Todo sobre Meltdown y Spectre: alerta ante los mayores fallos de seguridad informática de la historia

Puede que estés leyendo estas palabras tan tranquilo y que, sin que lo sepas, tu ordenador, tu tableta o tu móvil estén afectados por lo que ya algunos expertos en ciberseguridad califican como la mayor vulnerabilidad informática de la historia.

En las últimas 24 horas se han encontrado dos errores garrafales en los procesadores que utilizan la mayor parte de los ordenadores del mundo. En un principio se pensó que afectaba a Intel, pero al parecer también los chips de AMD y ARM (que crea la mayor parte de los que visten los teléfonos móviles) se ven implicados en un segundo error descubierto hoy. Muchos expertos consideran ya estos dos fallos como la mayor amenaza informática de la historia.

Las vulnerabilidades provocarán que todos los usuarios tengamos que actualizar el sistema operativo de nuestros equipos en las próximas semanas

¿Es justificado este alarmismo? Ciertamente, se trata de una vulnerabilidad muy grave que afecta a la mayor parte de los ordenadores y teléfonos móviles fabricados en los últimos 10 años, lo que es lo mismo que decir a prácticamente todos los que hay en el mercado, dada la renovación periódica de los equipos por parte de la mayoría de los usuarios.

Principalmente son dos fallos los encontrados. Según el equipo de expertos en seguridad informática que ha dado con ellos, y que está compuesto por empleados de Google e investigadores de la Universidad de Graz, en Austria, Cyberus Technology y la Universidad de Adelaida, en Australia, la información sensible y las contraseñas que se guarden en cualquier dispositivo equipado con uno de los chips afectados, ya sea ordenador (tanto PC como Mac), teléfono o tableta está en serio peligro.

El primero de los fallos descubiertos ha sido bautizado con el nombre de Meltdown. Este sí que afecta sólo a los procesadores fabricados por Intel en los últimos 10 años (es decir, los que incorporan la mayor parte de los ordenadores en todo el mundo) y deja la puerta abierta a que un hacker pudiera extraer información personal de la memoria kernel del sistema operativo. Es decir: contraseñas, números pin bancarios y cualquier dato sensible que el usuario hubiese almacenado en el equipo.

¿Cómo lo hace? Todos los chips de los ordenadores que utilizamos funcionan mediante la “ejecución especulativa”, una tarea predictiva que le hace anticiparse a lo que va a tener que realizar en los milisegundos siguientes. Sabiendo “lo que va a venir”, el ordenador se anticipa y puede acelerar el rendimiento.

Cada vez que realizamos alguna tarea en el ordenador (modificar un archivo, crear una carpeta con fotos, guardar contraseñas…), los programas acceden temporalmente a la memoria del kernel (del núcleo) del sistema operativo. Para hacerlo, ceden al procesador el acceso temporal a esa memoria, lo que se conoce como transición entre modo de usuario y modo kernel.

Sin embargo, lo que se ha descubierto es que esa transición no se hace de manera segura, ya que los entornos no quedan suficientemente aislados y cuando se intercambia información hay agujeros de seguridad. Esto podría provocar ralentización del ordenador, fallos en el sistema y…  ser aprovechado por un hacker que tuviera acceso físico al ordenador.

También valdría que tuviera acceso a él de forma remota mediante un software malicioso. Podría haberlo enviado el ciberdelincuente a través de un correo electrónico de spam, por ejemplo, o haber logrado que el usuario entrase en una web infectada y se descargase un archivo javascript. Al activarlo remotamente en el ordenador ya tendría la puerta abierta para hacerse con la información sensible.

Meltdown también afecta a servicios en la nube de Google, Microsoft y Amazon, como por ejemplo la suite de aplicaciones ofimáticas Google Apps, que utilizan miles de empresas en todo el mundo. Estos utilizan Linux como sistema operativo para gestionar sus servidores, por lo que también están afectados, aunque sus ingenieros ya se han puesto a desarrollar parches de seguridad para frenar la vulnerabilidad.

Los grandes fabricantes de ordenadores, como Microsoft y Apple, ya están trabajando también en parches que resuelvan el problema pues lo que hacen es dotar de aislamiento a esos dos entornos que no los tenían. De hecho, se pueden descargar ya actualizaciones parciales, aunque se espera que las versiones definitivas lleguen a partir de la próxima semana.

De hecho, ambas empresas sabían de la existencia de estos dos errores desde hace meses. Han estado recopilando información e iban a hacer un anuncio conjunto el próximo 9 de enero, fecha en la que pensaban proporcionar ya la solución con la actualización de sus sistemas operativos. Sin embargo, los detalles técnicos de la investigación se han filtrado y se han conocido con antelación.

Lo que sí parece seguro es que todos los usuarios tendremos que actualizar nuestros sistemas operativos y, según dicen los expertos, las nuevas versiones provocarán una ralentización de entre el 5 y el 30% en la velocidad de los equipos. Esto será inevitable y el rendimiento irá mejorando con el tiempo, con próximas actualizaciones, pero lo importante ahora es estar seguro.

Que se hayan conocido los datos de Meltdown ha permitido dar con algo más preocupante: el segundo de los fallos, al que se ha bautizado como Spectre. Este no tiene solución por el momento y afecta a cualquier procesador Intel, AMD y ARM, dejando también una puerta abierta cuando cualquier aplicación se comunica con la memoria kernel del sistema operativo, incluso en móviles. En ese flujo de datos no es que los entornos “usuario” y “kernel” queden mal aislados, sino que no hay aislamiento. Eso provoca que un hacker pudiera actuar y hacerse con la información.

Spectre es más difícil de explotar por un ciberdelincuente pero, de momento, no hay forma de protegerse ante él. Al no haber solución posible, habría que esperar a que se diseñaran nuevos procesadores y éstos llegaran al mercado para que los equipos estuvieran seguros. Podrían pasar meses hasta que esto ocurriera.

Lo que parece obvio preguntarse es por qué, si las compañías –sobre todo Intel- sabían del defecto de seguridad en los procesadores desde hace meses, por qué han estado vendiendo procesadores con errores a los usuarios.