används, om processerna inte har särskilda rättigheter. Din webläsare kan alltså inte se vad som pågår inuti ditt e-postprogram, även om de kör på samma dator.

Meltdown och Spectre kommer runt detta och gör att ett program, som utnyttjar säkerhetshålet, kan läsa minnespositioner tillhörande andra program. Om man laddar ner en trojan eller drabbas av ett virus eller säkerhetsintrång som kör Meltdown eller Spectre-kod kan dessa läsa i minnet hos andra program och se vad som finns där, kanske läsa ditt senaste mail, eller mer allvarligt fiska ut kryptonycklar, lösenord mm.

Kortfattat utnyttjar Meltdown och Spectre fel i optimeringstekniken för processorer. Rent tekniskt hittas felet i spekulativ exekvering. Moderna processorer kör ibland delar av program i förväg när de inte vet vad som ska ske härnäst. Det har nu upptäckts att om man i vissa sådana situationer väljer att i förväg läsa från förbjudna adresser så utförs detta i förväg och läggs i cacheminnet, som också är en optimeringsfunktion där nyligen lästa minnespositioner lagras närmare processorn för snabbare åtkomst. Dessa positioner i cacheminnet går att läsa, eftersom det först blir ett minnesfel i processorn när programmet når till positionen i “verkligheten”.

Man kan säga att programvaror kan se en liten bit in i sin egen framtid, och det har alltså visat sig att i denna framtid gäller inte processorns lagar tills verkligheten kommit ikapp.

För att personligen drabbas måste du alltså ladda ner skadlig programvara. Generellt kommer inte privatpersoner drabbas direkt, utan bara indirekt. Det sk Internet of things kommer i princip inte drabbas alls, eftersom man generellt inte laddar ner och kör tredjeparts programvara på olika hushållsprylar, som uppkopplade brödrostar.

Däremot kan molntjänstdata drabbas på datorer i molntjänster där kunderna kan exekvera egen kod. Alla som kör egna applikationer i molnet är potentiellt drabbade, och eventuellt kan även vanliga färdiga molntjänster drabbas om dessa också kör i ett sådant moln. Hotet drabbar främst de som outsourcat till dessa moln. Har man full kontroll på sina servrar så krävs det fortfarande ett sedvanligt datorintrång för att drabbas. Som privatperson kan du främst drabbas genom att någon lyckas läsa ditt lösenord eller ditt data när det utnyttjas i en molntjänst, men bara om molntjänsten tillåter exekvering av godtycklig kundkod.

Ett problem är dock att du som privatperson inte vet var ditt molndata egentligen kör. Apples iCloud kanske är inhyrt hos Amazons AWS, och annan programvara från en annan kund på den plattformen skulle kunna läsa ditt lösenord om processerna råkar köra på samma server. Det är en hel del slump inblandat, lite som att bli träffad av blixten. Det går inte att avgöra exakt vilka privatpersoner som drabbas, men sannolikheten för den enskilda individen kan anses vara mycket låg eftersom minnesdumparna är ögonblicksbilder. Helst vill en hacker dock få tag på inloggningsuppgifter för administratörskonton, och då kan i princip vad som helst sedan hända.

Säkerheten mellan processer är det som normalt gör att just molntjänster kan fungera säkert. Men nu är detta alltså hotat. En hacker kan köpa processortid hos en molntjänstleverantör, ladda upp programvara som kör Meltdown eller Spectre och systematiskt läsa av allt minne hos alla andra processer på datorn. Och där kan lite vad som helst finnas. Dock inte allt som finns på datorns hårddiskar, men det kan mycket väl kommas åt sekundärt genom att man läser inloggningsuppgifter när dessa finns i minnet på datorn.

Det kan dock ta en del tankekraft och arbete att faktiskt veta var man ska läsa och hur det ska nyttjas. Som jag killgissar så kan man få ner minnesdumpar, men det är inte systematiserat. Dumparna måste sedan gås igenom (maskinellt med programvara) och tolkas. Det är inte säkert att man kommer åt något känsligt vid dumptillfället. Det går ju inte att veta vad de andra programmen gör vid tillfället. Det mest intressanta är att försöka få tag på lösenord och kryptonycklar, så man kan gå in i system på “normalt vis” och se data strukturerat.

En (kort) minnesdump skulle kunna se ut så här: t46783ygqpehpgbmamma786q373q4€854h439f.

I den dumpen är mamma ett lösenord, men det är inte uppenbart varför det står mamma där. Om ditt lösenord dock är q4€854h4 så är det rätt svårt för en hacker att identifiera just det som ett lösenord.

Som privatperson ska du förstås installera alla säkerhetsuppdateringar, som kommer släppas de närmaste veckorna.

Detta blogginlägg är en förenkling och gör inga anspråk på att vara komplett eller 100% korrekt i vare sig generella fall eller i specialfall. IT-proffs kan naturligtvis ha synpunkter i mängder på denna text, men ni är inte målgruppen även om ni utgör ca 30% av mina läsare.

Generellt råd är gör inget idiotiskt som ladda ner programvaror från okända leverantörer, besök inte okända skumma hemsidor och använd oavsett inte operativsystem med enkla säkerhetsläckor som främst Windows och Android. 

Tillägg: Microsoft har visat att det i kan vara möjligt att använda JavaScript för att läsa data ifrån andra websidor i webläsaren, men inte från resten av datorn. Normalt är detta inte tillåtet, men det ger alltså inte fri tillgång till processorn, utan bara andra websidors data i webläsaren. Därtill kan data i webläsaren läsas, t ex lösenord och kryptonycklar. Så håll dig borta från pr0nsajterna och Russia Today ett tag. Skatteverkets websajt lär dock inte lägga ut någon skadlig kod.