Tre giganti dell’hi-tech, Microsoft, Intel e Google, hanno lavorato assieme per scoprire una nuova vulnerabilità che interessa il mondo PC a livello globale. L’hanno chiamata Speculative Store Bypass (variant 4) e viene descritta come una problematica che permette a un soggetto esterno di leggere i valori di porzioni vecchie di memoria, conservate nella stack dell CPU o in altre aree della stessa. A quanto pare, la variante numero 4 usa l’esecuzione speculativa, simile a quella di Spectre, per leggere i dati che la CPU gestisce per alcune operazioni e rese visualizzabili tramite web browser via JavaScript. Anche se la falla non pare essere stata già sfruttata, il rischio per eventuali  violazioni è evidente.

Cosa succede

Intel ha tentato di calmare la situazione affermando che non ha riscontrato l’utilizzo dell’exploit sul web e che parte del difetto è stato già mitigato a gennaio, con il rilascio delle patch di Spectre e Meltdown. In aggiunta, la compagnia ha affermato di aver inviato correzioni varie agli OEM così da velocizzare il processo di invio degli update dei vari firmware e rendere innocuo il problema dello Speculative Store Bypass.

Nei prossimi giorni, sarà attivata, di default, la protezione nei confronti della variant 4 che tuttavia causerà dei rallentamenti nelle performance dei computer, stimati dal 2% all’8%. Sembra che il bug sia stato scoperto da Microsoft a novembre del 2017 e che fino ad oggi sia rimasto appannaggio dell’industria tech. Probabilmente i nuovi prodotti di Intel saranno già protetti contro minacce simili, derivanti dalle vulnerabilità riscontrate dai processori dell’americana, AMD e ARM.

L'articolo Microsoft, Intel e Google scoprono un’altra falla simile a Spectre proviene da Data Manager Online.

Lo aveva promesso e lo ha fatto, anche meglio. Intel introdurrà già entro il 2018 i nuovi processori a prova di Spectre. Si tratta degli Xeon della serie Cascade Lake e degli Intel Core di ottava generazione. Entrambi verranno spediti ai hardware nella seconda parte dell’anno, per consentire di lanciare già i primi prodotti entro Natale. Mal che vada si vedranno al CES 2019 di Las Vegas i portatili e computer protetti contro le vulnerabilità scovate da Project Zero di Google ma sarà comunque un anticipo rispetto a quanto previsto. Il CEO della compagnia, Brian Krzanich, ha scritto sul blog di Intel la scorsa settimana: “Portiamo i nuovi chip sul mercato per assicurarci che diano alle persone la sicurezza che si aspettano. Il nostro scopo non è solo offrire performance elevate ma anche piattaforme che siano adeguatamente protette”.

Cosa cambia (e cosa no)

Il gruppo americano ha lavorato a fondo per implementare l’hardware e i processi che, in precedenza, si era scoperto abilitavano possibili interferenze da parte di terzi, soprattutto nel merito della conservazione e trasmissioni di informazioni sensibili circa le sessioni di lavoro. Casacade Lake e Intel Core 8th mitigano la variante 2 e variante 3 delle falle individuate da Project Zero, ovvero una di Meltdown e la prima di Spectre. Purtroppo, non sono in grado di risolvere la variante 1, sempre legata a Spectre, che dovrebbe trovare soluzione più in avanti.

L’ufficialità del doppio arrivo giunge a poco dall’annuncio di Microsoft sulla distribuzione dell’aggiornamento firmware di Intel che protegge Windows 10, almeno a livello software, dalle vulnerabilità a livello CPU di Spectre, in attesa che i singoli produttori intervengano sui loro programmi.

L'articolo Intel lancerà quest’anno le CPU a prova di Spectre proviene da Data Manager Online.

Dopo esser passata quasi indenne dallo scandalo Spectre e Meltdown, i giorni duri non sono ancora finiti per AMD. La compagnia di sicurezza CTS-Labs, con sede in Israele, ha infatti scoperto ben 13 falle che metterebbero in pericolo le informazioni a bordo delle CPU della serie Ryzen ed Epyc, e non solo queste. Il problema risiede nella particolare costruzione dell’architettura Zen del gruppo, che al momento interessa quattro categorie di prodotto: Ryzen ed Epyc appunto ma anche Ryzen Pro e Ryzen Mobile. L’agenzia ha persino realizzato un sito web, www.amdflaws.com, dove viene spiegato per bene cosa succede a causa delle vulnerabilità riscontrate. Come nel caso di Spectre e Meltdown, le 13 problematiche ricadono in quattro differenti tipologie, indicate con i nomi di Masterkey, Ryzenfall, Fallout e Chimera, ognuna delle quali interessa un particolare contesto di specifica debolezza informatica.

Cosa succede

Tra le varie critiche mosse ad AMD, CTS-Labs puntualizza la scarsa attenzione posta alla sicurezza a livello boot dove, sfruttando la falla Masterkey, un aggressore può prendere il controllo di ciò che viene attivato all’avvio del computer per eseguire script e programmi malevoli, così come disabilitare strumenti di monitoraggio e scan del sistema. Le altre decine di bug si concentrano sulla possibilità di infettare le macchine con malware e virus evitando l’analisi dei software di controllo e persino di valicare le difese di AMD Secure OS, sistema operativo che governa il Secure Processor integrato nei Ryzen che, in teoria, dovrebbe restituire una protezione estesa.

Per ora AMD ha rilasciato questa dichiarazione: “Abbiamo appena ricevuto un report da un’azienda chiamata CTS Labs che afferma che ci sono potenziali vulnerabilità di sicurezza legate ad alcuni dei nostri processori. Stiamo studiando e analizzando attivamente i risultati. Questa compagnia ci era francamente sconosciuta e troviamo insolito che un soggetto attivo in tale campo pubblichi la sua ricerca senza fornire un ragionevole tempo di intervento ai diretti interessati. Per AMD la security è una priorità assoluta e lavoriamo continuamente per garantirla sempre, in caso di potenziali nuovi rischi”.

L'articolo Non solo Intel: scoperte decine di falle sulle CPU AMD proviene da Data Manager Online.

Nel solo quarto trimestre del 2017 i G DATA Security Labs ne hanno rilevati 744.065, ossia 8225 nuovi file nocivi per i sistemi operativi Android al giorno. Nonostante si sia riscontrato un minimo calo del tasso di crescita totale anno su anno rispetto al 2016 (3.246.284), non si può dire che le minacce a cui siamo esposti siano meno elevate.

Il recente caso di Meltdown e Spectre ha nuovamente evidenziato quanto sia necessario riconsiderare la sicurezza dei dispositivi mobili. Con “Project Treble”, una funzione disponibile con la più recente versione di Android, Google tenta di accelerare la distribuzione degli aggiornamenti agli utenti. Sarà la soluzione?

700mila applicazioni malevole individuate su Google Play

Nel corso dello scorso anno, Google e i produttori di soluzioni AV hanno rilevato oltre 700mila applicazioni che violano le linee guida del Play Store, il 70% in più rispetto al 2016. Tra queste le copycats, applicazioni dai contenuti inaccettabili e malware.

La statistica mostra che le applicazioni malevole riescono a raggiungere lo Store nonostante le innumerevoli funzioni di sicurezza implementate da Google. Per questo motivo gli utenti dovrebbero assolutamente installare sul proprio dispositivo una Security App, in grado di individuare per tempo le applicazioni contenenti funzioni dannose. La Security App dovrebbe essere dotata della scansione antivirus, per identificare eventuali trojan, malware e altri codici malevoli sui dispositivi Android e nelle applicazioni.

Le vulnerabilità impongono un cambiamento di rotta

Abbiamo già indicato in altri testi sull’argomento che, per gli esperti, Android è leader maximo delle vulnerabilità. Nel solo 2017 diversi sviluppatori e ricercatori hanno rilevato 842 falle nelle diverse versioni del sistema operativo firmato Google. Questo predominio si può argomentare adducendo il fatto che Android è un progetto open source, sono quindi molte le persone che hanno la possibilità di apportare modifiche e condurre ricerche sul software. Il problema tuttavia non si limita alle vulnerabilità del software ma riguarda anche e soprattutto le falle dell’hardware. Meltdown e Spectre, le gravi falle di sicurezza dei processori utilizzati anche nei dispositivi mobili, hanno mostrato ancora una volta quanto sia necessario velocizzare i processi al fine di assicurare agli utenti aggiornamenti tempestivi, poiché la maggior parte dei cyber attacchi sfrutta vulnerabilità note.

Project Treble: forse la luce in fondo al tunnel?

Gli aggiornamenti di Android costituiscono da sempre un tema spinoso – non solo dal punto di vista degli utenti. Le vulnerabilità vengono rese note sempre più frequentemente e a distanza sempre più ravvicinata e proprio gli smartphone sono maggiormente a rischio. Con la pubblicazione del nuovo Android 8.0 “Oreo” Google ha presentato il suo “Project Treble”. Gli sviluppatori Android puntano ad una distribuzione generale degli aggiornamenti più rapida, con l’intento di non limitare la ricezione tempestiva degli update ai soli modelli Pixel e Nexus.

Fino ad ora infatti era necessario rispettare cinque fasi prima della pubblicazione di un aggiornamento: il team Android metteva a disposizione un codice Open Source che i produttori di processori potevano adattare ai propri hardware specifici. Dopo di che era il turno dei produttori di smartphone, a cui veniva data la possibilità di personalizzare la nuova release. I provider che vendono propri dispositivi mobili ai clienti, avevano anch’essi l’opportunità di apportare le proprie modifiche al software. Solo allora si poteva rilasciare la nuova versione del sistema operativo. Questi processi concatenati richiedono da sempre tempi molto lunghi, con la conseguenza che gli utenti ricevono gli aggiornamenti a mesi o addirittura anni di distanza (e in alcuni casi neanche mai) rispetto al rilascio da parte del team Android.

Semplificazione dei processi

Tramite “Treble” Google ha modificato il processo e messo a disposizione una cosiddetta “interfaccia vendor” quale trait d’union tra il Framework Android-OS e gli adeguamenti del produttore. Tale interfaccia contiene tutte le informazioni specifiche rilevanti per l’hardware, come ad esempio i driver dei chipset. I produttori di smartphone possono così consegnare rapidamente gli update di Android, senza doverli adattare alle proprie esigenze.

Gli utenti avrebbero finalmente l’opportunità di beneficiare degli aggiornamenti di sicurezza più rapidamente senza doversi più preoccupare dei lunghi tempi di attesa. Sono soprattutto gli smartphone di fascia bassa a non ricevere alcuna protezione contro le vulnerabilità, sovente perché già in fase di produzione montano un software obsoleto.

Il neo: disponibilità di “Treble” a discrezione del produttore

“Project Treble” è disponibile su tutti gli smartphone che sin dalla produzione dispongono di Android Oreo. Tuttavia un aggiornamento alla versione 8.0 successivo alla produzione non garantisce la fruibilità del progetto, poiché Google lascia ai produttori la libertà di scegliere se fornire o meno la funzione con l’aggiornamento. Al momento dell’acquisto di un nuovo smartphone con sistema operativo Android, gli utenti dovrebbero quindi assicurarsi che sia dotato della versione 8.0 di Android di fabbrica e che quindi integri il “progetto Treble” by default. Così facendo, ci si assicura di fruire rapidamente delle patch di sicurezza contro falle come Spectre.

L'articolo Un 2017 di fuoco: 343 nuovi malware per Android all’ora! proviene da Data Manager Online.

Non deve essere facile lavorare in Intel negli ultimi tempi. I motivi li conosciamo e sono la conseguenza di un duplice incubo che risponde al nome di Spectre e Meltdown. Le vulnerabilità insite nell’hardware della principale chipmaker al mondo e nei processori della concorrenza, hanno causato più danni del previsto. Paradossalmente ancora nessuno ha sfruttato le tre falle che ricadono nei due calderoni ma associazioni di consumatori e investitori si sono già fatti sentire, portando all’attenzione della compagnia ben 32 cause legali. Tante sono quelle che la Securities and Exchange Commission (SEC) ha rilevato in seno a Intel: 30 riguardano i clienti di prodotti dotati di chip del gruppo mentre 2 sono state avanzate dagli azionisti, e riguardano il comportamento del board di amministrazione.

Cosa succede

Soprattutto quest’ultimo aspetto è quello che apre a scenari complicati per il futuro di Intel. Stando alle due cause in ambito security si legge nel documento della SEC che Intel ha violato alcune leggi facendo dichiarazioni su controlli interni che si sono rivelati falsi o fuorvianti circa la divulgazione delle conosciute vulnerabilità. A tali premesse ha fatto eco un trio di azionisti che punta il dito contro la mancanza di trasparenza del board dell’azienda.

Il riferimento va soprattutto alle attività del CEO Brian Krzanich, che poco prima della diffusione di Spectre e Meltdown aveva venduto le proprie azioni, tenendo per sé il minimo richiesto dalle policy del gruppo. Cosa succederà? Difficile dirlo anche perché questioni del genere non si risolvono certo in un paio di mesi. Nonostante dagli USA si inviti alla calma, attualmente non vi è soluzione certa alle vulnerabilità dei processori, anzi all’orizzonte c’è un ripensamento della catena produttiva che potrebbe causare ben più danni economici di quelli vissuti sinora dal gigante americano.

L'articolo Intel deve affrontare 32 cause legali per Spectre e Meltdown proviene da Data Manager Online.

Il produttore di sicurezza IT G DATA ha sviluppato e reso disponibile a titolo gratuito un’applicazione che verifica l’integrità del sistema rispetto alle vulnerabilità Meltdown e Spectre. In presenza di una delle due falle, lo scanner spiega agli utenti come proteggersi contro eventuali scenari di attacco.

I computer dotati di buoni software di sicurezza sono sufficientemente tutelati contro cyberattacchi derivanti da internet. Un pacchetto antivirus efficiente offre anche protezione scrupolosa in caso di attacchi provenienti da fonti offline, come una chiavetta USB infetta o altre periferiche connesse al computer. Con il proprio scanner gratuito, disponibile da subito G DATA protegge i dispositivi degli utenti contro attacchi che sfruttano le vulnerabilità Meltdown o Spectre.

Funzioni dell’applicazione

Lo scanner analizza importanti parametri ed impostazioni del computer, tra cui:

• ultimo aggiornamento Microsoft condotto
• tipo di processore impiegato nel computer e eventuali falle di sicurezza
• sistema operativo utilizzato
• presenza di impostazioni essenziali per la sicurezza nel BIOS
• compatibilità dell’antivirus installato con le nuove patch di Microsoft.

Dopo aver completato il test, lo scanner gratuito di G DATA suggerisce eventuali correzioni. Gli internauti dovrebbero applicare immediatamente le misure di sicurezza consigliate dall’applicazione per assicurarsi che il sistema utilizzato goda di una protezione efficace.

Requisiti di sistema

Windows 10, Windows 8.1, Windows 8, Windows 7 SP1, Windows Server 2016, Windows Server 2012 R2, o Windows Server 2012. Lo scanner G DATA per Meltdown & Spectre necessita di .NET Framework 4 o successivo, solitamente pre-installato su Windows 8 / Windows Server 2012. Nel caso si utilizzasse Windows 7 SP1, o Windows Server 2008 R2 SP1 è necessario installare anche .NET Framework 4.7.1.

L'articolo Sbarazzarsi delle vulnerabilità Meltdown e Spectre con lo scanner gratuito di G DATA proviene da Data Manager Online.

Gli incidenti di sicurezza, che si sono succeduti negli ultimi due anni senza soluzione di continuità, hanno delineato lo scenario cyber dei prossimi anni. C’è stato WannaCry e la piaga del ransomware. Ci sono stati Petya e Mirai. La vicenda Yahoo! e la voragine Equifax. Il colpo da 81 milioni di dollari alla Banca Centrale del Bangladesh, sfruttando una vulnerabilità del sistema Swift; il leak al Comitato Elettorale del Partito Democratico USA; l’attacco a DYN, uno dei più importanti provider DNS della costa orientale USA. E ancora prima, i 20mila clienti della britannica Tesco Bank, derubati del loro denaro da una banda di cybercriminali. Senza dimenticare, l’attacco alla Farnesina, la vicenda Hacking Team oppure l’attacco alla rete elettrica ucraina. Attacchi informatici su scala globale che hanno messo a nudo i rischi di sicurezza per cittadini e aziende. E per il paese in rete. Oggi, è la volta di Meltdown e Spectre. Vulnerabilità interne ai microprocessori. Portate alla luce dai ricercatori del team Google Project Zero in collaborazione con altri gruppi indipendenti di ricerca. Rivelazioni che hanno messo alle corde i principali produttori del settore, costringendoli ad ammettere che la stragrande maggioranza di quelli sfornati negli ultimi dieci anni, utilizzati su PC e tablet, server, router e smartphone sono vulnerabili. Bug interni ai processori. Classificati in due varianti, Meltdown, due vulnerabilità, le più datate e Spectre, una vulnerabilità, la più recente e anche la più grave. Falle connesse alla cosiddetta “esecuzione speculativa”, una funzionalità con cui i processori, per velocizzare le operazioni, scommettono su una strada che giudicano come la più probabile tra le due possibili, e sulla base di questa scelta iniziano a eseguire i calcoli ancor prima di ricevere le istruzioni.

«In altre parole, in quel meccanismo con cui le CPU moderne cercano di “predire” cosa dovranno fare nei prossimi cicli, accelerando l’esecuzione dei programmi» – come ci spiega Mauro Cicognini, membro del comitato direttivo di CLUSIT, l’associazione Italiana per la Sicurezza Informatica. Vulnerabilità che sfruttano un difetto di progettazione. «Uno schema progettuale vecchio almeno di vent’anni, utilizzato per aumentare la prestazione dei chip» – mette subito in chiaro Michele Colajanni, direttore del Centro di Ricerca Interdipartimentale sulla Sicurezza e Prevenzione dei Rischi (CRIS) e del corso in Cyber security dell’Università di Modena e Reggio Emilia. Difficile stabilire con precisione a quando risalga la scoperta. Secondo alcuni, si tratta di una falla nota sin da quando questa intuizione progettuale è stata adottata nel disegno dei processori. È quello che per esempio ha dichiarato Amazon – non esattamente il meno informato degli operatori del settore – in una nota ai suoi clienti dei servizi cloud. Altri tendono a spostare la scoperta più in là nel tempo. «La vulnerabilità esiste da molti anni, ma non penso fosse nota da altrettanto tempo» – afferma Colajanni. «Di certo, non è una falla degli ultimi giorni o mesi. Diciamo che in certi ambienti se ne parla dal 2017». Difficile datare con precisione il momento in cui è stata individuata la vulnerabilità. Sappiamo che questo “buco” nella sicurezza consente di accedere alla memoria dei dispositivi – tutti i dispositivi che montano un processore costruito negli ultimi dieci anni indipendentemente dal sistema operativo installato – e sottrarre i dati presenti. Senza lasciare tracce. Immediatamente dopo le prime rivelazioni, anche IDC ha confermato la gravità della minaccia. Ma nel quadro generale, limitata, perché sono pochi coloro che sono veramente in grado di sfruttarla.

#ZeroTrust, pensare al software, all’hardware e ai prodotti di sicurezza, come a qualcosa di intrinsecamente non sicuro. E agire di conseguenza #sicurezza #design #CPU
Click To Tweet

UN DANNO PER INTEL MA NON SOLO

Secondo alcuni, questa vicenda ha tutto il potenziale per mandare in frantumi l’immagine di uno dei giganti dell’industria così come la conosciamo. Che non è solo quella dell’azienda che detiene con l’80 per cento del mercato nel campo dei microprocessori per PC e server. Ma molto, molto altro. Un concetto ribadito dal CEO Brian Krzanich, al recente CES di Las Vegas. Uno speech in cui il boss del gigante di Santa Clara dopo aver liquidato in meno di due minuti le osservazioni su Meltdown e Spectre ha illustrato per gli altri 38 tutte le attività in corso – dalla collaborazione con la scuderia Ferrari, che utilizzerà le tecnologie Intel per sfruttare i dati delle corse a vantaggio di piloti e tifosi, all’auto a guida autonoma, passando per l’intelligenza artificiale al servizio delle imprese – senza più quasi nemmeno nominare, e anche questo è a suo modo un esercizio di equilibrismo interessante, il termine “processore”. Che poi è il “cuore”, o meglio la “mente” di ogni computer, e soprattutto, quello che ha permesso a Intel di macinare fatturati e utili miliardari per quasi cinquant’anni. Una grande storia di successo narrata in tanti libri di economia. Puntellata tuttavia anche da cause legali e sanzioni milionarie. Culminate nel maggio del 2009 con la multa da 1,06 miliardi di euro, comminata dall’Antitrust europeo per abuso di posizione dominante e sei mesi più tardi con l’accordo extragiudiziale da 1,25 miliardi di dollari con la rivale storica AMD. Un passato di cui, c’è da scommettere, si riparlerà ancora molto. Principalmente dopo le recenti indiscrezioni sulla vendita di azioni Intel per oltre 39 milioni di dollari da parte dell’attuale CEO. Una vendita effettuata con largo anticipo rispetto alle rivelazioni su Meltdown e Spectre, ma ugualmente sospetta. Tanto da risvegliare l’interesse della SEC, la Consob statunitense, al lavoro da mesi per fare chiarezza sull’operazione. Improbabile che queste vulnerabilità possano impattare sui dati di vendita di Intel, spostando gli equilibri in termini di quote di mercato. «Non credo ci sarà alcun impatto percepibile sulle vendite di Intel, anche perché come possono i suoi concorrenti dimostrare di essere più sicuri? Esiste forse un qualche standard, o almeno una metrica, che possa misurare questa maggiore sicurezza, in un modo logicamente robusto, e accettabile dal mercato?» – osserva Mauro Cicognini di CLUSIT. Rischioso però escludere a priori che altre vicende interne, come la variazione delle regole contro i pericoli dell’insider trading, non possano riservare altri colpi di scena. Il mercato, in qualche occasione, ha dimostrato di non perdonare. Nel frattempo, è ormai storia la notizia del sorpasso di Samsung tra i produttori di chip. Un evento che sancisce la fine del dominio Intel su questo mercato che risale ai primi anni 70.

UNA GESTIONE DELLA CRISI DA MANUALE

I problemi per il gigante di Santa Clara potrebbero essere appena iniziati. Tuttavia – guai di Intel a parte – la vicenda Meltdown e Spectre offre molti altri spunti interessanti di riflessione. Mantenere un segreto il più delle volte è un’impresa quasi disperata. In questa occasione, chi ha pilotato tutta la vicenda ha dato prova di grande maestria. «Google si è comportata in modo esemplare: appena scoperta la vulnerabilità e verificata la possibilità di sfruttarla, ha informato in modo riservato Intel, AMD e ARM, i responsabili della comunità Linux e Microsoft» – afferma Colajanni del CRIS, sottolineando altresì l’assenza di speculazioni come in altre occasioni. «Le vicende Equifax e Sony sono state gestite molto peggio. La tempestività degli aggiornamenti sarebbe un indizio sul tempo che le imprese coinvolte hanno avuto per prepararsi a gestire la crisi. Le patch uscite in questi giorni sono talmente invasive che non è possibile credere siano state messe a punto in una settimana. Sono il frutto di mesi di lavoro. Appena si è avuta notizia delle vulnerabilità, in un paio di giorni c’erano già le patch». Attività che secondo Colajanni rivelano un alto grado di coordinamento e di preparazione. E anche, se vogliamo, di segretezza. «Solo scalfita da qualche “spiffero”, come la dimostrazione effettuata da un gruppo di ricercatori di Londra nel mese di novembre».

#sicurezza #design #CPU L’impatto degli aggiornamenti sulle performance dei processori oscilla tra il 5 e il 30 per cento. Ma molto dipende dalle applicazioni – dati @IDCItaly
Click To Tweet

TESTARE HARDWARE E SOFTWARE

Dalla vicenda, emerge l’importanza di testare adeguatamente hardware e software commercializzati. «Il testing dei prodotti è un problema. Budget e tempi dedicati a questa attività sono sempre più compressi» conferma Colajanni. «Prendiamo il software. Si stima che l’ultima versione del sistema operativo di Microsoft contenga qualcosa come cinquanta milioni di righe di codice. Data la complessità degli applicativi, un errore di programmazione durante la scrittura del codice è molto probabile. Nel caso dell’hardware, la fase di testing richiede ancora più impegno. I microprocessori sono tra i dispositivi più complessi in circolazione. Miliardi di transistor la cui progettazione è diventata impossibile senza l’ausilio di computer in grado di semplificare la complessità. Per i costruttori si tratta di un processo che richiede più tempo rispetto ai produttori di software. «Testare i processori è un processo lento e difficoltoso. E che comunque non mette al riparo da errori» – conferma Colajanni. Come dimostrano i listati di “errata”, correzioni, che i costruttori forniscono insieme alle specifiche dei loro prodotti. In alcuni casi, si tratta solo di seccature. In altri, ed è questo il caso, possono mettere in serio pericolo la sicurezza. Testare l’hardware secondo alcuni esperti presenta più difficoltà rispetto al software. E gli errori, i bug dell’hardware possono avere conseguenze più gravi. Principalmente per via del ruolo svolto dall’hardware nel funzionamento di un computer. Mentre il software in estrema sintesi è una lista di istruzioni, il compito del microprocessore è quello di eseguirle correttamente. Complessità che induce a ritenere che i dispositivi fisici siano anche più difficili da patchare da remoto rispetto al software. E che, in qualche caso, sia addirittura impossibile farlo.

SOSTITUIRE PARTE DELL’HARDWARE

«Queste vulnerabilità sono un effetto “collaterale” dell’obiettivo di velocizzare l’esecuzione dei processi. Purtroppo, causano la possibilità di accedere a spazi di memoria arbitrari con le conseguenze che tutti possono immaginare. Detto questo separerei i problemi dalle soluzioni» – riprende Colajanni del CRIS, stemperando i toni. «Sono certo che nel progetto dei nuovi processori si terrà conto di queste vulnerabilità, provvedendo by design». In effetti, sembra che i rischi di sicurezza associati a Meltdown possano essere risolti con le patch già a disposizione sui principali sistemi operativi. Un rimedio temporaneo e non una soluzione definitiva? Staremo a vedere. Per quanto riguarda Spectre, il problema è più grave. Plotoni di sviluppatori sono al lavoro per trovare un cerotto per mitigare il problema. Ma sono in molti a temere che l’unico rimedio efficace sia quello di riprogettare i processori vulnerabili e procedere con la loro sostituzione. Con un esborso di miliardi di euro e tempi non prevedibili.

#sicurezza #design #CPU L’importanza di un ecosistema di testing più affidabile. Patchare in fretta tutti i sistemi a rischio. I costi dell’insicurezza scaricati sulle aziende @Clusit
Click To Tweet

COSTI EXTRA IN VISTA PER LE AZIENDE

Patching dei sistemi. La falla è grave. Ora tocca correre ai ripari. Per parare il colpo si renderà necessario patchare in fretta tutti i sistemi a rischio. «Un’attività extra da pianificare, stilando una lista delle priorità, e che inciderà in modo significativo sull’operatività dell’azienda. Allocate le risorse, bisognerà testare e poi procedere con la distribuzione delle patch sui sistemi» – afferma Cicognini di CLUSIT. Il suggerimento è di procedere con gli aggiornamenti in modo ragionato. Sottolineando la necessità di vagliare l’opportunità di un patching massivo. Il consiglio di vendor ed esperti è di partire con l’update manuale dei sistemi non critici. In modo da assicurarsi la compatibilità del software con applicazioni e sistemi non bloccanti per l’azienda. L’altro aspetto molto dibattuto è l’impatto degli aggiornamenti sulle performance dei processori. Le prime stime degli analisti di IDC ipotizzavano un degrado delle prestazioni oscillante tra il 5 e il 30 per cento. Previsioni in seguito confermate dai dati provenienti dagli stessi vendor e dalle prove sul campo. «Molto dipende dalle applicazioni» – ci dice Colajanni del CRIS. «Ci sono applicazioni più “computationally intensive” – che comportano cioè un uso intensivo delle risorse del sistema – per le quali il rallentamento sarà più sensibile. Altre, per le quali l’input/output è il collo di bottiglia prevalente, per cui non si noterà alcun degrado di prestazioni. Per certo, le prime subiranno un calo, ma tenendo conto dell’evoluzione dei processori, sarà ben compensato». In ogni caso, rimediare a queste vulnerabilità inciderà sui costi di aziende e organizzazioni. In una misura variabile a seconda del mix di asset di ognuna. Chi dispone prevalentemente di pc on-premise subirà un certo tipo di impatto. «Le grandi aziende che hanno già attivato processi e sistemi di patch management non ne risentiranno più di tanto» – sottolinea Colajanni. «Per le altre invece, è bene che usino questo caso per attivarne uno, in quanto per loro sarà molto più costoso, soprattutto in termini di gestione e di impatto sulla continuità operativa». Chi invece si affida anche a macchine virtualizzate, infrastrutture in cloud e risorse condivise, processori compresi, dovrà agire diversamente. «In questo caso si tratterà di verificare la diligenza del fornitore di servizi cloud nell’aggiornare i sistemi» – spiega Cicognini.

DIFFICOLTÀ DI AGGIORNAMENTO

Per tutti, l’aggiornamento dei sistemi sarà un costo. Anche per via della valanga di aggiornamenti arrivati in queste settimane dai vendor. «Il vero problema – osserva Colajanni – sarà per quei casi in cui le patch sono difficili se non impossibili da applicare. Per questi scenari non c’è una vera soluzione». La buona notizia è che Meltdown sembra sia patchabile. Non così Spectre. Mitigabile, pare, solo con aggiornamenti al microcode. La risoluzione del problema alla radice – però – è demandata alla sostituzione dei processori affetti dal problema. Si stima che un nuovo processore progettato oggi arriverà sul mercato non prima di 36/60 mesi. Perciò la scelta di aggiornare il microcode – fermo restando la complessità di distribuire questo tipo di patch da parte dei costruttori – è probabilmente al momento la miglior opzione disponibile. Nel frattempo, le aziende dovranno correre ai ripari per ovviare al problema con metodologie note. «I rischi si possono attenuare con i soliti metodi: multipli livelli di protezione, accesso limitato e controllato, sistemi di detection più sofisticati» – suggerisce Colajanni.

#sicurezza #design #CPU Update e continuità operativa on-premise e cloud. Le vulnerabilità incideranno sui costi di aziende e organizzazioni a seconda del mix di asset @UNIMORE_univ #CRIS
Click To Tweet

UN ECOSISTEMA DI TESTING

L’importanza di un ecosistema di testing più affidabile è al centro del dibattito alimentato da esperti e sviluppatori. Ribadito che testare rappresenta un costo non trascurabile per i produttori, anche in vista dei nuovi piani di sostituzione dei microprocessori da parte dei produttori di chip che subiranno una decisa accelerazione con costi non prevedibili – come rileva IDC – questa ennesima vulnerabilità prova che quando in questa fase qualcosa va storto, i costi dell’insicurezza vengono scaricati dall’industria su aziende e organizzazioni. È chiaro che se la quasi totalità dell’installato in circolazione ha un difetto, la sostituzione di tutti i componenti inciderà – e molto – sulla struttura dei costi degli utilizzatori finali. Detto questo, bisognerà convivere con l’idea di essere esposti al pericolo di attacchi. Verosimilmente, l’hardware installato invecchierà con questa tara, che finirà per allinearsi ai ritmi consolidati di sostituzione dell’hardware. La buona notizia? Il probabile consolidamento del cosiddetto approccio “zero trust”. L’orientamento cioè di chi suggerisce di pensare al software, all’hardware e ai prodotti di sicurezza, come a qualcosa di intrinsecamente non sicuro. E agire di conseguenza.

L'articolo I bug dei signori del silicio che pagheremo noi proviene da Data Manager Online.

Intel ha presentato oggi i dati finanziari relativi all’ultimo trimestre e ha colto l’occasione per ribadire il suo impegno per eliminare il bug Meltdown Spectre che ha colpito le sue CPU. Il CEO dell’azienda, Brian Krzanich, ha assicurato che i processori che arriveranno entro la fine dell’anno saranno immuni dal malware e che i suoi tecnici più preparati stanno lavorando al problema da prima che la criticità diventasse pubblica. Intel sta impegnando risorse h24 per garantire il massimo livello di protezione ai suoi utenti anche se è consapevole che ci vorrà del tempo.

Le nuove CPU saranno rilasciate entro la fine del 2018 ma nel frattempo l’azienda sta comunque pensando all’immediato con il rilascio di patch di sicurezza più stabili ed efficaci nel risolvere la vulnerabilità Meltdown Spectre. Bisogna infatti sottolineare che gli ultimi software di sicurezza non hanno avuto l’effetto sperato in quanto causavano il riavvio improvviso di diversi PC. Linus Torvald, creatore del sistema operativo Linux, ha definito le patch senza mezzi termini come “spazzatura”. Intel ha quindi promesso una maggiore trasparenza riguardo lo sviluppo dei suoi aggiornamenti di sicurezza.

Meltdown Spectre è un bug che colpisce le CPU di Intel (e non solo) a livello hardware. La vulnerabilità consentirebbe il furto di dati sensibili sfruttando la funzione di “esecuzione speculativa” tipica dei processori con pipeline. La maggior parte delle aziende tra cui Microsoft, Google e Apple hanno già rilasciato le rispettive patch di sicurezza ma fino a quando il problema non verrà risolto dal punto di vista della progettazione delle CPU ogni PC non è al sicuro.

L'articolo Intel assicura: “Nuovi chip sicuri contro Meltdown Spectre” proviene da Data Manager Online.

Non si è fatta attendere la risposta di Apple in merito alle accuse di obsolescenza programmata a cui è andata incontro nelle ultime settimane. Dopo aver assistito all’indignazione del mondo hi-tech e alle class action partite negli USA, il CEO della Mela Tim Cook si è lasciato andare durante un’intervista alla ABC News. L’amministratore, pur difendendo la causa della sua compagnia, ha riconosciuto la poca trasparenza utilizzata verso i consumatori per un’attività che, seppur eticamente apprezzabile, andava comunque comunicata. Peraltro, se Apple ha rallentato di proposito i vecchi iPhone per farli durare di più, non si capisce il perché del silenzio, che invece fa emergere i dubbi sulla volontà di spingere le persone a comprare nuovi modelli.

Cosa succede

“Avevamo detto le cose come stavano – ha sentenziato Cook – ma non penso che molta gente abbia prestato attenzione. Forse avremmo dovuto essere più chiari”. Il riferimento è al calo di prestazioni dovuto al cosiddetto throttling, una funzione automatica introdotta con l’aggiornamento ad iOS 11, che implica sugli iPhone più datati un calo della CPU, sebbene non sempre così vistoso.

Stando al CEO, già dal prossimo update in arrivo a febbraio, una sezione del menu delle Impostazioni sarà dedicata alla possibilità di disattivare manualmente l’ottimizzazione, a beneficio delle performance e a scapito dell’autonomia ovviamente. Una scelta che però sarà individuale e a completa discrezione degli utenti. Al di là di questo, pare che Apple abbia intenzione anche di mostrare ai suoi clienti lo stato di salute della batteria, indicandone il livello raggiunto nelle info del dispositivo. A quel punto si capirà se è necessario o meno farla sostituire.

L'articolo iPhone lenti, mai più per colpa di iOS proviene da Data Manager Online.

Da un lato Spectre, dall’altro il battery-gate. Apple non sta vivendo un momento facilissimo della propria storia, a causa di fattori interni ed esterni. Il primo riguarda il conosciuto rallentamento degli iDevice meno recenti, voluto dalla stessa azienda per gestire meglio il consumo di batteria su hardware spremuto per bene. Il secondo interessa più in generale tutti i marchingegni elettronici che montano un processore Intel, AMD o ARM, per via degli exploit denominati Spectre e Meltdown. Per far fronte all’emergenza resa nota dal team Project Zero di Google, i principali produttori (hardware e software) stanno rilasciando fix a riguardo, intesi a chiudere agli occhi di indiscretti i dati conservati nella memoria condivisa durante alcune operazioni di ottimizzazione delle richieste di sistema. Tra questi c’è anche Apple, che con iOS 11.2.2 ha mitigato in particolar modo i rischi dovuti a Spectre.

Cosa succede

Quello che gli esperti di sicurezza paventavano si sta lentamente verificando. All’installazione delle patch su computer, smartphone e tablet, c’è la possibilità che i terminali vadano più lenti, proprio a causa della chiusura dei tre exploit e del non utilizzo della speculative execution, che velocizza le operazioni della CPU. Alcuni ricercatori si sono concentrati sull’iPhone: a seguito di primarie analisi, hanno riscontrato un calo del 41% delle prestazioni del processore A8 a bordo di iPhone 6, su core singole, come in modalità multi-core il rallentamento è pari al 39%.

I test sono stati effettuati su un esemplare di iPhone 6 mentre sui più recenti iPhone 7 e 8 le conseguenze potrebbero essere minori. A quanto pare, non si tratta solo di benchmark a scopo tecnico. Nell’utilizzo quotidiano, l’esperienza più visivamente colpita è quella della navigazione web, dove i browser sembrano soffrire parecchio i siti compilati con moduli HTML5 Parse e DOM, con una diminuzione in media del 50% nella risposta agli utenti.

L'articolo Spectre: il fix riduce del 41% le performance di iPhone 6 proviene da Data Manager Online.