Vilka lektioner har Specter lärt oss?
NyheterDet fanns en kort period när det verkade att mobiltelefonanvändare befriades från de problem som datoranvändarna upplevde. Det hade ju varit länge sedan någon telefonleverantör hade använt Intel-chips i någon produkt, så det fanns ingenting för Apple-fanboys eller Android-kunder att oroa sig för.
Allting förändrades när det visades att det fanns två processorns brister och den andra, Specter, påverkade mest bestämt ARM-chips - vilket betydde ganska mycket varje telefon och surfplatta där ute.
Vad följde då var nästan en mästarklass i hur ryktet spreds och hur felaktigt kan sprida sig. Först och främst bör det komma ihåg att denna sårbarhet identifierades och rapporterades för sju månader sedan och var inte tänkt att ha blivit avslöjad förrän nästa vecka (tillfälligt i en vecka när techvärlden hade avkallat till Las Vegas för CES och de orubbliga tekniska journalisterna skulle annars vara upptagen).
Men då var det också osäkerheten om vad Specter menade för användarna och de kontrastande meddelandena, dels att det var sämre än Meltdown, eftersom det inte skulle ha varit så lätt att tillämpa korrigeringar på det. och å andra sidan hur det inte var så dåligt som det inte var något som kunde utnyttjas av en manuskript som arbetade på egen hand, men skulle behöva statssponserade team på fallet.
Och enligt Zimperiums säkerhetsrådgivare, Adam Donenfeld, är farorna för enskilda användare begränsade. “Specter är i grunden en informationsbristande sårbarhet. Medan det är möjligt att stjäla information med hjälp av den sårbarheten är det inte så enkelt att stjäla en specifik riktade information,” han sa.
Han påpekade att det redan fanns skydd tillgängligt. “Från och med nu kan den genomsnittliga användaren antingen vänta eller installera en tredje parts säkerhetslösning. Självklart är det en ny klass av sårbarheter som vi ännu inte har sett, så det kanske finns mer. Men en kommande lapp kommer att lösa de kända problem som är relaterade till den här klassen av buggar.”
Det är inte att säga att sårbarheterna inte är oroande för användarna. Många Apple-användare, oavsett telefoner eller datorer, har länge varit övertygade om att deras enheter är säkra mot någon form av attack, så nyheterna att deras telefoner var utsatta för attack också - trots att Apple lade fram ett uttalande som säger att företaget skulle reagera på Specter sårbarhet. Enligt företagets uttalande, “Apple kommer att släppa en uppdatering för Safari på macOS och iOS under de kommande dagarna för att mildra dessa utnyttjande tekniker. Vi fortsätter att utveckla och testa ytterligare mitigeringar inom operativsystemet för Specter-teknikerna, och kommer att släppa dem i kommande uppdateringar av iOS, macOS och tvOS. watchOS påverkas inte av Specter.”
Det var inte bara Apple, det var naturligtvis en av de problem som användarna hade oro över vad som hände med chips som ARM gjorde för andra säljare, som Qualcomm. Företaget utarbetade också ett uttalande för att förhindra kundernas oro. “Att tillhandahålla teknik som stöder robust säkerhet och integritet är en prioritet för Qualcomm, och som sådan har vi arbetat med ARM och andra för att bedöma effekter och utveckla mildnader för våra kunder. Vi är i färd med att använda dessa mildnader till våra kunder och uppmuntra människor att uppdatera sina enheter när patchar blir tillgängliga.”
hype
Med uttalanden som detta är det uppenbart att leverantörerna har försökt att möta användarnas oro. Enligt Donenfeld har tillverkarna oro över de tekniska problemen. “Jag tror att mobilleverantörer inte är så oroade över konsekvenserna, utan snarare om hype bakom det: sårbarheter för informationsutbyte är inte nya. I slutet av dagen är det bara en enkel patch som fixar dessa buggar, precis som andra sårbarheter. Ett av problemen här är emellertid att sårbarheten (och några PoCs) släpptes innan en patch installerades. Men dessa sårbarheter krävde mer sårbarheter att kedja med, för att uppnå en fullständig kompromiss av enheten.”
Episoden har gjort en sak, men det har koncentrerat mobila användares sinnen om hur sårbarheter deras enheter är. Medan användare (i det hela taget) är flitiga att uppdatera datorer och installerar antivirusprogram, har det inte varit samma ansträngningar som användes på mobiler: kan Specter-felet ändra detta. Donenfield är obestämd: “Jag hoppas det. Men Specter är inte annorlunda och speglar inte hur användarna ser deras telefoner: en säkerhetslösning för mobila enheter behövdes tidigare och behövs efter denna patch också.”
Det är inte att säga det, en vecka efter att Specter först rapporterades, att industrin inte kunde förbättra saker. Det faktum att nyheter om sårbarhet läckte och avslöjande inte hanterades ordentligt är fortfarande omstridd. Donenfeld anser att det kunde ha hanterats bättre “Jag tror att det inte fanns någon ansvarig redogörelse. Det faktum att detaljerna om sårbarhet, såväl som små och medelstora företag, släpptes innan några flaggskeppsenheter var patchade, innebär missförstånd mellan den upplysande parten och säljarna.”
Och det är troligt att dessa punkter kommer att ha noterats och lärdomar är vissa har lärt sig - beviset kommer att vara när det händer nästa - vi blir bättre förberedda: kommer vi inte?
- Bästa mobila erbjudanden i januari