• Meltdown a Spectre, co je nutné znát

                        – TEST snížení výkonu procesoru Intel před a po update

Jeden z největších průšvihů všech dob je definitivně potvrzený. Má vliv na bezpečnost i výkon.  V současnosti už máme pohromadě všechny informace. V uplynulých dnech téměř každý, kdo něco znamená v IT vydával své stanovisko k obrovskému bezpečnostnímu problému, který se objevil v souvislosti s procesory. Poslední dny jsme tak zjišťovali všechny skutečnosti, komunikovali s mnoha lidmi z oboru a mohli udělat i první vlastní měření výkonu. Ale vezměme to od začátku.

• O co jde? Meltdown a Spectre …

První zprávy se potvrdily. Ve zkratce tedy, co se stalo. Pátrání po mezerách v softwaru i hardwaru, který by mohli zneužít potenciální útočníci k nekalým věcem, probíhá neustále. Mnoho firem si platí jiné firmy, které nemají za úkol nic jiného, než napadat jejich systémy a hledat mezery, které jsou konstantně opravovány. A tak nějak se přišlo i na jednu z největších mezer všech dob.

Ač se to může zdát, že zranitelnost byla objevena před několika dny, není tomu tak. To se jen celá věc dostala na veřejnost. Ve skutečnosti celý problém byl objeven a identifikován už před půl rokem a okruh lidí, kteří i tom věděl, byl utajením omezen na minimum. Všichni zúčastnění totiž ihned věděli, o jak nebývale obrovský problém se jedná. Utajení sloužilo k tomu, aby se o slabinách, a té jedné velmi snadno zneužitelné, nedozvěděli právě ti, kteří by ji mohli zneužít. Posledních několik měsíců tak probíhaly práce na záplatách a vůbec hledání řešení něčeho, co vyřešit v podstatě nejde. A to je část problému. V posledních týdnech byly záplaty testovány, a tak vzbudily pozornost už části odborné veřejnosti, čímž se dostaly také na běžnou veřejnost. Původně mělo utajení skončit o později v únoru, ale nakonec bylo ukončeno dříve a spolu s tím tak bylo uspíšeno vydání všemožných Updatů, které byly po celou dobu připravovány.

Celý problém je samozřejmě velmi složitý na pochopení v celé šíři běžným uživatelem (ačkoliv se dotkne fakticky všech lidí na planetě), což umožňuje Intelu, který je tím, kdo za něj z velké části může a kvůli komu je tak závažný, tvářit se a mást veřejnost vyjádřeními, že to není jen jeho problém. Intel se právě vyjádřeními, že problém mají i ostatní, snaží odpoutat od sebe pozornost a potenciální poškození své značky a pověsti, ale i možných dalších následků. Zejména omíláním toho, že jeho procesory a platforma je prý stále nejbezpečnější na světě, což objektivně není a v tuto chvíli nemůže být pravda.

Ve zkratce existují dvě hlavní zranitelnosti. Společnost Google, která je podrobně analyzovala, je nazvala pro zjednodušení MELTDOWN a SPECTRE. Právě Meltdown je ta, o kterou jde především, a která se aktuálně hlavně řeší. Týká se výhradně Intel procesorů a několika ARM modelů (včetně těch od Apple). Především architektura procesorů Intel totiž umožňuje přístup jen částečně zpracovaného kódu do jádra systému. Což je velice snadno zneužitelné a nejde jen o bezpečnostní díru, to je přímo kráter s červeným kobercem okolo a pozváním. Mnozí tvůrci softwaru si vůbec neberou servítky, a označují to za velké selhání Intelu a jeho procesorových inženýrů.

Intel totiž o zranitelnosti zcela jistě věděl, on totiž svou architekturu s využitím této zranitelnosti přímo navrhl a využívá, kdy v některých oblastech jednoduše navyšuje výkon. Týká se proto prakticky všech procesorů architektury Core, včetně nejnovějších modelů deset let dozadu. Fakticky tak nejde o chybu, ale o záměrný designový prvek architektury procesoru. Stejný má i jedna generace ARM procesorů. MELTDOWN se naopak prokazatelně vůbec netýká procesorů AMD. Právě proto, že AMD stejný architektonický prvek jako Intel nepoužívá, a to právě s ohledem na bezpečnost.

SPECTRE je pak druhá, naštěstí velmi obtížněji využitelná zranitelnost, která se ale týká všech procesorů, a to jak Intel, AMD, VIA, tedy x86, tak ARM modelů a architektur. SPECTRE má ale dvě slabiny, kdy obě se týkají opět pouze Intel procesorů, které lze takto napadnout. V případě první slabiny jde spíše o díru v softwaru, která je snadno opravitelná (a týká se všech systémů a procesorů), v případě druhé varianty jde ale opět o hardwarovou slabinu a u AMD ji nelze díky odlišnosti architektury využít (ani teoreticky se to minimálně nepovedlo nikomu). Týká se tak reálně v praxi zase jen Intelu a některých ARM. Ovšem samozřejmě aktualizace byla provedena pro všechny.

• Intel je ten hlavní, kdo má problém. Proč je to tak závažné?

Bohužel, kvůli architektuře procesorů Intel, není fakticky reálně možné, zranitelnosti zcela opravit. Softwarový update, které nyní všichni vydávají, je jen záplata, která jen s určitou úspěšností může hlídat známé díry a zneužitelnosti, ale 100% zabránit průnikům z principu nemůže. Problém je totiž fyzický, je přímo součástí procesoru a jediná cesta, jak jej skutečně zcela opravit, je jednoduše předělat fyzicky tu část architektury a vyrobit tedy nové čipy. A takové Intel nemá. Všechny Intel procesory tedy tuhle „chybu“ a bezpečností díru mají a je tam pořád, i když nainstalujete bezpečnostní záplatu.

A tím je celá kauza tak obrovská, nebezpečná a je to takový problém. Intel procesory pohání více než 9/10 serverů na světě, na kterých stojí a padá naše civilizace. Pohání také téměř 9/10 běžných počítačů na světě. A teď zjišťujeme, že mají jednu velkou díru, kterou lze snadno zneužít téměř k čemukoliv, od prostého sledování, přes krádeže citlivých dat, přístupů, šíření virů atd. Takže problém je to gigantický, a hlavně tu bude vždy. Aktualizace operačních systémů Windows, Linux, Mac, iOS a ANDROID, dokáží tuto díru jen softwarově zalátat, ale tím ji neodstraňují zcela. Nicméně některé zranitelnosti lze zalátat jen aktualizací mikrokódu procesoru, tedy aktualizací BIOSu základní desky. A to je další potíž.

Drtivá většina provozovatelů serverů, v minulých týdnech prováděla updaty, některé ještě prováděny budou. Právě aplikace a aktualizace BIOSů však znamená nutnost odstávek, což je bezprecedentní. Jenže pak jsou tady stamiliony běžných mobilních, desktopových počítačů ve firmách a v domácnostech. Jen část z nich je pravidelně aktualizována ohledně operačního systému. Avšak jen minimum z nich je aktualizováno i z hlediska BIOSu základní desky! A proto je selhání Intelu tak obrovské svým dopadem, jelikož kvůli němu tu ten MELTDOWN a SPECTRE problém je a bude obrovský stále. Velká část počítačů bude mít tyhle zranitelnosti nadále plně a jednoduše zneužitelné a otevřené, a to si pište, že se na ně škodlivý software a viry všeho druhu zaměří.

Je tu ještě jedno hledisko, a to je výkonový dopad …