El mundo de antivirus

lunes 15 de enero de 2018

Un conjunto de noticias navideñas sobre las vulnerabilidades encontradas en varios procesadores causó bastante pánico. Los ingenieros informáticos de todo el mundo tuvieron que analizar las vulnerabilidades durante las fiestas y buscar los modos de protegerse. Pero ¿Qué fue detectado?

En realidad, fueron detectadas tres vulnerabilidades: una fue llamada Meltdown (CVE-2017-5754), y las dos otras recibieron un nombre común Spectre (CVE-2017-5753 и CVE-2017-5715). Para simplificar nuestra tarea, vamos a analizar solo la primera de las tres.

En general, es lógico que en un equipo puedan trabajar usuarios con varios permisos simultáneamente. Y cada uno de ellos puede iniciar aplicaciones con varios permisos de acceso. Así mismo, los datos se procesan en uno (o varios) procesadores de tal modo que un programa con permisos limitados no tiene acceso a los datos si estos permisos no son suficientes. Hasta ahora en SO o en programas de vez en cuando se detectaban vulnerabilidades que permitían mejorar los privilegios para acceder a los datos cerrados, pero no se sabía nada sobre las vulnerabilidades de este tipo a nivel de procesadores.

Esta situación recuerda un inicio de programas en máquinas virtuales, cuando cada una funciona con su memoria que se dedica en caso necesario. Así mismo, el control de los datos de cada programa se realiza a nivel hardware, para que los mismos no se cruzan. Y todo estaría bien sin la “magia”.

Supongamos que Vd. va por la calle. Para llegar de punto А a punto B, Vd. debe hacer N pasos. Vd. realiza la misma secuencia de acciones – los pasos. Así mismo, se puede pronosticar que en caso de hacer un paso de punto А1 a punto А2, es muy probable que Vd. haga pasos similares de А2 a А3, de А3 a А4 etc. Y en caso de poder hacer todos los pasos en uno, Vd. podría estar en el punto B enseguida.

Así funcionan los procesadores modernos. El cálculo de cada paso del programa es un proceso largo y bastante caro. Así mismo, la mayoría de las acciones de programas son lineales y no se dividen en varias operaciones paralelas. Si los comandos del programa se ejecutaran paso por paso, todo funcionaría muy lento porque en este caso el procesador no se usaría completamente. Por lo tanto, el procesador separa el código ejecutable en partes y procesa estas partes de forma paralela, ejecuta tanto el código que debe ejecutarse en el momento como el código que debe ejecutarse más tarde. En lenguaje de la ciencia esto se llama la función de realización especulativa de instrucciones y predicciones de bifurcaciones.

Por ejemplo:

Vamos a analizar este caso. Al calcular el paso siguiente, el procesador no sabe qué datos estarán disponibles para el programa al iniciar este paso, por lo tanto, supone que estarán disponibles los datos de cualquier tipo – así mismo, los datos a los cuales el programa en realidad no tiene acceso. Vamos a ver un ejemplo muy simple. El programa declara un conjunto de datos, por ejemplo, de 200 elementos y sigue realizando las mismas acciones con este conjunto durante mucho tiempo. El procesador empieza a realizar estos pasos con antelación. Y en este momento en el código del programa (aún no ejecutado) se registra una solicitud de datos fuera del conjunto (no todos los lenguajes de programación automáticamente prohíben salir del conjunto, esta acción puede ser legítima). Por lo tanto, el procesador solicitará los datos que en principio no estaban disponibles para el programa.

Pero las predicciones no se cumplen, y no recibimos los datos esperados, sino otros datos para realizar el paso ya calculado. No es ningún problema, los cálculos se restablecen y vuelven a realizarse. Los datos recibidos que no deben estar disponibles, no se entregan a programa. Y todo sería seguro si no fuera por otra tecnología de aceleración– caché.

Es decir, los resultados del cálculo erróneo están en la caché y no se eliminan una vez realizado el cálculo erróneo. La tarea de un malintencionado es sacar estos datos de la caché. El problema es que el programa no puede leer la caché directamente. Pero por el periodo de la respuesta se puede detectar si el área solicitada ha sido leída por el procesador anteriormente. Si es así, el periodo de respuesta es inferior.

Como sabemos, en los programas hay datos y enlaces a los mismos. Un enlace es, por ejemplo, una dirección en la cual uno debe solicitar la información y los datos es la información que se entrega por esta solicitud. Por supuesto, si los datos se solicitaban anteriormente, se encuentran más rápido.

Para más información, consulte los enlaces https://geektimes.ru/post/297029 y https://geektimes.ru/post/297031.