I processori che utilizziamo non sono sicuri

Da venti anni le architetture dei computer che utilizziamo hanno enormi buchi di sicurezza. Solo quest’anno ce ne siamo accorti e ora aspettiamo che una nuova generazione di processori arrivi sul mercato.

Quando il 3 gennaio del 2018 i ricercatori di Project Zero di Google, di Cyberus Technology e dell’Università Tecnica di Graz hanno pubblicato le evidenze delle due vulnerabilità di cui sono affetti la gran parte dei moderni processori utilizzati negli ultimi 20 anni, è come se qualcuno avesse comunicato di aver scoperto il modo di poter leggere il pensiero con una specie di macchina della verità in grado di mettere a nudo le persone infrangendo la riservatezza di tutti. L’impatto è stato globale e un senso di debolezza, insicurezza e incertezza ha inevitabilmente messo a dura prova sia le grandi multinazionali dell’informatica che gli utenti finali.

Alla prima vulnerabilità è stato dato il nome Meltdown. Si basa su meccanismi relativamente semplici e lascia stupiti come sia stato possibile che non fosse emersa in tanti anni.

Nella sfrenata corsa per rendere i processori sempre più veloci e performanti le grandi multinazionali del silicio hanno tralasciato di curare in modo adeguato le problematiche di sicurezza nelle architetture dei processori.

Per la verità da tempo diversi lavori avevano mostrato potenziali criticità nelle micro-architetture dei processori, ma queste avvisaglie non sembrano aver indotto i vertici di grande aziende come la Intel a prenderle in seria considerazione. Tuttavia proprio uno di questi lavori, denominato KASLR, ha permesso di individuare una immediata contromisura per Meltdown. Ne è seguita una febbrile corsa per rendere disponibili le patch e aggiornare praticamente tutti i sistemi operativi (Windows, Linux, MacOS, Android, iOS).

Ciò ha tranquillizzato momentaneamente gli animi, ma solo parzialmente perché la seconda vulnerabilità denominata Spectre è molto più difficile da contrastare. I confini di Spectre appaiono indefiniti perché si presenta non come una singola debolezza ma come una classe di possibili vulnerabilità, non tutte efficacemente risolvibili con patch software. Il problema potrà essere radicalmente risolto solo rivedendo le architetture hardware dei processori. Qui oltre ai processori di Intel ed ARM sono coinvolti, almeno in parte, anche i processori AMD che erano stati dichiarati immuni dalla vulnerabilità Meltdown.

Spectre e Meltdown sono oggi al centro dell’attenzione. Tuttavia molti operatori documentano regolarmente altre vulnerabilità, alcune delle quali sembrano avere un impatto forse anche più immediato e dannoso. Di contro proliferano articoli e discussioni che alimentano un circolo, non sempre virtuoso, con allarmi e informazioni tecniche spesso poco pertinenti, nel quale chi deve garantire la sicurezza dei sistemi informativi ha sempre più difficoltà ad orientarsi.

Nel documento allegato Antonio Chello, fondatore ed amministratore di Bit4id, ha raccolto l’essenziale per mettere a fuoco gli aspetti critici delle architetture multi-core dei processori e i meccanismi di base che sono causa delle problematiche di sicurezza.

Il documento è rivolto a persone in possesso di un minimo di competenza tecnica informatica, ma descrive in modo semplice e facilmente comprensibile le vulnerabilità Meltdown e Spectre che sono analizzate in dettaglio rispettivamente nei capitoli 3 e 4.

Queste tematiche sono utili per approfondire e comprendere le novità architetturali dei processori che stanno entrando sul mercato con l’obiettivo di porre rimedio ai buchi di sicurezza e che sono oggi al centro dell’attenzione di progettisti ed esperti.

“Le architetture dei processori multi-core
e le vulnerabilità Meltdown e Spectre”
di Antonio Chello

Scarica il documento