No início de janeiro de 2018, pesquisadores revelaram as falhas Meltdown e Spectre, que afetavam quase todos os processadores vendidos em cerca de 20 anos, de Intel, AMD e chips ARM. As correções vieram por software, com possível perda de desempenho, enquanto a solução completa dependia de novos chips.
No início de janeiro de 2018, pesquisadores divulgaram duas falhas de segurança em processadores, batizadas de Meltdown e Spectre. Segundo o Olhar Digital, elas atingiam quase todos os processadores vendidos nos 20 anos anteriores: a Meltdown afetava processadores Intel, os mais comuns em PCs com Windows e em Macs, e a Spectre atingia também chips AMD e processadores baseados em ARM, usados em celulares e tablets. Como a causa estava no hardware, as correções de software apenas dificultavam a exploração, e a solução completa dependia de novas gerações de chips.
O que eram as falhas?
Segundo reportagem do jornal italiano La Repubblica republicada pelo Instituto Humanitas Unisinos em 9 de janeiro de 2018, as falhas foram encontradas pelo Project Zero, equipe de segurança do Google, cerca de um ano antes da divulgação. Elas estavam na forma como os processadores gerenciam suas operações internas e, em teoria, permitiam a um atacante acessar a memória do aparelho e roubar dados, como senhas, sem deixar rastros. Por estarem no projeto dos chips, não dependiam de um sistema operacional específico.
Michele Colajanni, diretor do centro de pesquisa em segurança CRIS da Universidade de Modena e Reggio Emilia, ouvido na reportagem, ponderou que explorar as falhas era difícil: exigiria acesso direto ao aparelho ou um programa malicioso instalado, o que as tornava mais úteis para ataques direcionados do que para ataques em massa. Ele recomendou instalar as atualizações assim que estivessem disponíveis e sugeriu que bancos, governos e empresas passassem a exigir em contrato componentes certificados.
| Falha | Processadores afetados, segundo o Olhar Digital |
|---|---|
| Meltdown | Intel |
| Spectre | Intel, AMD e chips baseados em ARM (celulares e tablets) |
Quais correções foram recomendadas?
O Olhar Digital publicou, em 4 de janeiro de 2018, um guia com as medidas disponíveis naquele momento:
- Navegadores: o Firefox 57 ou superior já estava protegido; a correção do Chrome era esperada na versão 64, prevista para 23 de janeiro; a Microsoft havia corrigido o Edge e o Internet Explorer.
- Windows: instalar a atualização emergencial KB4056892. Usuários com antivírus de terceiros poderiam não recebê-la de imediato.
- Firmware: verificar o site do fabricante do computador, já que nem todos tinham publicado atualizações.
- Celulares e tablets: aguardar atualizações do Android ou da Apple e dos fabricantes, evitando sites desconhecidos e links suspeitos.
A reportagem alertou que essas medidas apenas dificultavam a exploração e não garantiam proteção total, e que as correções podiam reduzir um pouco o desempenho dos computadores.
Por que o caso foi diferente de outras falhas?
A maior parte das vulnerabilidades está em software e é resolvida com uma atualização do programa afetado. Meltdown e Spectre estavam no próprio projeto dos processadores. Isso exigiu uma resposta coordenada entre fabricantes de chips, sistemas operacionais, navegadores e fabricantes de computadores, e criou um problema de longo prazo: equipamentos antigos poderiam continuar vulneráveis ou depender de correções com custo de desempenho.
O que isso significou para empresas e provedores de nuvem?
Para empresas com servidores próprios ou em nuvem, o episódio trouxe algumas tarefas práticas:
- Inventariar servidores, estações e dispositivos afetados.
- Aplicar atualizações de sistema operacional, firmware e hipervisor.
- Medir o impacto das correções no desempenho de sistemas críticos.
- Acompanhar os boletins dos provedores de nuvem sobre a proteção de seus ambientes.
- Planejar a substituição de equipamentos sem correção disponível.
O que isso significa hoje?
O caso de 2018 é um lembrete de que segurança envolve todas as camadas, inclusive o hardware e a infraestrutura de terceiros. Ao contratar hospedagem, desenvolvimento ou suporte, vale perguntar ao fornecedor como ele acompanha alertas de segurança, em quanto tempo aplica correções e como comunica clientes quando uma falha grave é divulgada. A Citeo reúne empresas de cibersegurança para comparação.
Fontes
Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo.
Perguntas frequentes
O que foram Meltdown e Spectre?
Foram falhas de segurança em processadores, divulgadas no início de janeiro de 2018 e descobertas pelo Project Zero, do Google, que em teoria permitiam acessar a memória do aparelho e roubar dados. Elas afetavam quase todos os processadores vendidos em cerca de 20 anos.
Quais processadores foram afetados?
Segundo o Olhar Digital, a Meltdown afetava processadores Intel, e a Spectre afetava também processadores AMD e chips baseados em ARM, usados em celulares e tablets.
As correções deixaram os computadores mais lentos?
As correções disponíveis em 2018 podiam reduzir um pouco o desempenho, segundo o Olhar Digital. A solução completa dependia de novas gerações de processadores.