Opdatering 17:42 ET: Apple offentliggjorde en supportside med instruktioner om, hvordan du deaktiverer hyper-threading for fuldt ud at beskytte din Mac mod ZombieLoad, men advarede om, at dette kan reducere ydeevnen med op til 40%. For mere information, læs vores guide til, hvordan du deaktiverer funktionen.
Der er en god chance for, at din bærbare computer drives af en Intel CPU. I så fald skal du opdatere din computer med det samme, efter at en klasse med sårbarheder blev opdaget, der gør det muligt for angribere at stjæle data direkte fra din processor.
Den såkaldte ZombieLoad-fejl og tre relaterede sårbarheder blev opdaget af nogle af de samme forskere, der bragte de kritiske Spectre- og Meltdown-fejl frem i rampelyset, og den deler mange ligheder med disse fejl.
ZombieLoad og dets slægtninge påvirker alle Intel -processorer, der er lavet siden 2011, hvilket betyder, at alle MacBooks, et stort flertal af Windows -pc'er, de fleste Linux -servere og endda mange Chromebooks er i trådkorset. Fejlene kan endda bruges på virtuelle maskiner i skyen. Men AMD og ARM -chips ser ikke ud til at være påvirket af disse seneste fejl.
Kredit: Intel
Intel, der kalder dette sæt af fejl Microarchitectural Data Sampling, eller MDS, siger, at udvalgte 8. og 9. generations CPU'er allerede er beskyttet mod fejlen, og at alle fremtidige CPU'er vil omfatte hardware -afbødning. (Forskerne, der opdagede fejlene, er uenige med Intel og insisterer på, at disse chips stadig er påvirket.)
"Microarchitectural Data Sampling (MDS) er allerede behandlet på hardwareniveau i mange af vores nylige 8. og 9. generations Intel® Core ™ -processorer samt 2. generations Intel® Xeon® skalerbare processorfamilie," sagde Intel i en officiel erklæring .
Sådan fungerer angrebene
Ligesom Spectre, Meltdown og flere andre fejl opdaget siden, udnytter disse fire nye forskellige angreb-kaldet ZombieLoad, Fallout, RIDL og Store-to-Leak Forwarding-svagheder i en meget udbredt funktion kaldet "spekulativ henrettelse", som bruges til at hjælpe en processor med at forudsige, hvad en app eller et program skal bruge næste gang for at forbedre ydeevnen.
Processoren spekulerer eller forsøger at gætte, hvilke anmodninger om operationer den vil modtage i den nærmeste fremtid (dvs. de næste par millisekunder). Processoren udfører eller udfører disse operationer, før de anmodes om det for at spare tid, når anmodningerne faktisk foretages.
Problemet er, at ved at udføre operationer, før de faktisk er nødvendige, sætter CPU'erne resultaterne af disse operationer-dvs. data-i deres egne korttidshukommelsescacher. På forskellige måder giver Spectre, Meltdown og disse seneste fire fejl alle angribere mulighed for at læse disse data direkte fra processorens hukommelsescacher. Der er en teknisk opdeling af de fire nye angreb her.
En alarmerende proof-of-concept-video viser, hvordan ZombieLoad-udnyttelsen kan udføres for at se, hvilke websteder en person ser i realtid. Sårbarhederne åbner også døren for, at angribere kan finde adgangskoder, følsomme dokumenter og krypteringsnøgler direkte fra en CPU.
"Det er lidt som om vi behandler CPU'en som et netværk af komponenter, og vi aflytter i bund og grund trafikken mellem dem," siger Cristiano Giuffrida, forsker ved Vrije Universiteit Amsterdam, der var en del af holdene, der opdagede MDS -angrebene, til Wired. "Vi hører alt, hvad disse komponenter udveksler."
Kredit: Michael Schwartz/Twitter
Opdater lige nu
Der er nogle gode nyheder. Intel, Apple, Google og Microsoft har allerede udstedt patches for at rette fejlene. Så har mange producenter af Linux -distributioner. Men du er ikke ude af fare, før du har opdateret alle dine Intel-baserede enheder og deres operativsystemer, som vi stærkt anbefaler at gøre med det samme. Læs vores guide til, hvordan du søger efter opdateringer på din Mac, eller følg disse trin for at opdatere din Windows 10 -pc.
Intel indrømmede, at de seneste sikkerhedsrettelser vil påvirke CPU-ydelsen med op til 3% på forbrugerenheder og op til 9% på datacentermaskiner, og Google deaktiverer hyper-threading (en metode, der deler kerner for at øge ydeevnen) i Chrome OS 74 for at afbøde sikkerhedsrisici. Men lad det ikke afholde dig fra at tvinge opdateringen manuelt.
Apple offentliggjorde en supportside, der forklarede, at den eneste måde at fuldstændigt afhjælpe fejlen er at deaktivere hyper-threading, men at du ved at gøre det risikerer at reducere systemydelsen med svimlende 40%ifølge interne test. De fleste mennesker behøver ikke at tage sådanne ekstreme foranstaltninger for at beskytte deres computere, men visse risikobrugere, som f.eks. Statsansatte og forretningsledere, vil måske tage forholdsreglerne. Hvis du falder ind i disse grupper eller ønsker ekstra tryghed, kan du læse vores guide til, hvordan du deaktiverer hyper-threading på macOS (til Mojave, High Sierra og Sierra).
Bundlinie
Desværre mener forskere, at sårbarheder i forbindelse med spekulativ udførelse fortsat vil dukke op langt ud i fremtiden. Vi kan kun krydse fingre for, at disse fejl hurtigt bliver lappet, men når de er det, er det op til dig at sikre, at dine enheder alle er blevet opdateret til de nyeste og mest sikre versioner.
- Meltdown and Specter: Sådan beskyttes din pc, Mac og telefon
- Hvad er en TPM? Hvordan denne chip kan beskytte dine data
- 9 tips til at forblive sikre på offentlig Wi-Fi