1304 13
1304 13

Después de la revelación pública de un fallo de seguridad en casi todos los procesadores Intel producidos durante los últimos 15 años, Apple parece que al menos ha solucionado parcialmente el problema con el MacOS 10.13.2, publicado este pasado diciembre, y parece que en 10.13.3 habrá más soluciones.

Aparentemente Apple ha estado trabajando entre bambalinas los últimos meses para solucionar este problema que permitiría a un atacante acceder a la memoria protegida del kernel del sistema y ha implementado algunas soluciones en última actualización del sistema, macOS 10.13.2 High Sierra. Estas medidas están alineadas con los requerimientos que se solicitan a las aplicaciones que se ejecutan en el Mac desde hace una década han hecho que la vulnerabilidad de Intel sea mucho menos importante en el Mac que en otras plataformas, aunque no todos los problemas de seguridad han sido solucionados, aunque se espera que en la próxima actualización del sistema, macOS 10.13.3 High Sierra se añadan cambios y mejoras el el código del sistema que eviten todos los problemas de seguridad en los procesadores Intel afectados que no pueden ser arreglados con una actualización de firmware, como es habitual en estos casos.

Existen tres variantes de este problema: Spectre1 y Meltdown. Si estás interesado en una descripción, técnica, detallada y profunda2 de este problema en los procesadores, te interesa este artículo de Project Zero de Google

Qué ha hecho Apple para solucionar el problema

Básicamente lo que ha hecho Apple con su actualización macOS 10.13.2 High Sierra y con las soluciones que pueda implementar en la siguiente actualización, macOS 10.13.3 High Sierra es crear un Doble Espacio para la memoria, separando la memoria del kernel y la del usuario para proteger la información. El problema al respecto de esta separación es que cuando es necesaria información, el salto entre ambos espacios3 supuestamente penaliza el rendimiento del sistema. Esa es la clave y el problema no va a afectar de la misma manera a todos los procesadores y sistemas operativos, porque dependerá de su arquitectura y estructura a la hora de trabajar con información. Según algunos test comparativos de rendimiento, no hay diferencias notables entre macOS 10.13.1 High Sierra y macOS 10.13.2 High Sierra4

¿Mi Mac va a tener problemas de rendimiento?

Depende del modelo de procesador. Los procesadores Intel con PCID5 tienen menos posibilidades de verse impactados por las soluciones implementadas y por lo tanto, perder rendimiento por las mismas. PCID está disponible en los procesadores Haswell6. Si quieres saber si tu Mac utiliza PCID, abre el Terminal y usa el comando:

sysctl machdep.cpu.features | grep -o PCID

Si la respuesta del terminal es PCID es que tu procesador cuenta con esta característica. Los Macs más antiguos, que usan procesadores sin PCID, es posible que noten un impacto mayor tras las actualizaciones, pero aparentemente no llegará al 30%7. Según Intel, dependerá mucho del tipo de carga de trabajo que se esté realizando y que el usuario medio de ordenador no va a notar cambios de rendimiento con las modificaciones que los diferentes fabricantes/desarrolladores de sistemas operativos están implementando8

Otros procesadores afectados

El problema de seguridad9 también afecta a procesadores ARM y AMD, total o parcialmente, en función del modelo y arquitectura del mismo, ya que el problema de seguridad está profundamente incrustado en la propia filosofía de diseño de procesadores. Tanto AMD como ARM han publicado declaraciones al respecto de este problema de seguridad:

De AMD:

There is a lot of speculation today regarding a potential security issue related to modern microprocessors and speculative execution. As we typically do when a potential security issue is identified, AMD has been working across our ecosystem to evaluate and respond to the speculative execution attack identified by a security research team to ensure our users are protected.

To be clear, the security research team identified three variants targeting speculative execution. The threat and the response to the three variants differ by microprocessor company, and AMD is not susceptible to all three variants. Due to differences in AMD’s architecture, we believe there is a near zero risk to AMD processors at this time. We expect the security research to be published later today and will provide further updates at that time.

De ARM:

I can confirm that ARM have been working together with Intel and AMD to address a side-channel analysis method which exploits speculative execution techniques used in certain high-end processors, including some of our Cortex-A processors. This method requires malware running locally and could result in data being accessed from privileged memory. Please note our Cortex-M processors, which are pervasive in low-power, connected IoT devices, are not impacted. We are in the process of informing our silicon partners and encouraging them to implement the software mitigations developed if their chips are impacted.

Notas

  1. 1 y 2
  2. en lugar de las generalidades publidadas
  3. convenientemente protegidos y randomizados
  4. Actualización en la que se introdujo el Doble Mapa que supuestamente penalizaría el rendimiento de macOS
  5. PCID (Process-Context IDentifiers)
  6. 4ª Generación
  7. una cifra que se está usando como una antorcha para pegarle fuego a todo
  8. Como si eso fuera una justificación, Intel 😕
  9. Da igual la variante que sea
In this article


Join the Conversation

13 comments

  1. sault

    ¿Se implementará algo para 10.12 Sierra?

    1. amt.desarrollos

      Lo mismo me pregunto yo.

      1. sault

        Se ha eliminado toda referencia a Sierra y El Capitán en dicho documento.

        1. Carlos Burges Ruiz de Gopegui

          OS X 10.11 El Capitan y macOS Sierra están cubiertos por la actualización de Seguridad 2017-02 y 2017-05

          https://support.apple.com/en-us/HT208331

          1. sault

            Lo volvieron a modificar. Alucino.

          2. patton

            ¿Dónde lo pone en concreto? Porque entiendo que se refiere a este punto y ahí se señala que solo está disponible para High Sierra:

            KERNEL
            Available for: macOS High Sierra 10.13.1
            Impact: An application may be able to read kernel memory (Meltdown)
            Description: Systems with microprocessors utilizing speculative execution and indirect branch prediction may allow unauthorized disclosure of information to an attacker with local user access via a side-channel analysis of the data cache.
            CVE-2017-5754: Jann Horn of Google Project Zero; Moritz Lipp of Graz University of Technology; Michael Schwarz of Graz University of Technology; Daniel Gruss of Graz University of Technology; Thomas Prescher of Cyberus Technology GmbH; Werner Haas of Cyberus Technology GmbH; Stefan Mangard of Graz University of Technology; Paul Kocher; Daniel Genkin of University of Pennsylvania and University of Maryland; Yuval Yarom of University of Adelaide and Data61; and Mike Hamburg of Rambus (Cryptography Research Division)
            Entry updated January 5, 2018

  2. Alquimista

    ¡Caramba, un i5 del 2011 tiene PCID! ¡Alguien que pueda probar ese comando en Mac más antiguos?

    1. erretxea

      iMac (21.5 pulgadas, mediados de 2010), 3,2 GHz Intel Core i3. Tiene PCID.

  3. rafacintosh

    Un i7 finales de 2009 creo que no tiene PCID

  4. sault

    Mac Pro Mediados 2010. 2 x 3,46 GHz 6-Core Intel Xeon
    Tiene PCID

  5. galahor

    Mac mini I7 finales 2012 y Mac mini I5 finales 2014, ambos con PCID

  6. Gelsound

    MacBook Pro (Retina 13 pulgadas, principios de 2015) 2,9 GHz Intel Core i5 tiene PCID.