Microsoft e Intel ancora nei guai per Meltdown e Spectre

Apr 04, 2018 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 1

L’azienda di Satya Nadella pubblica la terza (terza!) correzione per la patch di Windows. Intel blocca gli aggiornamenti per 230 processori.

Ci avevano detto che sarebbe stata una faccenda complicata, ma la vicenda legata alle vulnerabilità Spectre e Meltdown sta raggiungendo sviluppi degni di una sit-com anni ’80.

Vero è che le vulnerabilità individuate all’inizio dell’anno riguardano aspetti “profondi” del funzionamento delle moderne CPU, ma a guardare ciò che sta succedendo nel mondo dell’IT a seguito della pubblicazione delle vulnerabilità viene da chiedersi se tutti non potessero fare un respiro profondo prima di buttarsi in una corsa all’aggiornamento che ormai rasenta il comico.

Partiamo da Microsoft. L’azienda di Redmond ha pubblicato gli aggiornamenti per correggere Meltdown a tempo di record (anche se con qualche complicazione di troppo) portando tutti a pensare che la falla di sicurezza che affligge le sole CPU di Intel fosse tutto sommato la più facile da contrastare.

Tutto sbagliato. A distanza di poche settimane (la prima patch è stata rilasciata a gennaio) si scopre che gli aggiornamenti (sia quello di gennaio, sia quello di febbraio) tappavano un buco ma aprivano una nuova voragine (CVE-2018-1038) in Windows 7 e Windows Server 2008 R2, scardinando uno dei sistemi di sicurezza che dovrebbe “contenere” le informazioni sensibili nell’area protetta della CPU.

Ora viene fuori non solo che l’aggiornamento di marzo (KB4088878) non aveva risolto del tutto il problema, ma che anche il seguente (KB4100480, realizzato appositamente per correggere il precedente) ha lasciato dei “buchi” e, nel dettaglio, non potrebbe essere installato attraverso Windows Server Update Services.

Diciamo che la frase “Installando questo aggiornamento fornito da Microsoft sarà possibile proteggere il sistema” era un po’ ottimistica.

Microsoft ora ha annunciato un ulteriore patch (prevista a giorni) che dovrebbe mettere fine alla saga. E speriamo che la quarta volta sia quella buona…

Dalle parti di Intel, però, le cose non vanno molto meglio. Dopo le polemiche legate al presunto calo di prestazioni delle sue CPU e al litigio con Linus Torvalds sulla via da seguire per proteggere i processori dagli attacchi basati su Spectre, sembrava che le cose si avviassero a una soluzione, grazie anche all’aiuto di Microsoft nella distribuzione degli aggiornamenti del Microcode che consentirebbero di mitigare il rischio di attacchi basati su Spectre.

L’idea di base, insomma, era che Intel fosse in grado di rilasciare aggiornamenti del firmware che risolvessero il problema per i processori già in circolazione e lavorasse per eliminare il bug CVE-2017-5715 in quelli di prossima produzione.

L’ultimo documento-guida pubblicato da Intel, però, disattende le aspettative. Il produttore, infatti, avrebbe bloccato lo sviluppo degli aggiornamenti per alcune famiglie di CPU.

Le motivazioni? Alcuni dei processori in questione, a quanto si legge, hanno un Microcode con caratteristiche tali da impedire l’implementazione delle correzioni. Altri hanno un livello di supporto “limitato”, che rende problematico l’aggiornamento.

L’ultimo caso, infine, è quello che sfonda decisamente la barriera del ridicolo e lo citiamo letteralmente: “Sulla base di quanto riportato dagli utenti, molti di questi prodotti sono stati implementati come “sistemi chiusi” e di conseguenza ci si aspetta che siano difficilmente esposti ad attacchi basati su queste vulnerabilità”.

La giustificazione inserita nell’introduzione del documento-guida è di quelle che lasciano davvero perplessi.

Il ragionamento, qui, è il seguente: visto che Spectre v.2 può essere sfruttato solo nel caso in cui un computer è stato compromesso da un malware, se il computer in questione non rischia di essere infettato non serve realizzare una patch.

Andando a guardare l’elenco dei processori per cui è stato bloccato lo sviluppo degli aggiornamenti si nota infatti che molti di questi sono CPU dedicati al settore enterprise (a partire dagli Xeon, ma ci sono dentro anche molti Celeron un po’ datati) che molto probabilmente “girano” su sistemi che non sono esposti direttamente su Internet. Di qui a considerarli “sicuri”, però, ne passa parecchio.