De Meltdown en Spectre beveiligingsproblemen

Op 2 januari kwamen bij ons de eerste berichten binnen over een belangrijk beveiligingsprobleem in processoren. Op 3 januari werden de geruchten steeds sterker en begon steeds meer pers hier over te berichten. Uiteindelijk is in de avond van 3 januari het embargo gebroken en is bekend geworden dat we met twee gerelateerde problemen te maken hebben die nu bekend staan onder de namen Meltdown en Spectre.

Meltdown

Meltdown is een hardwareprobleem dat zorgt dat een besturingssysteem niet zo goed beveiligd is als de bedoeling is. Willekeurige processen kunnen geheimen uit het besturingssysteem lezen. Denk bijvoorbeeld aan wachtwoorden en SSL-sleutels.

Dit probleem is op te lossen met een patch in het besturingssysteem. Patches zijn in de maak voor Linux, Windows en Mac OS. Deze patch heeft gevolgen voor performance. De precieze gevolgen zijn op het moment van schrijven nog niet bekend, maar benchmarks hebben het over 5% tot zelfs wel 30% verlies aan performance.

Spectre

Spectre is een probleem in het ontwerp van processoren. Ook hier mee zijn geheimen te lezen door willekeurige processen. Spectre is wel veel moeilijker te misbruiken dan Meltdown. Spectre is afhankelijk van timing en misbruikt optimalisaties in alle moderne processoren die zorgen voor het speculatief uitvoeren van instructies.

Spectre is zelfs te misbruiken vanuit Javascript in een webbrowser. Echter fabrikanten van webbrouwsers komen met patches die er voor zorgen dat de timing in Javascript niet nauwkeurig genoeg meer is voor misbruik.

Gevolgen voor HostingXS

  • Wij wachten op dit moment op patches van de diverse Linux-besturingssystemen die wij gebruiken.
  • Als eerste zullen wij ons cloudplatform patchen. Dit levert in de meeste gevallen voor virtuele servers geen downtime op.
  • Servers van klanten patchen wij zo snel mogelijk. Door de schaal van dit probleem is het helaas onmogelijk om alle klanten individueel vooraf op de hoogt te stellen over het precieze tijdstip van een reboot.
  • Dit lek is ernstig genoeg om reboots uit te voeren buiten de in de SLA’s afgesproken tijdstippen. We rebooten dus systemen ook overdag.
  • Beide lekken zijn niet te misbruiken zonder een extra lek te hebben. Denk bijvoorbeeld aan een website met daar in een lek dat een aanvaller in staat stelt om willekeurige code uit te voeren op de webserver.

Updates

  • De oorspronkelijke planning van de producenten van besturingssystemen was om op dinsdag 9 januari met een geco√∂rdineerde berichtgeving te komen, en op die dag ook patches uit te brengen. Dit embargo is gebroken door de sterke berichtgeving in de pers over dit probleem. Hierdoor zijn nog niet alle patches gereed. Wij passen ze toe zodra ze beschikbaar zijn.
  • De terugval in performance waar initieel over gesproken werd, lijkt mee te vallen. Er zijn technieken beschikbaar die de terugval minimaliseren.
  • Oorspronkelijk leek het alsof er geen oplossing kon bestaan voor Spectre, echter dit blijkt niet het geval te zijn.

2 reacties op “De Meltdown en Spectre beveiligingsproblemen

  • Zijn emailproblemen hieraan te wijten?


    • Erik Hensema

      Beste Paul,

      Mogelijk dat je kort geen verbinding kunt maken met een server terwijl wij updates uitvoeren. Dit moet na maximaal een minuut of 10 opgelost zijn. Verander in die tijd geen instellingen en pas je wachtwoord niet aan.

      Blijf je langer dan 10 minuten problemen houden, dan kan dit niet te wijten zijn aan spectre of meltdown. Beide zijn beveiligingsproblemen die misbruikt kunnen worden door kwaadwillenden. Ze hebben echter geen invloed op legitiem werkende software.


Reageren is niet mogelijk.