No solo es Intel: el fallo en procesadores afecta a PCs y móviles en todo el mundo

Anota estas dos palabras porque las vas a ver constantemente en las próximas semanas y meses: Metldown y Spectre. Son los nombres de dos nuevas vulnerabilidades que afectan a los procesadores de los grandes fabricantes, Intel, AMD y ARM Holdings, este último responsable del diseño de los 'chips' usados en dispositivos móviles. El fallo, descubierto por un grupo de investigadores de Google y diversas universidades, es el más grave de los conocidos en las últimas décadas ya que, básicamente, pone en riesgo los datos y contraseñas almacenados en cualquier PC, Mac, móvil y tableta del mundo. Y sí, tu ordenador muy probablemente es uno de ellos. Es, en esencia, la mayor vulnerabilidad de la historia de la computación.

Las primeras filtraciones sobre el problema llegaron ayer y todas apuntaban a Intel como único responsable. Sin embargo, los informes técnicos publicados en las últimas horas por los investigadores responsables del descubrimiento de los fallos confirman que el problema es mucho más amplio y preocupante. La primera vulnerabilidad, Meltdown, sí es exclusiva a los procesadores Intel fabricados durante la última década. Es decir, afecta a millones y millones de ordenadores en todo el mundo. El fallo permite a un atacante robar información a nivel de memoria de kernel del sistema operativo. Por ejemplo, permite robar todas tus contraseñas.

TE PUEDE INTERESAR

Parche de urgencia de Microsoft: actualiza ahora mismo Windows en tu ordenador

G.C.

La buena noticia es que tiene solución. Microsoft y Apple van a lanzar grandes actualizaciones de sus sistemas operativos el próximo día 9 (Microsoft de hecho ya ha empezado con un parche de urgencia que puedes - y debes - aplicar ahora mismo). El inconveniente es que esas actualizaciones ralentizarán el rendimiento de tu ordenador, que a partir de entonces irá hasta un 30% más lento. Pero es la única salida posible.

Meltdown afecta también a servicios en la nube ofrecidos a otras empresas por Google, Amazon y Microsoft (como Google Apps, Amazon Web Services o Azure). Muchos de estos servicios online usan Linux para la gestión de sus servidores y ordenadores, por lo que también se ven afectados. Estas compañías han comenzando también a lanzar parches y actualizaciones para Linux, por lo que a nivel corporativo la amenaza debería estar contenida en los próximos días.

TE PUEDE INTERESAR

'Meltdown' y 'Spectre': cómo proteger tu ordenador del fallo masivo en procesadores

Michael Mcloughlin

La segunda vulnerabilidad, Spectre, es más compleja y no es exclusiva de Intel. Afecta también a procesadores de su gran rival, AMD, y a los diseñados por AMR Holdings, que se usan en prácticamente cualquier 'smartphone' y tableta en todo el mundo. "Hemos verificado que Spectre afecta a equipos con procesadores Intel, AMD y ARM", confirman los investigadores de la Universidad de Graz, en Austria. Google también lo ha dado por hecho, aunque asegura que de momento no ha encontrado ninguna prueba de que haya sido posible robar información en móviles Android con procesadores ARM.

Lo más preocupante de Spectre es que de momento no hay una solución conocida al problema. Se trata de un fallo en el diseño de los procesadores en dispositivos móviles que permite a un atacante robar información de diversas aplicaciones cuando estas se comunican con la memoria kernel del sistema. Especialistas en ciberseguridad aseguran que no hay forma de parchear o solucionar esta amenaza. Tendremos que vivir con ella. La única salida será el cambio de diseño de los chips y esperar a que estos salgan en las nuevas hornadas de móviles y tabletas en los próximos meses y años.

¿Cómo roban tus datos Meltdown y Spectre?

Tanto Intel como el resto de grandes tecnológicas conocían desde hace meses la vulnerabilidad. Se planeaba un anuncio coordinado y controlado de toda la información para el próximo martes día 9, pero las primeras filtraciones y pruebas de concepto hicieron saltar por los aires los planes. En las últimas horas los investigadores responsables del descubrimiento (de Google Project Zero, la firma Cyberus Technology, la Graz University of Technology, en Austria, y la University of Adelaide, en Australia) han publicado los primeros detalles técnicos del funcionamiento y el riesgo de cada uno de los fallos. Y las conclusiones son abrumadoras.

La base del problema está en la forma en la que funcionan todos los procesadores, conocida como "ejecución especulativa". Mediante este proceso, un "chip" predice las tareas que va a ejecutar el ordenador en los milisegundos siguientes para acelerar el rendimiento. En esa tarea, el procesador tiene que acceder a la memoria kernel del sistema operativo, su núcleo principal. Y lo hace cambiando entre lo que se conoce como modo usuario y modo kernel. Ambos escenarios en teoría deben estar completamente aislados para asegurar la privacidad de los datos. Pero el fallo en los procesadores hace que un atacante, usando software malicioso, pueda acceder a los datos que se intercambian en ese momento con la memoria kernel, datos tan comprometedores como todas tus contraseñas o claves de cifrado.

Para hacerse con esta información, un hacker debe tener o bien acceso físico al ordenador para infectarlo o simplemente infiltrarlo con software malicioso a través de emails con documentos adjuntos infectados. También funciona con JavaScript, es decir, al visitar una página web infectada, tu ordenador puede descargar el software que luego el hacker usará para robar información. Ya hay varias demostraciones en tiempo real de Meltdown en acción. Esta es una:

Y esta es otra, en vídeo:

¿Qué hay de Spectre? Si en el caso de Meltdown se rompe el aislamiento entre las aplicaciones de usuario y la memoria kernel, en el de Spectre el fallo se centra en la ausencia de aislamiento entre varias aplicaciones intercambiando información. A través de software malicioso, un hacker puede lograr que una aplicación engañe a otra para acceder a partes seguras de su memoria y robar así su información. Estaríamos hablando igualmente de contraseñas o incluso el contenido que el propio usuario cree o intercambio con esos programas.

Los investigadores que han descubierto la vulnerabilidad aseguran que Spectre es mucho más complicado de explotar, pero también es mucho más comprometedor: afecta a prácticamente cualquier equipo, incluidos móviles y tabletas, y de momento no hay una solución conocida. Sí puedes protegerte de Meltdown (aquí puedes leer todo lo que necesitas para ello). Es solo el comienzo de una nueva alerta mundial de ciberseguridad.

El CEO de Intel, y su directiva, bajo sospecha

En mitad del caos técnico, de los parches y las actualizaciones, muchos empiezan a señalar a los directivos de Intel. Google asegura que informó a todas las compañías afectadas, entre ellas Intel, AMD o ARM, el pasado junio. Sin embargo, todas las compañías continuaron vendiendo sus procesadores como si nada hubiera ocurrido. Especialmente Intel, cuyos procesadores se ven afectados de forma exclusiva por la vulnerabilidad Meltdown. ¿Debería haber parado Intel la producción de sus procesadores, ya que sabía que eran defectuosos? ¿Se enfrenta la compañía a posibles demandas legales de usuarios o fabricantes de ordenadores? ¿Habrá retirada de PCs del mercado?

Las sospechas apuntan también hacia el consejero delegado de Intel, Brian Krzanich, por haber vendido 11 millones de dólares en acciones de la compañía (245.743 acciones para ser exactos, casi la mitad del total que tenía) el pasado noviembre, cinco meses después de que Intel conociera la grave vulnerabilidad en sus procesadores. La compañía ya ha asegurado que la operación no está en absoluto relacionada con el problema de seguridad, estaba programada de forma rutinaria ya desde hace tiempo como parte de su paquete de compensación. Pero el hecho se une a la anterior secuencia de eventos: Intel conocía el problema desde junio, siguió vendiendo procesadores y, además, su consejero delegado se deshizo de casi el 50% de las acciones que poseía en la empresa. El precio de la acción de Intel cayó ayer casi un 3,4%. ¿Casualidad?