Neredeyse her masaüstü bilgisayar, dizüstü bilgisayar, tablet ve akıllı telefon bu durumdan etkilendi.
Silikon Vadisi şu sıralar hareketli günler geçiriyor. Bilgisayar korsanları, Intel, AMD ve ARM işlemcilerine saldırmanın yeni yollarını buldu. İlk olarak geçen sene Google tarafından keşfedilen ve Çarşamba günü alenen gösterilen bu yöntemlerin adı ‘Meltdown’ (Erime) ve ‘Spectre’ (Hayalet).
Google’ın resmî bir SSS’de (Sıkça Sorulan Sorular bölümü) açıkladığına göre, yongalarda bulunanla aynı temel güvenlik açığından yararlanan Meltdown ve Spectre, varsayımsal olarak kötü niyetli kişiler tarafından “[bir] sistem belleğinde bulunan parolalar, şifreleme anahtarları gibi hassas bilgileri veya uygulamalarda açık halde bulunan hassas bilgileri” okumak için kullanılabilir.
Bilmeniz gereken birinci şey şu: Bu güvenlik açığı, cihazı hangi şirket ürettiyse üretsin veya cihazda hangi işletim sistemi bulunuyorsa bulunsun, neredeyse her masaüstü bilgisayarı, dizüstü bilgisayarı, tableti ve telefonu etkiliyor.
Bu açığı kötüye kullanmak kolay bir iş değil (zararlı yazılımın halihazırda cihaz üzerinde çalışıyor olması gibi, özel bir koşul dizisi gerekiyor), ancak kötüye kullanılması mümkün.
Üstelik bu sorun, kişisel cihazlardan çok daha fazlasını etkileyebilir. Üretim kusuru, sunucularda, veri merkezlerinde ve Amazon Web Hizmetleri, Microsoft Azure veya Google Bulut gibi devasa bulut bilişim ortamlarında kullanılabilir.
Aslında bu bulut hizmetlerinin müşterileri, doğru koşullar sağlandığında Meltdown veya Spectre’i kullanarak birbirlerinden veri çalabilirler.
Güvenlik açığı için halihazırda yamalar çıkarılmakta olsa da, bunlar genelde ücretli oluyor. Bu yamalar, özellikle eski cihazlar olmak üzere bazı cihazları fark edilir şekilde yavaşlatabiliyor.
İşte, Meltdown ve Spectre’in ne oldukları ve en az onun kadar önemli şekilde, ne olmadıkları.
Ben de tehlike altında mıyım?
Bazı iyi haberler var: Intel ve Google, Meltdown veya Spectre gibi hâlâ geçerli herhangi bir saldırı görmediklerini söylüyorlar. Ayrıca Intel, Amazon, Google, Apple ve Microsoft’un da içinde bulunduğu şirketler, sorunları çözmek için acele ediyorlar ve ilk çözüm dalgası yayınlanmış durumda.
Tüm bunların en doğrudan sonucu, bu yamalardan kaynaklanacak. Bazı raporlara göre, bazı cihazlarda yamalar kurulduktan sonra yüzde 30 kadar fazla miktarda bir verim düşüşü görülecek. Ancak Intel, bilgisayarların yavaşlama miktarının onların nasıl kullanıldığına bağlı olacağını söyleyerek bu rakama itiraz ediyor.
Meltdown saldırısı, sadece Intel işlemcilerde işe yarıyor gibi görünüyor. Google’a göre, yazılım güncellemeleriyle buna karşı korunabilirsiniz. Bu güncellemeler Linux ve Windows 10 için şimdiden hazır hale gelmeye başlıyorlar.
Ancak Spectre, Meltdown’ın aksine çok daha tehlikeli görünüyor. Google, Spectre saldırılarını Intel, ARM ve AMD işlemcileri üzerinde başarıyla gerçekleştirdiğini söylüyor. Ayrıca, arama devine göre bunun tek ve basit bir çözümü bulunmuyor.
Spectre merkezli bir saldırıyı başarmak daha zor. Bu yüzden kimse bütünüyle telaş yapmıyor. Ancak saldırı, işlemcilerin çalışma şeklinin ayrılmaz bir parçasından faydalanıyor. Bu yüzden onu tamamen yok etmek, yeni nesil donanımlara mal olacak.
Aslında Spectre ismini bundan alıyor.
Resmî Meltdown/Spectre SSS bölümünde şu ifadeler yer alıyor: “Bunu düzeltmek kolay olmadığı için, uzunca bir süre peşimizi bırakmayacak.”
Her neyse, Meltdown ve Spectre nedir?
Meltdown ve Spectre, şimdiye kadar basında tartışılanlara rağmen aslında gerçekten “virüs” değiller. Bunun yerine, Google’ın Project Zero bilişim güvenliği laboratuvarının Intel, ARM ve AMD işlemcilerin normal çalışma şekillerinden faydalanmak üzere keşfettiği yöntemleri temsil ediyorlar.
Star Wars filminden bir örnek kullanarak açıklarsak, Google, Ölüm Yıldızı’nın planlarını denetledi ve küçük bir ısı çıkış deliğinde, kötüye kullanılabilecek bir zaaf olduğunu buldu.
Kusursuz şekilde yerleştirilmiş iki proton torpidosunun Ölüm Yıldızı’nı havaya uçurabilmesi gibi, Meltdown ve Spectre da çok özel bir tasarım cilvesinden faydalanabiliyor ve işlemcilerin normal güvenlik önlemlerini atlatabiliyorlar (veya adından da anlaşıldığı gibi, eritebiliyorlar).
Bu durumda söz konusu tasarım özelliği, kurgusal icra olarak adlandırılan bir şey. Bu, çoğu Intel yongasında 1995 yılından beri kullanılan bir işleme yöntemi. Ayrıca ARM ve AMD işlemcilerde de yaygın olan bir yöntem.
Kurgusal icra ile işlemciler, bir sonraki defa yapacağınız şeyi tahmin ediyorlar. Eğer doğru tahmin ederlerse, bir adım önde oluyorlar ve kullandığınız bilgisayar daha hızlı oluyor. Eğer yanlış tahmin ederlerse, veriyi çöpe atıyor ve baştan başlıyorlar.
Project Zero’da, güvenli ve iyi tasarlanmış uygulamaları bile kandırarak, geri gelen bu işlemlerden veri sızdırmayı sağlayan iki kilit nokta bulundu. Kötü amaçlı yazılımlar, (doğru yazılımların kurulmasıyla) gizli kalması gereken verileri okumalarına olanak tanıyabilen, veri boşaltma yönteminde bulunan bir kusurdan faydalanıyorlar.
Bu zaaf, kullanıcıların devasa süperbilişim kümelerinden zaman kiraladıkları bulut bilişim yapılarında özellikle potansiyel bir tehlike oluşturuyor. Bu kümelerde bulunan sunucular, birden fazla kullanıcı arasında paylaştırılabiliyorlar. Yani güvenlik yaması bulunmayan ve hazır olmayan sistemleri çalıştıran müşteriler, işlemcilerini paylaşan veri hırsızlarının tuzağına düşebilirler.
Bu konuda ne yapabilirim?
Güvenlik kusuruna ve suistimallere karşı korunmak için yapabileceğiniz ilk ve en iyi şey, güvenlik yamalarınızın güncel olduğundan emin olmak. Önemli işletim sistemleri, Meltdown ve Spectre saldırılarına karşı koruma sağlayacak olan yamaları halihazırda çıkarmaya başladılar.
Aslında yamalar halihazırda Linux, Android, Apple MacOs ve Microsoft Windows 10’a gelmeye başladı. Bu yüzden bir Android telefonunuz varsa veya bulutta Linux kullanan bir geliştiriciyseniz, şimdi işletim sisteminizi güncelleme zamanı.
Bu arada Microsoft, Business Insider’a konuşarak kendi Azure bulut ortamında çözümler sunmak için çalıştığını söyledi. Google Bulut da müşterilerine işletim sistemlerini güncellemelerini tavsiye ediyor.
Güncel kaldığınızdan emin olmak da aynı derecede önemli. Spectre konusunda kolay bir çözüm bulunmasa da, Google bununla ilişkili suistimallere karşı korunma yöntemleri bulunduğunu söylüyor. Spectre ile ilişkili yeni saldırılar keşfedildikçe, Microsoft, Apple ve Google’ın işletim sistemlerine bir dizi güncelleme çıkarmaları bekleniyor.
Ek olarak, Meltdown ve Spectre’ın çalışması için sisteminiz üzerinde zararlı bir yazılımın hali hazırda çalışıyor olması gerektiğinden, bu sayede çevrimiçi ortamda güvenli davranışlarda bulunmayı hatırlatalım.
Açık şekilde güvenmediğiniz bir kaynaktan hiçbir yazılımı indirmeyin. Ayrıca, hiç katılmadığınız bir yarışmadan 10 milyon dolar kazandığınızı iddia eden hiçbir link veya dosyaya tıklamayın.
Güvenlik yamaları bilgisayarımı neden ayrıca yavaşlatabilir?
Meltdown ve Spectre saldırıları, işlemciler ile etkileşime giren işletim sistemlerinin çekirdeklerinin (veya “kernellerinin”) çalışma şeklinden faydalanıyorlar. Kuramsal olarak, tam olarak bu türden bir saldırıyı engellemek için bu ikisinin bir dereceye kadar birbirinden ayrı olması gerekiyor. Ancak Google’ın raporu, mevcut önlemlerin yeterli olmadığını gösteriyor.
İşletim sistemi geliştiricilerinin, temel olarak işlemci ve kernel arasındaki taleplerin uzun yoldan dolaşmasını sağlayarak, yeni bir sanal ayırma seviyesini uyguluyor oldukları söyleniyor.
Sorun şu ki, bu tür bir ayırma uygulamak, en azından biraz daha fazla işlemci gücü gerektiriyor ve bu işlemci gücü, sistemin geri kalanı için artık mevcut olmuyor.
The New York Times gazetesinin belirttiği üzere araştırmacılar, yamaların bilgisayarları yüzde 20’den yüzde 30’a kadar fazla miktarlarda yavaşlatabileceğinden endişeleniyorlar. Microsoft’un, Intel’in iki yaşındaki “Skylake” modellerinden daha eski işlemcilere sahip kişisel bilgisayarlarda önemli yavaşlamalar görülebileceğine inandığı bildiriliyor.
Intel, verimde yaşanan düşüşlerin The Times‘ın öne sürdüğü kadar çarpıcı olmayacağını söylüyor.
Meydana gelebilecek yavaşlamaların bazıları, gelecekteki yazılım güncellemeleriyle hafifletilebilir. Güvenlik açığı halka duyurulduğundan, sorunu çözmek için daha fazla geliştirici çalıştıkça, verim düşüşünü önlemeye yönelik geçici çözümlerin ve yeni yöntemlerin ortaya çıkması mümkün.
Bundan sonra ne olacak?
Intel, Meltdown ve Spectre yazılımlarının kendi hisse senedi fiyatlarında veya pazar payında maddî bir etkisi olmayacağından resmen emin. Çünkü bunları çalıştırmak nispeten zor ve (bildiğimiz kadarıyla) hiç kullanılmadılar.
Bu sırada AMD, gerçekleştirilmesi daha kolay olan Meltdown saldırısının kendi işlemcilerinde çalışmadığını söyleyerek hisselerin yükselmesini sağladı.
Ancak Spectre, Google’ın hatırlatmakta çok istekli olduğu üzere, büyük önem taşıyor. Kurgusal icra, yirmi yıldan fazla süredir işlemci tasarımında bir mihenk taşı konumundaydı. İşlemci endüstrisinin tamamının, gelecekte bu türden saldırılara karşı korunmak amacıyla bazı şeyleri büyük oranda yeniden düşünmesi gerekecek.
Spectre tehdidi, (bütün büyük yonga tasarımcılarının üreteceği) sıradaki işlemci neslinin bugün olduğundan çok daha farklı olacağı anlamına geliyor.
Buna rağmen Spectre tehdidi, gelecekte uzun süre peşimizden ayrılmayacak gibi duruyor. Müşteriler, kişisel bilgisayarlarını daha seyrek şekilde değiştiriyorlar. Bu durum, Spectre saldırısı tehdidi yaşayan eski bilgisayarların önümüzdeki yıllarda kullanımda olabileceği anlamına geliyor.
Bu arada Android cihazları, işletim sisteminin son sürümüne güncellemeyle ilgili inatçı bir sorun vardı, bu yüzden, güncellenmeyen pek çok akıllı telefon ve tabletin göz alabildiğine kullanımda olması muhtemel. Bu sebeple sözde Spectre saldırganları, hedeflerini seçecekler gibi görünüyor.
Bu durum dünyanın sonu değil. Ancak Intel, AMD, ARM ve işlemcilerin yapılış şekli için bir devrin sonu olabilir.
Business Insider
