Como ya sabrá, todas las CPU de Intel lanzadas durante la última década se ven afectadas por un problema grave. Se puede utilizar un código especialmente mal formado para robar los datos privados de cualquier otro proceso, incluidos datos confidenciales como contraseñas, claves de seguridad, etc. Incluso un navegador con JavaScript habilitado se puede utilizar como vector de ataque. Si es usuario de Google Chrome / Chromium, puede hacer lo siguiente.
Anuncio
Si no conoce las vulnerabilidades Meltdown y Spectre, las hemos cubierto en detalle en estos dos artículos:
- Microsoft está implementando una solución de emergencia para fallas de CPU Meltdown y Spectre
- Aquí están las correcciones de Windows 7 y 8.1 para fallas de CPU Meltdown y Spectre
En resumen, las vulnerabilidades Meltdown y Spectre permiten que un proceso lea los datos privados de cualquier otro proceso, incluso desde fuera de una máquina virtual. Esto es posible debido a la implementación de Intel de cómo sus CPU capturan datos previamente. Esto no se puede solucionar parcheando el sistema operativo únicamente. La solución implica actualizar el kernel del sistema operativo, así como una actualización del microcódigo de la CPU y posiblemente incluso una actualización de UEFI / BIOS / firmware para algunos dispositivos, para mitigar completamente las vulnerabilidades.
El ataque se puede realizar solo con JavaScript también utilizando un navegador.
Hoy, salió una nueva versión de Google Chrome. Chrome 63.0.3239.132 viene con una serie de correcciones de seguridad, pero no incluye ninguna corrección especial para las vulnerabilidades de Meltdown y Spectre. Puede habilitar el aislamiento completo del sitio manualmente para protegerse contra las vulnerabilidades mencionadas.
¿Qué es el aislamiento completo del sitio?
Site Isolation es una función de seguridad de Chrome que ofrece protección adicional contra algunos tipos de errores de seguridad. Hace que sea más difícil para los sitios web que no son de confianza acceder o robar información de sus cuentas en otros sitios web.
Por lo general, los sitios web no pueden acceder a los datos de los demás dentro del navegador, gracias al código que aplica la Política del mismo origen. En ocasiones, se encuentran errores de seguridad en este código y los sitios web maliciosos pueden intentar eludir estas reglas para atacar otros sitios web. El equipo de Chrome tiene como objetivo corregir estos errores lo más rápido posible.
Site Isolation ofrece una segunda línea de defensa para reducir las probabilidades de éxito de tales vulnerabilidades. Asegura que las páginas de diferentes sitios web siempre se incluyan en diferentes procesos, cada uno ejecutándose en una caja de arena que limita lo que se permite hacer el proceso. También bloquea el proceso para que no reciba ciertos tipos de documentos confidenciales de otros sitios. Como resultado, a un sitio web malicioso le resultará más difícil robar datos de otros sitios, incluso si puede romper algunas de las reglas en su propio proceso.
El aislamiento completo del sitio estará habilitado de forma predeterminada en Google Chrome 64.
En la versión actual de Google Chrome, puede habilitar el aislamiento completo del sitio manualmente. Esto agregará protección adicional contra las vulnerabilidades Meltdown y Spectre.
Asegure Google Chrome contra las vulnerabilidades Meltdown y Spectre
- Abre Google Chrome.
- Tipo
chrome: // flags / # enable-site-per-processen la barra de direcciones. - Habilite la bandera 'Aislamiento estricto del sitio' usando el botón junto a la descripción de la bandera.
Tenga en cuenta que habilitar el aislamiento completo del sitio aumentará el uso de memoria; Google afirma que puede ser entre un 10% y un 20% más de lo habitual. Los administradores pueden optar por activar el aislamiento de sitios de Chrome para todos los sitios o seleccionar una lista de sitios web para ejecutar en su propio proceso de representación.
Vale la pena mencionar que Firefox usa un mecanismo de protección diferente. Si es usuario de Firefox, consulte el siguiente artículo:
Firefox 57.0.4 lanzado con la solución alternativa de ataque Meltdown y Spectre
¿Cómo sabes si alguien te bloqueó?
Eso es.
