Michael Schwarz ha publicado en su cuenta de twitter un video ejemplificando el robo de contraseñas usando Meltdown. La idea es simplemente estar aprovechando el fallo para leer de la memoria del Kernel y obtener así la información.
update: al parecer el video fue borrado de Youtube. aquí el tweet original:
Using #Meltdown to steal passwords in real time #intelbug #kaiser #kpti /cc @mlqxyz @lavados @StefanMangard @yuvalyarom https://t.co/gX4CxfL1Ax pic.twitter.com/JbEvQSQraP
— Michael Schwarz (@misc0110) January 4, 2018
Por su parte Mozilla ha estado trabajando para mejorar el navegador de forma que Firefox no sea la fuente donde se aprovechen este tipo de ataques, recordemos que un simple JavaScript podría hacerse con información del Kernel en un sistema operativo no parchado.
Linux (el kernel) ya tiene sus parches y es cosa de que cada diestro envíe sus actualizaciones, mientras que Microsoft ha lanzado una actualización de seguridad urgente, por lo que se recomienda actualizar, desafortunadamente la actualización es solo para usuarios de Windows 10. Chrome OS 3.18 con el kernel 4.4 ya está protegido contra Meltdown.
Android?
De acuerdo a Google, una actualización será lanzada el día 5 de Enero que incluye medidas para “mitigar” las fallas de seguridad y proteger el teléfono. Si tienes un teléfono “de Google” como el Nexus 5X o Nexus 6P solo necesitarás instalar la actualización. En el caso de los Pixel será mas fácil, la actualización se instalará sola.
En el caso de otros fabricantes… pues buena suerte, teóricamente debería ser lo mismo, pero como de costumbre los fabricantes y los carriers tienen que probar y autorizar estas actualizaciones, lo que retrasa su llegada (si es que llega).
Chrome
Google Chrome lanzará una actualización el día 23 de Enero que incluye medidas para evitar este fallo, algo llamado Site Isolation. En lugar de agrupar varios sitios en un solo proceso (ahorrando RAM y CPU) cada sitio tendrá su propio espacio (deja-vu) de RAM y CPU, aislando cada sitio de los demás se evita que un sitio pueda buscar información en otro.
Para activar Site Isolation en Windows, Linux y Mac:
- En el navegador entra en chrome://flags/#enable-site-per-process
- Busca por la opción “Strict Site Isolation” y haz click en “Enable”/”Activar”
- Click en el botón de “Relanzar” el navegador, o ciérralo y vuélvelo a abrir para aplicar los cambios.
Entonces como me protejo?
- Instalar todas las actualizaciones en nuestro Sistema Operativo, bien sea Windows, Linux o Mac.
- En el caso del navegador, instalar y usar Firefox 57 o superior y en el caso de Chrome aplicar Site Isolation.
- Buscar actualizaciones de Firmware para el CPU
3,375 total views, 4 views today
