Spectre e Meltdown, il 2018 inizia nel modo peggiore per la sicurezza informatica

Il settore dell'informatica e dell'elettronica è in subbuglio: due nuove vulnerabilità, scoperte qualche mese fa ma rese pubbliche in questi giorni, stanno scuotendo il settore dalle fondamenta. Meltdown e Spectre – questi i nomi delle vulnerabilità – vanno infatti a colpire dei difetti di progettazione dell'hardware, non sempre risolvibili e a volte a caro prezzo.

Meltdown

Meltdown è la vulnerabilità scoperta nei processori Intel di cui abbiamo avuto modo di parlare già negli scorsi giorni. Un errore di progettazione nella gestione della memoria virtuale fa sì che sia possibile accedere all'area di memoria dedicata al kernel, di fatto aprendo le porte ad attacchi che permettono di leggere dati di ogni tipo in memoria.

Oltre ai processori Intel, uniche vittime nel panorama x86, anche alcune versioni dell'archiettura ARM ne soffrono: anche i Cortex-A15, Cortex-A57 e Cortex-A72 infatti sono vittima di questa vulnerabilità. C'è una piccola differenza, nel senso che, al posto dei segmenti di memoria riservati, sono i registri protetti a essere accessibili dai processi utente.

La buona notizia è, però, che Meltdown è risolvibile via software, sebbene con un decremento a volte sostanziale delle prestazioni. Tutte le principali piattaforme (Linux, Windows, macOS) hanno già ricevuto o stanno per ricevere un aggiornamento che mitiga il problema.

Si tratta di un bel grattacapo per Intel, che è stata costretta a correre velocemente ai ripari. L'azienda ha cercato di difendersi affermando che "non c'è un bug nei processori e tutto funziona come previsto": è vero, ma il problema sta proprio nel fatto che il funzionamento regolare del processore espone i dati ad attacchi e la difesa non poggia quindi su solide basi. L'azienda dovrà quindi riprogettare i propri processori per tenere conto di questa vulnerabilità, mentre i possessori dei processori prodotti finora dovranno convivere con un calo delle prestazioni.

Spectre

Discorso differente, invece, riguarda Spectre. Si tratta di una vulnerabilità simile a Meltdown, ma potenzialmente molto più grave: Spectre non è infatti risolvibile con una patch o con un intervento software. Il problema è simile a quello da cui deriva Meltdown, ma coinvolge tutti i processi in esecuzione sul sistema e non solo il kernel.

Il problema nasce con l'esecuzione fuori ordine (out-of-order execution) delle istruzioni: l'esecuzione out-of-order prevede che il processore faccia delle scommesse su quale sarà il codice che dovrà andare a eseguire e lo esegua. Il vantaggio teorico di questo approccio sta nel fatto che l'alternativa è che il processore non faccia nulla, in attesa che le istruzioni vengano caricate dalla memoria. L'obiettivo è infatti quello di tenere la pipeline sempre piena in maniera tale da ottimizzare l'uso del processore e ottenere le migliori prestazioni possibili. Anche se il processore perde la sua scommessa ed esegue istruzioni sbagliate, non c'è – almeno teoricamente – alcun impatto negativo.
Quello che si è scoperto, però, è che questo non è vero: se l'impatto negativo non c'è dal punto di vista prestazionale, c'è dal punto di vista della sicurezza. Il processore, infatti, in buona sostanza non esegue i dovuti controlli di sicurezza sul codice che va a eseguire e non elimina ogni traccia di quanto prodotto da una scommessa sbagliata. Questo consente, con un processo sufficientemente complesso, di leggere informazioni nei segmenti di memoria di altri processi o di ricavare informazioni dalla memoria del processo stesso.

Se il primo caso apre a scenari abbastanza facili da immaginare, come la lettura di password o chiavi di cifratura nella memoria di altri processi, il secondo è particolarmente significativo per quei processi che eseguono codice non sempre controllato, come i browser. L'esempio principe è proprio quello dei browser: a causa di Spectre, un ipotetico script in JavaScript potrebbe avere accesso ai cookie di login di altri siti. Va da sé che questo sia causa di problemi potenzialmente enormi.

Questo aspetto è ancora più accentuato nel caso delle virtual machine: del codice eseguito in una macchina ospite potrebbe infatti arrivare a leggere la memoria della macchina ospitante, di fatto accedendo a informazioni presenti sia sulla macchina fisica che su altre macchine ospiti. Quest'ultimo aspetto è particolarmente preoccupante per i fornitori di servizi di hosting o di cloud computing, che dovranno essere particolarmente proattivi con le contromisure software.

Spectre e Meltdown: le soluzioni

Proprio le contromisure sono l'aspetto più significativo di Spectre, perché fondamentalmente sono poche e non centralizzate. Oltre a correzioni nei sistemi operativi e nel microcodice dei processori, infatti, la maggioranza delle correzioni dovranno arrivare nei singoli software, che dovranno essere ricompilati per tenere in conto la possibilità di attacco tramite Spectre. Non si tratta, però, di soluzioni definitive che eliminano il problema, ma di tentativi di arginare il problema. Tutti i processori sono coinvolti: Intel, AMD e ARM sono impegnate a sviluppare delle pezze. AMD afferma che i suoi processori sono immuni alla lettura dei dati dal kernel e sono vulnerabili in alcuni casi specifici alla lettura di dati nella memoria dei processi.

Quello che colpisce è il fatto che uno dei più diffusi concetti nella progettazione delle architetture dei processori si sia ora rivelata causa di grossi problemi di sicurezza. Tutti i processori x86 degli ultimi 20 anni – dopo il primo Pentium e a esclusione degli Itanium e degli Atom pre-2003) – sono vulnerabili a questo attacco, segno che il problema è di tipo strutturale e progettuale. L'unica vera soluzione a questo problema sarà un cambiamento nelle architetture, ma il fatto che non sia realmente possibile eliminare del tutto il rischio lascia miliardi di dispositivi potenzialmente a rischio.

Sono al momento in fase di rilascio aggiornamenti per Windows, macOS e Linux, con i principali browser (Chrome, Firefox, Edge, Safari) che seguono a ruota e stanno ricevendo o riceveranno aggiornamenti. Entro la fine della prossima settimana, Intel stima che il 90% dei dispositivi con processori degli ultimi 5 anni saranno protetti. È quindi importante tenere monitorati i messaggi che propongono aggiornamenti ed eseguirli. Intel e AMD proporranno aggiornamenti del microcodice da installare tramite aggiornamenti appositi.
L'aspetto positivo – per così dire – di Spectre è che sembra attualmente essere molto difficile da sfruttare. Non sembra possibile, stando alle conoscenze attuali, portare avanti attacchi su larga scala che minino la sicurezza dei nostri sistemi alle fondamenta, e l'eventualità di essere colpiti in quanto singoli utenti appare ora ridotta.

Ciò, però, non deve trarre in inganno. Non si tratta di problemi di importanza secondaria o di eventualità remote che possono essere trascurate; in questo caso, l'allarmismo sembra giustificato dalla gravità dei problemi. Installare gli aggiornamenti che mitigano le problematiche è essenziale per poter utilizzare senza preoccupazioni (o quasi) prodotti collegati alla Rete, poiché il rischio è quello di lasciare accesso a informazioni riservate come dati bancari, password e così via. Rischi concreti, reali e che possono coinvolgere ciascuno di noi. Così come le porte blindate non possono garantire al 100% che i ladri non entrino in casa, così anche le patch sviluppate non possono garantire la totale immunità da questi problemi; tuttavia, sapendo che i ladri potrebbero entrare in casa, chi lascerebbe solo una banale porta di legno – per di più aperta – a guardia della propria casa?

Fonte

Il fatto descritto ha generato uno dei dibattiti in rete più vorticosi degli ultimi tempi.

A stampa specializzata e commentatori – troppo spesso nerd tecno entusiasti a seno unico – ovviamente, "sfugge" per così dire, che questa rivelazione, unita al resto dei recenti casi legati al mondo della sicurezza informatica da Wikileaks a seguire, mostrano come l'universo tecnologico sia strumento e terreno di scontro di una guerra per bande ad oggi ancora dominata dagli USA – in cui sono basati tutti i grandi del settore – che l'anno concepita a uso e consumo dell'espansione ed egemonia del proprio imperialismo.

Gli unici ad averlo compreso, a livello sistemico paiono essere i cinesi, alle nostre latitudini il massimo che si riesce a fare, è speculare, seppur con ragione sui furbetti dell'information technologies...

Baikal, la Russia al lavoro sul processore di Stato

La Russia, secondo i media del paese, starebbe pensando di sbattere la porta in faccia a Intel e AMD in favore di un "processore di Stato" basato su architettura ARM. Tre aziende nelle mani del Cremlino (T-Platforms, Rostec e Rosnano) starebbero unendo le forze per sviluppare "Baikal", un chip a 64 bit ARM Cortex-A57 modificato, dotato di almeno otto core a 2 GHz (o più).

Baikal, che dovrebbe essere realizzato a 28 nanometri, sarà poi fornito alle autorità e alle aziende detenute dallo Stato, per essere usato all'interno di PC e server. L'agenzia di stampa ufficiale russa ITR-TASS ha confermato che Baikal "sarà installato sui computer governativi e nelle aziende controllate, che acquistano 700.000 computer all'anno per un valore di 500 milioni di dollari e 300.000 server per una spesa di 800 milioni".

La Russia non ha commentato i motivi di questa decisione, ma la volontà di Vladimir Putin di rendere la propria nazione "libera" dalle tecnologie straniere quanto più possibile è nota. Il suo impegno verso la creazione di una Silicon Valley russa va avanti ormai da diversi anni. Lo scandalo NSA, che ha portato alla luce il coinvolgimento di numerose aziende statunitensi in un'operazione di spionaggio globale probabilmente non ha fatto altro che accelerare i piani di Putin.

D'altronde chi assicura al presidente russo che AMD e Intel non abbiano inserito, sotto richiesta del governo americano, qualche backdoor all'interno dei propri processori? Sono congetture, ma visto quanto è trapelato nei mesi scorsi un po' di sano dubbio sulla moralità delle aziende statunitensi è più che lecito. L'architettura ARM, per quanto sia pensata da un'azienda inglese, è modificabile, quindi i progettisti russi possono rivoltarla come un calzino a loro piacimento.

Questo a sua volta potrebbe consentire allo stesso governo russo d'inserire delle backdoor nei microchip per controllare più da vicino la propria rete di computer statali e non. Insomma, se la motivazione ufficiale potrebbe essere quella di risparmiare e sganciarsi dalle aziende USA, quella ufficiosa potrebbe essere ben diversa e non tanto migliore del male che si cerca di estirpare.

Fonte

A parte il finale della notizia che lascia un po' il tempo che trova (per non dire che è una palese cazzata in quanto non si capisce per quale motivo lo spionaggio russo fatto in casa propria dovrebbe essere meno accettabile di quello statunitense eseguito su scala planetaria) questa è l'ennesima dimostrazione che la competizione tra blocchi geopolitici si fa sempre più serrata e che il ritardo informatico accumulato dal resto del mondo nei confronti degli Stati Uniti viene finalmente compreso da qualcuno e percepito per ciò che realmente è: un deficit enorme a livello politico e militare.

Quarant'anni di CPU.

Chi è Federico Faggin

Lo SMAU di Milano si è chiuso ormai da un po', ma non ha mancato di riservare alcune sorprese inaspettate. In un periodo in cui la crisi è al centro di ogni dibattito abbiamo assistito a molta voglia di fare, per poter uscire da una situazione davvero grave che coinvolge un po' tutti gli ambiti di mercato. Fra le sorprese più gradite, però, ne spicca una in particolare, ovvero la presenza del fisico Federico Faggin, in occasione del 40esimo compleanno del processore per come è inteso oggi.
Un personaggio che forse non tutti conoscono, in quanto "cervello in fuga" già nel 1970 verso la California, dopo un percorso di studi di perito elettronico a Vicenza e la laurea in fisica all'Università di Padova. Nell'assolata Silicon Valley, fra le mura di una tutto sommato piccola realtà del tempo chiamata Intel,  Federico Faggin inventa qualcosa che entrerà nella storia. Stiamo parlando del microprocessore, che non tutti sanno avere un cognome italiano.
Stiamo parlando degli albori dell'informatica di massa, non per forza legata al personal computer per come lo intendiamo oggi. All'epoca Intel era incentrata più che altro sulla produzione di memorie, alle prese però con un problema nuovo: realizzare un chip in grado di accentrare alcune delle operazioni necessarie alla realizzazione di una calcolatrice per la giapponese Busincom. A capo del progetto fu messo proprio Faggin, che mise le basi teoriche e pratiche per la realizzazione del random logic design con tecnologia silicon gate.

Nacque allora il primo processore della storia, per come li intendiamo ora, ovvero il modello 4004. Qualche numero? 108KHz di frequenza, 2300 transistor, processo produttivo a 10 micron (ovvero 10.000 nanometri). Evoluzione tecnologica e progressi scientifici hanno migliorato il progetto di base, ma non nella sua filosofia: ancora oggi quasi il 95% dei processori sono realizzati con la Silicon Gate Technology, ideata all'epoca da Federico Faggin. Fu l'inizio dell'escalation a cui assistiamo ancora ora: dopo il 4004 venne il processore 8008, per poi passare all'8080, la cui architettura è stata interamente ideata dal nostro connazionale.

Dall'8080 venne poi creato il modello 8086, che inizia diventare familiare agli appassionati in quanto base della linea di processori moderni. Sempre di Faggin è anche la prima memoria statica RAM, realizzata sempre per Intel nel 1973. L'esperienza in Intel finì nel 1974, anno in cui decise di mettersi in proprio fondando la ZiLOG, incentrata sulla realizzazione di microprocessori. Questa azienda, che dice poco o nulla alle nuove generazioni, ha dato i natali al progetto di CPU Z80, visto nei primi PC Sinclair e utilizzato poi in svariati campi, tanto da essere in assoluto uno delle famiglie prodotto più utilizzate.
Nel 1980 se ne andò dalla ZiLOG per fondare un'altra azienda, Cygnet Technologies, per poi fondare nel 1986, insieme ad alcuni soci, la Synaptics. Grazie a questa azienda sono state messe le basi per la diffusione di massa di una componente che appare comune, ovvero il touchpad, ma che all'epoca era una vera e propria rivoluzione. Passano molti anni e lo ritroviamo amministratore delegato della Foveon, conosciuta per la realizzazione di sensori alternativi come tecnologia a quelli più diffusi oggi, di cui abbiamo parlato alcune volte anche sulle nostre pagine.
Una carriera brillante e pluri-decennale, fino a quando Federico Faggin decide di cambiare tutto ancora una volta. Nel 2010, all'età di quasi settant'anni, si ritira da tutti i consigli di amministrazione. Ora della pensione? No, di un altro progetto, molto più ambizioso.

L'importanza della consapevolezza

L'incontro allo SMAU si è tenuto in una sala dedicata, dove Nicola Procaccio, PR Specialyst di Intel, ha intervistato Federico Faggin, facendo emergere interessanti informazioni. Il fisico ha raccontato l'emozione, in quella notte del gennaio 1971, quando arrivarono le prime "fette" di silicio. Finite le prove, alle quattro del mattino, tutto funzionava a dovere. Pur consapevole di essere stato di fronte a una svolta epocale per la tecnologia, mai avrebbe pensato all'impatto che quella scoperta avrebbe avuto nel mondo della tecnologia  nella vita di tutti i giorni in genere.

In quei tempi  nemmeno i libri di fantascienza parlavano i telefoni cellulari o internet, motivo per cui gli ambiti di utilizzo dei primi processori si ipotizzava fossero solo computer per ingegneri, calcolatori o poco altro. La storia ha poi mostrato come quella scoperta fosse in realtà ben più che tutto questo, andando a fondare una rivoluzione informatica incentrata sul computer. Ma arriviamo ad oggi e soprattutto al futuro.
Federico Faggin, dopo essersi ritirato da ogni attività aziendale, ha fondato la Federico and Elvia Faggin Foundation. Lo scopo è andare oltre, mettere le basi ai computer del futuro, ma non solo. La fondazione si muove infatti fra filosofia, fisiologia e psicologia, andando alla ricerca dei meccanismi su cui si basa la consapevolezza umana. Sembra un azzardo associare discipline così distanti come informatica e psicologia ma la sfida è proprio quella, poiché molti dei meccanismi del nostro cervello rimangono ancora oscuri e poco studiati.
Un computer, per quanto potente, non fa altro che svolgere compiti per cui è programmato. Non ha esperienza cognitiva, non ha fantasia o intuizione. Citando Faggin, il computer cognitivo (probabilmente quantico) è in fieri, rimane un progetto sulla carta e molto lontano nel tempo, se mai ci sarà. Ma per mettere le basi a qualcosa che vada veramente oltre, occorre studiare il più possibile il cervello umano, capire cosa sta alla base della consapevolezza, alla coscienza di sé. L'uomo è molto di più di una macchina: consapevolezza , creatività, intuizione, volontà e intenzione sono tutte cose che una macchina, anche la più evoluta, non può avere.
Ecco quindi che la fondazione ha dato il via a ricerche a tutto campo nello studio della consapevolezza, un vero e proprio percorso all'interno del cervello umano, uscendo dal freddo ambito del silicio per approdare in più affascinanti ma estremamente complessi ambiti.
Nel corso degli anni Federico Faggin è stato insignito di prestigiosi riconoscimenti, fra i quali quattro lauree honoris causa, la presenza nella National Inventors Hall of Fame e in tempi recenti della National Medal of Technology and Innovation da parte del Presidente degli Stati Uniti Barack Obama, per citarne solo alcuni. A Federico Faggin i nostri complimenti e un augurio per la sua nuova sfida, la più difficile di sempre. Di seguito un video ufficiale in cui Faggin parla del primo processore del 1971.

Fonte.

Un po' di orgoglio italiano ci vuole, soprattutto di questi tempi, dove ci facciamo prendere per il culo da chiunque.