<div class="at-above-post addthis_tool" data-url="https://cybersecurity-admin.startupitalia.eu/56357-20180105-meltdown-spectre-guida-pratica-agli-aggiornamenti"></div><p>Aggiornare: <strong>bisogna aggiornare per stare più tranquilli</strong>. Questo è il riassunto di quanto vi abbiamo raccontato ieri, ed è un fattore da non sottovalutare in questa vicenda Meltdown-Spectre: le vulnerabilità emerse sono serie, molto serie, e dunque occorre provvedere in modo tempestivo ad aggiornare i propri PC, smartphone, tablet e ogni altro dispositivo che sia possibile aggiornare per far fronte alla potenziale minaccia. <strong>Ci sono un po&#8217; di informazioni utili da condividere</strong>, e abbiamo provato a raccontarvele in breve per aiutarvi a capirci qualcosa di più.</p>
<h3 style="text-align: center"><a href="https://cybersecurity-admin.startupitalia.eu/56343-20180104-meltdown-spectre-due-vulnerabilita-nel-cuore-delle-cpu">Leggi anche: Meltdown e Spectre, due vulnerabilità nel cuore delle CPU</a></h3>
<table align="center">
<tbody>
<tr>
<td style="width: 0px;text-align: center"><img loading="lazy" width="184" height="300" class="aligncenter size-medium wp-image-56348" src="https://cdn.startupitalia.eu/wp-content/uploads/sites/14/2018/01/meltdown-184x300.jpg" alt="" srcset="https://cybersecurity-admin.startupitalia.eu/wp-content/uploads/sites/14/2018/01/meltdown-184x300.jpg 184w, https://cybersecurity-admin.startupitalia.eu/wp-content/uploads/sites/14/2018/01/meltdown.jpg 384w" sizes="(max-width: 184px) 100vw, 184px" /></td>
<td style="width: 0px"><img loading="lazy" width="300" height="238" class="aligncenter size-medium wp-image-56349" src="https://cdn.startupitalia.eu/wp-content/uploads/sites/14/2018/01/spectre-300x238.jpg" alt="" srcset="https://cybersecurity-admin.startupitalia.eu/wp-content/uploads/sites/14/2018/01/spectre-300x238.jpg 300w, https://cybersecurity-admin.startupitalia.eu/wp-content/uploads/sites/14/2018/01/spectre.jpg 702w" sizes="(max-width: 300px) 100vw, 300px" /></td>
</tr>
</tbody>
</table>
<h2>Windows e Mac</h2>
<p>Apple <a href="https://support.apple.com/en-us/HT208394">ha fatto sapere</a> che praticamente tutti i suoi sistemi operativi e dispositivi sono afflitti a vario titolo dai bug Meltdown e Spectre. In realtà sarebbe interessante capire quanto siano vulnerabili anche gli ultimi chip della linea A (come l&#8217;A11 che equipaggia iPhone X), ma questa è una discussione accademica che magari affronteremo quando le acque si saranno un po&#8217; calmate.</p>
<p>&nbsp;</p>
<img loading="lazy" width="282" height="300" class="aligncenter size-medium wp-image-56360" src="https://cdn.startupitalia.eu/wp-content/uploads/sites/14/2018/01/Apple_A11-282x300.jpg" alt="" srcset="https://cybersecurity-admin.startupitalia.eu/wp-content/uploads/sites/14/2018/01/Apple_A11-282x300.jpg 282w, https://cybersecurity-admin.startupitalia.eu/wp-content/uploads/sites/14/2018/01/Apple_A11-768x818.jpg 768w, https://cybersecurity-admin.startupitalia.eu/wp-content/uploads/sites/14/2018/01/Apple_A11-961x1024.jpg 961w, https://cybersecurity-admin.startupitalia.eu/wp-content/uploads/sites/14/2018/01/Apple_A11.jpg 1268w" sizes="(max-width: 282px) 100vw, 282px" />
<p>&nbsp;</p>
<p>Se siete utenti Apple, comunque, e vedete disponibile un aggiornamento del vostro sistema operativo non indugiate: scaricate e installate, <strong>a Cupertino hanno lavorato in modo tempestivo</strong> e hanno già pronte delle versioni che mitigano i rischi. I tecnici <a href="https://www.axios.com/apple-mac-and-iphone-both-affected-by-big-chip-vulnerability-2522548093.html">stanno anche lavorando</a> <a href="https://www.axios.com/apple-mac-and-iphone-both-affected-by-big-chip-vulnerability-2522548093.html">per Safari</a>, così da provvedere a disporre <strong>un&#8217;ulteriore linea di difesa nel browser</strong>. Nel complesso Apple giudica l&#8217;impatto delle patch in circa un 2,5% di peggioramento nelle prestazioni: assolutamente accettabile (e probabilmente non percepibile dall&#8217;utente finale).</p>
<p>&nbsp;</p>
<p>Fronte Windows, la faccenda è un po&#8217; più complessa: quello che sta succedendo è che Microsoft la patch l&#8217;ha sviluppata (ma non per XP: <strong>ricordate che XP è un sistema operativo obsoleto e non più supportato</strong>), ma pare che non vada molto d&#8217;accordo con alcuni antivirus. Un <a href="https://support.microsoft.com/en-us/help/4072699/important-information-regarding-the-windows-security-updates-released">bollettino rilasciato nella notte</a> lo dice chiaro e tondo, verificate con produttore dell&#8217;antivirus cosa state facendo prima di procedere: <strong>secondo Redmond il problema sarebbe che alcuni antivirus effettuano richieste non previste al kernel di Windows</strong>, causando errori che possono sfociare in Blue Screen e PC su cui è necessario ripristinare il sistema operativo.</p>
<p>&nbsp;</p>
<img loading="lazy" class="aligncenter wp-image-55758" src="https://cdn.startupitalia.eu/wp-content/uploads/sites/14/2016/05/microsoft-logo-1024x219.png" alt="" width="402" height="86" srcset="https://cybersecurity-admin.startupitalia.eu/wp-content/uploads/sites/14/2016/05/microsoft-logo-1024x219.png 1024w, https://cybersecurity-admin.startupitalia.eu/wp-content/uploads/sites/14/2016/05/microsoft-logo-300x64.png 300w, https://cybersecurity-admin.startupitalia.eu/wp-content/uploads/sites/14/2016/05/microsoft-logo-768x164.png 768w, https://cybersecurity-admin.startupitalia.eu/wp-content/uploads/sites/14/2016/05/microsoft-logo.png 1642w" sizes="(max-width: 402px) 100vw, 402px" />
<p>&nbsp;</p>
<p>Insomma, un bel grattacapo: controllate bene che il vostro antivirus sia aggiornato e compatibile con questo update di Windows. Se non lo fosse <strong>il consiglio di Microsoft è optare per Windows Defender o Security Essential per un po&#8217;</strong>, ovvero gli antivirus di casa, in attesa che tutto sia sistemato al meglio.</p>
<p>&nbsp;</p>
<p>Ah, <a href="https://blog.mozilla.org/security/2018/01/03/mitigations-landing-new-class-timing-attack/">una buona ragione</a> per adottare (o tornare) a <a href="http://thenexttech-admin.startupitalia.eu/62675-20171116-project-quantum-ce-un-firefox-citta">Mozilla Firefox</a>: il browser del panda rosso è stato tra i più veloci ad adottare contromisure per Spectre, <strong>se installate una versione pari o superiore alla 57 ne approfitterete in pieno</strong>.</p>
<h2>Google e Android</h2>
<p><a href="http://security.googleblog.com/2018/01/more-details-about-mitigations-for-cpu_4.html">Buone notizie</a> dal mondo di Mountain View: Big G gestisce tra le più grandi farm di server al mondo, e naturalmente ha dovuto e voluto provvedere tempestivamente ad aggiornare.<strong> I test effettuati da Google dicono che l&#8217;impatto in termini di prestazioni è minimo</strong>: naturalmente, si precisa, ci sono condizioni nelle quali la differenza potrebbe invece essere macroscopica ma nel complesso non ci sono particolari preoccupazioni su questo fronte.</p>
<p>&nbsp;</p>
<p>Google tra l&#8217;altro spiega di aver individuato un meccanismo di mitigazione del problema particolarmente efficace, chiamato <strong>Retpoline</strong>, che agisce direttamente sulle Page Table del kernel per migliorare l&#8217;isolamento dei dati. Le informazioni su questa tecnica sono state anche condivise con i suoi partner, dunque i benefici di questa via potrebbero essere diffusi ed estendersi oltre i server Google.</p>
<div class='container container_shortcode' align='center'>
                                            <div class='col-sm-10 col-sm-offset-1'>
                                                    <img class='img-responsive img_responsive_custom' id="image_55918" src="https://cdn.startupitalia.eu/wp-content/uploads/sites/14/2017/10/google-gmail-apps.jpg" />
                                                        <div class='image_description' align='left' >
                                                                    <p class='content_picture'>
                                                                                                                                            </p>
                                                                    <p class='author_picture'>
                                                                                                                                     </p>
                                                       </div>
                                              </div>
                                        </div>
<p>Di <strong>Android</strong> abbiamo già parlato ieri, <a href="https://support.google.com/faqs/answer/7622138#android">la patch c&#8217;è</a> ed è solo questione di tempo e di volontà degli OEM prima che arrivi sugli smartphone. Sul fronte browser, <strong>se aggiornate Chrome anch&#8217;esso incorpora un meccanismo di mitigazione</strong> sulla falsa riga di quanto fatto da Mozilla con Firefox.</p>
<h2>Il resto del mondo</h2>
<p>ARM e AMD hanno affrontato la vicenda Meltdown-Spectre in modi molto diversi. ARM di fatto <a href="https://developer.arm.com/support/security-update">ha ammesso</a> di poter essere vittima del problema e specificato nel dettaglio quali suoi design possono essere attaccati. <strong>Ricordiamo che ARM è un designer, non produce chip: i suoi progetti vengono poi venduti ad altre aziende</strong> (come Samsung, ma non solo) che possono decidere di produrli o di modificarli per meglio adattarli alle proprie esigenze. <a href="https://venturebeat.com/2018/01/04/arm-confirms-processor-flaw-impacts-some-android-ios-nvidia-and-sony-devices/">Per questo è complesso stabilire quali dispositivi siano effettivamente a rischio</a>: l&#8217;approccio trasparente di ARM però è apprezzabile.</p>
<div class='container container_shortcode' align='center'>
                                            <div class='col-sm-10 col-sm-offset-1'>
                                                    <img class='img-responsive img_responsive_custom' id="image_56359" src="https://cdn.startupitalia.eu/wp-content/uploads/sites/14/2018/01/1458905287_1.0.jpg" />
                                                        <div class='image_description' align='left' >
                                                                    <p class='content_picture'>
                                                                                                                                            </p>
                                                                    <p class='author_picture'>
                                                                                                                                     </p>
                                                       </div>
                                              </div>
                                        </div>
<p>Più stringata <a href="https://www.amd.com/en/corporate/speculative-execution">la risposta di AMD</a>: diciamo che a Sunnyvale non sono proprio entusiasti di vedersi accomunati ad Intel in questa faccenda, anzi sostengono di correre molti meno rischi dei cugini chipmaker. <strong>Secondo AMD l&#8217;impatto in termini di performance sarà minimo per i sistemi equipaggiati con le sue CPU</strong>: ogni aggiustamento necessario sarà svolto a mezzo aggiornamento dei sistemi operativi, e in ogni caso solo una delle tre varianti di attacco coinvolge i suoi processori.</p>
<p>&nbsp;</p>
<p>Da parte sua, <strong>Intel</strong> non si sta tirando indietro rispetto a ciò che sono i suoi compiti: da Santa Clara <a href="https://newsroom.intel.com/news-releases/intel-issues-updates-protect-systems-security-exploits/">fanno sapere</a> di essere al lavoro per completare la realizzazione di <strong>patch per tutti i sistemi che montano una CPU Intel prodotta negli ultimi 5 anni</strong>, e che entro la fine della prossima settimana si aspettano di aver coperto <a href="https://venturebeat.com/2018/01/04/intel-plans-security-updates-for-90-of-past-5-years-processors-by-end-of-next-week/">il 90 per cento del catalogo</a> che rientra in questa finestra temporale. Anche Intel minimizza la questione dell&#8217;impatto delle performance: ci sono dei casi in cui potrà essere più evidente, ma nel complesso sarà quasi impercettibile.</p>
<p>&nbsp;</p>
<p>Dulcis in fundo, citiamo <a href="https://www.kernel.org/">Linux</a>:<strong> il pinguino ha già fatto tutti i compiti a casa</strong>, e questo ha fatto la felicità e la fortuna di molti. Non ultimi i vari cloud vendor, da Amazon a Citrix, da Google a chiunque altro sfrutti il kernel di Linus Torvalds per i propri sistemi, che hanno così potuto provvedere tempestivamente ad aggiornare e mettere al sicuro i propri server.</p>
<div class="at-below-post addthis_tool" data-url="https://cybersecurity-admin.startupitalia.eu/56357-20180105-meltdown-spectre-guida-pratica-agli-aggiornamenti"></div>

Meltdown e Spectre, guida pratica agli aggiornamenti

Meltdown e Spectre, guida pratica agli aggiornamenti

Come procedere per mitigare i rischi del bug hardware che sta creando grattacapi a tutti

Come procedere per mitigare i rischi del bug hardware che sta creando grattacapi a tutti